NiFi 1.16.3修改sensitive.props.key后启动失败求助

问题现象 #

• NiFi从1.15.1升级至1.16.3后，执行encrypt-config.sh更新敏感属性密钥后启动失败，报错PBEWITHMD5AND256BITAES-CBC-OPENSSL解密失败
• 首次部署流程：设置nifi.properties中sensitive.props.key为明文nififtw!，执行encrypt-config.sh加密后可正常启动
• 后续更新流程：指定十六进制新propsKey并传入flow.xml路径执行encrypt-config.sh，脚本执行无报错且sensitive.props.key已更新，但NiFi启动失败；手动将sensitive.props.key改回原加密值则启动正常
• 该问题仅出现于1.16.3版本，1.15.1、1.11.3无此异常，调整脚本参数无法解决

可能原因 #

1. 加密算法兼容性变更
   NiFi 1.16.0起对敏感属性加密逻辑进行了调整，默认加密算法从PBEWITHMD5AND256BITAES-CBC-OPENSSL变更为PBKDF2WithHmacSHA256AndAES_256。当使用十六进制密钥执行encrypt-config.sh时，脚本可能未正确适配新算法，导致生成的加密密钥无法被NiFi启动时的解密逻辑识别。

2. encrypt-config.sh参数解析逻辑变化
   1.16.3版本的encrypt-config.sh对--propsKey参数的处理方式可能发生改变，传入十六进制密钥时，脚本未将其转换为新算法要求的密钥格式，导致加密后的sensitive.props.key与NiFi启动时的预期格式不匹配。

3. flow.xml敏感属性加密兼容性问题
   执行脚本时传入flow.xml路径会重新加密流中的敏感属性，但1.16.3的加密逻辑与旧版本生成的加密内容不兼容，启动时解密流属性失败，进而触发整体解密错误。

排查与解决步骤 #

1. 确认NiFi加密算法配置
   查看nifi.properties中的核心加密配置项，确保算法与版本默认值一致：

nifi.sensitive.props.algorithm=PBKDF2WithHmacSHA256AndAES_256
nifi.sensitive.props.provider=BC

若手动修改过算法，需保证与encrypt-config.sh使用的算法完全匹配。

2. 指定算法执行encrypt-config.sh
   执行脚本时明确指定与NiFi配置匹配的加密算法，避免默认算法差异导致的问题：

./encrypt-config.sh \
  -n nifi.properties \
  -f flow.xml.gz \
  -k <你的十六进制密钥> \
  -a PBKDF2WithHmacSHA256AndAES_256 \
  -p BC

注意：十六进制密钥需符合新算法的长度要求（AES_256对应32字节密钥，即64位十六进制字符串）。

3. 全量重新加密配置与流文件
   若flow.xml中的敏感属性由旧算法加密，建议在安全环境下重新生成加密内容：

• 将sensitive.props.key改回旧加密值，启动NiFi并导出明文flow.xml（确保敏感属性可见）
• 停止NiFi，设置sensitive.props.key为新明文密钥，执行encrypt-config.sh加密密钥和flow.xml
• 启动NiFi验证是否正常

4. 查看脚本执行详细日志
   添加-v参数执行脚本，确认密钥识别、算法使用等细节是否正常：

./encrypt-config.sh -v -n nifi.properties -f flow.xml.gz -k <十六进制密钥>

内容的提问来源于stack exchange，提问作者Mvfm