使用Crypt32Util调用cryptUnprotectData时参数错误问题排查

问题本质 #

你碰到的Win32Exception: Paramètre incorrect（法语“参数错误”）对应Windows API的ERROR_INVALID_PARAMETER错误码，核心原因是传入的加密数据不符合DPAPI（数据保护API）的要求，或者解密参数与加密时的配置不匹配。

排查与解决步骤 #

1. 确认加密时是否使用了熵值（Entropy） #

如果加密数据时额外指定了熵值（作为辅助加密密钥），解密时必须传入完全相同的熵值。你当前调用的cryptUnprotectData(data)默认熵值为null，若加密时用了熵，必然触发参数错误。

如果能获取加密时的熵值，修改调用代码：

// 替换为加密时实际使用的熵字节数组
byte[] entropy = ...;
byte[] decrypted = Crypt32Util.cryptUnprotectData(dataBytes2, entropy, 0, null);

2. 检查加密上下文是否为本地机器 #

如果加密时使用了CRYPTPROTECT_LOCAL_MACHINE标志（将数据绑定到机器而非当前用户），解密时必须传入该标志。调整调用：

import com.sun.jna.platform.win32.Crypt32;

// 传入本地机器上下文标志
byte[] decrypted = Crypt32Util.cryptUnprotectData(dataBytes2, null, Crypt32.CRYPTPROTECT_LOCAL_MACHINE, null);

3. 绕过封装直接调用底层API排查问题 #

Crypt32Util是JNA的封装层，可能存在参数处理问题。直接调用Windows原生CryptUnprotectDataAPI，同时获取详细错误码：

import com.sun.jna.platform.win32.Crypt32;
import com.sun.jna.platform.win32.Kernel32;
import com.sun.jna.platform.win32.WinCrypt;

WinCrypt.DATA_BLOB inputBlob = new WinCrypt.DATA_BLOB(dataBytes2);
WinCrypt.DATA_BLOB outputBlob = new WinCrypt.DATA_BLOB();

try {
    boolean success = Crypt32.INSTANCE.CryptUnprotectData(inputBlob, null, null, null, null, 0, outputBlob);
    if (success) {
        String result = new String(outputBlob.getData());
        System.out.println("解密结果: " + result);
    } else {
        int errorCode = Kernel32.INSTANCE.GetLastError();
        System.err.println("详细错误码: " + errorCode);
        // 常见错误码：0x57=参数错误，0x8009000B=密钥不匹配，0x80090010=数据损坏
    }
} finally {
    // 释放API分配的内存，避免泄漏
    if (outputBlob.pbData != null) {
        Kernel32.INSTANCE.LocalFree(outputBlob.pbData);
    }
}

通过错误码可以精准定位问题，比如0x8009000B说明熵值不匹配，0x80090010说明加密数据损坏或截断。

4. 验证加密数据完整性 #

确认从SQLite读取的字节数组和你硬编码的dataBytes2完全一致，避免数据库存储时出现截断或编码错误。可以打印两个数组的长度和每个字节值对比。

5. 检查JNA版本适配 #

Windows 11的DPAPI细节可能和旧版本略有差异，尝试升级JNA到最新稳定版（比如5.13.0+），看是否能解决兼容性问题。

内容的提问来源于stack exchange，提问作者Constant Abrh