使用Pycryptodome进行RSA OAEP加密后出现Bad Padding异常求助

问题背景 #

我需要在向厂商API发送请求体前对消息加密，使用Python的Pycryptodome库。接收方提供2048位RSA的DER格式.cer证书，按文档用import_key导入。API要求加密算法为RSA/NONE/OAEPWithSHA1AndMGF1Padding，我的代码如下：

def encrypt_message(message):
        with open('/home/krishna/work/.certificates/random_certificate.cer', 'rb') as _file:
            key_contents = _file.read()
        recipient_key = RSA.import_key(key_contents)
        cipher_rsa = PKCS1_OAEP.new(recipient_key)
        return base64.b64encode(cipher_rsa.encrypt(message.encode())).decode()

查看PKCS1_OAEP.py得知默认哈希为SHA1、掩码函数为MGF1，故未指定参数，加密结果转Base64字符串发送。但厂商反馈解密时出现Bad Padding异常，双方均确认使用OAEP填充。

我用自己生成的PEM格式RSA密钥对测试，加密解密正常，推测差异在于证书格式为DER的.cer，但按文档Pycryptodome应能处理。

另有三个疑问：

1. RSA/NONE/OAEPWithSHA1AndMGF1Padding中的NONE含义是什么？
2. Pycryptodome中import_key()与importKey()的区别？importKey()无文档说明。
3. 使用OAEP填充仍会出现填充异常吗？据了解OAEP填充异常极少发生。

排查方案与疑问解答 #

一、Bad Padding异常排查方向 #

1. 证书有效性验证

   • 确认导入的DER证书包含正确公钥：用recipient_key.public_numbers()导出公钥参数，和厂商提供的公钥信息比对，避免导入错误证书（如非目标环境证书、损坏证书）。
   • 尝试提取证书内的公钥测试：用OpenSSL命令提取公钥，openssl x509 -in random_certificate.cer -inform der -pubkey -noout > pubkey.pem，再用该PEM公钥加密后发给厂商验证，排除证书格式兼容问题。

2. OAEP参数强制对齐
   虽然Pycryptodome默认参数是SHA1+MGF1，但部分厂商实现可能对MGF1的哈希函数有显式要求，可手动指定参数确保一致：

   from Crypto.Hash import SHA1
   from Crypto.Cipher import PKCS1_OAEP
   from Crypto.PublicKey import RSA
   import base64
   
   def encrypt_message(message):
       with open('/home/krishna/work/.certificates/random_certificate.cer', 'rb') as _file:
           key_contents = _file.read()
       recipient_key = RSA.import_key(key_contents)
       # 显式指定OAEP哈希与MGF1哈希均为SHA1
       cipher_rsa = PKCS1_OAEP.new(
           recipient_key, 
           hashAlgo=SHA1, 
           mgfunc=lambda x,y: PKCS1_OAEP.MGF1(x,y,SHA1)
       )
       return base64.b64encode(cipher_rsa.encrypt(message.encode())).decode()
   

3. 消息长度与编码检查

   • 2048位RSA的OAEP加密最大明文长度为256 - 2*20 -2 = 214字节（SHA1哈希长度20字节），确认消息未超过该长度，若超过需手动分块加密。
   • 核对Base64编码一致性：确认厂商使用标准Base64解码，而非URL安全格式，且未截断编码后的填充字符=。

二、疑问解答 #

1. RSA/NONE/OAEPWithSHA1AndMGF1Padding中的NONE含义
   这是Java加密体系（JCE）的命名格式，结构为算法/模式/填充。NONE表示无分组模式——RSA是非对称加密，本身不需要对称加密那样的分组模式（如AES的ECB/CBC），因此用NONE占位。

2. import_key()与importKey()的区别
   importKey()是Pycryptodome为兼容旧版PyCrypto保留的别名，import_key()是官方推荐的新命名。两者功能完全一致，仅名称不同，官方文档只收录import_key()。

3. OAEP填充仍会出现填充异常吗？
   会出现，只是概率远低于PKCS#1 v1.5填充。常见诱因包括：

   • 加密和解密使用的公钥/私钥不匹配；
   • OAEP哈希函数、MGF1哈希函数参数不一致；
   • 密文传输过程中被篡改（如编码错误、字节丢失）；
   • 明文长度超出RSA OAEP的限制（该情况Pycryptodome通常会直接抛出异常）。

内容的提问来源于stack exchange，提问作者Krishna Palle