Fernet密钥的准确定义及从预共享字符串生成的正确方法

先明确Fernet密钥的本质 #

Fernet密钥的核心是32字节的二进制原始数据，但Fernet构造函数要求传入的是这个二进制数据经过URL-safe Base64编码后的字节串（或ASCII字符串）。这里的关键规则是：

• 编码必须用URL-safe的Base64格式（用-替换+，_替换/）
• 编码后的内容解码后必须严格是32字节

你的两个错误原因解析 #

1. 使用secrets.token_urlsafe(32)报错

secrets.token_urlsafe(32)确实会生成32字节随机数据的URL-safe Base64编码字符串，但它会自动去掉末尾的填充符=。而Fernet内部会用base64.urlsafe_b64decode解码传入的密钥，这个函数要求字符串长度是4的倍数（Base64编码的规则），缺少填充符会导致解码出的字节数不是32，从而抛出ValueError。

2. 用base64.b64decode解码Fernet密钥报错

fernet.Fernet.generate_key()返回的是URL-safe Base64编码的字节串，而base64.b64decode是标准Base64解码函数，无法识别URL-safe格式里的-和_，自然会解码失败，抛出填充错误。正确的做法是用base64.urlsafe_b64decode来解码。

正确生成Fernet密钥的方法 #

方法一：直接用Fernet自带生成器（最推荐）

这是官方推荐的方式，生成的密钥完全符合要求，无需额外处理：

from cryptography import fernet

# 生成符合要求的Fernet密钥（URL-safe Base64编码的字节串）
key = fernet.Fernet.generate_key()
# 直接初始化Fernet实例
f = fernet.Fernet(key)

方法二：用secrets模块手动生成

如果需要自己控制密钥生成过程，要确保保留Base64填充符：

import secrets
import base64
from cryptography import fernet

# 生成32字节原始二进制密钥
raw_key = secrets.token_bytes(32)
# 做URL-safe Base64编码，保留填充符
encoded_key = base64.urlsafe_b64encode(raw_key)
f = fernet.Fernet(encoded_key)

# 如果你一定要用secrets.token_urlsafe，需要手动补全填充
token_key = secrets.token_urlsafe(32)
# 补全填充到4的倍数
pad_length = (4 - len(token_key) % 4) % 4
encoded_key = token_key.ljust(len(token_key) + pad_length, '=').encode('utf-8')
f = fernet.Fernet(encoded_key)

从预共享字符串生成Fernet密钥 #

如果要从用户提供的预共享字符串（比如密码）生成密钥，不能直接把字符串当密钥用——必须通过**密钥派生函数（KDF）**生成符合要求的32字节原始密钥，再编码为URL-safe Base64：

import secrets
import base64
from cryptography.hazmat.primitives.kdf.pbkdf2 import PBKDF2HMAC
from cryptography.hazmat.primitives import hashes
from cryptography.hazmat.backends import default_backend
from cryptography import fernet

# 你的预共享字符串（比如用户设置的密码）
pre_shared_str = "my_secure_password"
# 生成随机盐（必须和密钥一起存储，下次生成密钥要复用）
salt = secrets.token_bytes(16)

# 使用PBKDF2HMAC派生32字节原始密钥
kdf = PBKDF2HMAC(
    algorithm=hashes.SHA256(),
    length=32,
    salt=salt,
    iterations=480000,  # 迭代次数越高越安全，根据需求调整
    backend=default_backend()
)
raw_key = kdf.derive(pre_shared_str.encode('utf-8'))
# 编码为URL-safe Base64格式
encoded_key = base64.urlsafe_b64encode(raw_key)
# 初始化Fernet
f = fernet.Fernet(encoded_key)

注意：盐（salt）必须和最终的Fernet密钥一起存储，后续从同一个预共享字符串生成密钥时，必须使用相同的盐和KDF参数。

内容的提问来源于stack exchange，提问作者Tom