PowerShell中AES加密大文件的流处理实现方式是否正确？

你当前采用流逐块拷贝的加密思路是正确的，相比[IO.File]::ReadAllBytes全量加载文件的方案，内存占用会稳定在极低水平，完全适配GB级大文件的加密场景，但实现存在几个关键缺失，核心的IV问题结论非常明确：

.NET 提供的CryptoStream在AES-CBC模式下不会自动将IV写入加密输出流，你必须手动完成IV的写入存储，否则后续无法正常解密文件。

核心逻辑说明 #

• CBC模式要求每次加密使用密码学安全的随机IV，IV不需要保密，但是必须和解密时使用的IV完全一致，行业通用做法是将16字节（AES 128位块大小对应16字节长度）的IV直接写入加密文件的头部位置。
• 你当前代码中通过GenerateIV()生成的随机IV仅存在于内存的AES对象实例中，加密完成后对象被释放，IV会直接丢失，生成的加密文件永久无法解密。
• 除了IV之外，你通过GenerateKey()生成的256位密钥也需要单独妥善存储，密钥丢失同样无法解密文件。
• 现有代码没有显式释放输入、输出文件流，极端场景下可能出现文件句柄残留、写入内容未刷入磁盘的问题。
• 现有代码缺少加密流最终块刷新逻辑，可能丢失文件末尾的填充数据，导致解密时报填充错误。

修正后的标准实现代码 #

ErrorActionPreference = "Stop"

$AES = [System.Security.Cryptography.AES]::Create()
$AES.Padding = [System.Security.Cryptography.PaddingMode]::PKCS7
$AES.Mode = [System.Security.Cryptography.CipherMode]::CBC
$AES.BlockSize = 128
$AES.KeySize = 256
$AES.GenerateKey()
$AES.GenerateIV()
$Encryptor = $AES.CreateEncryptor()

$File = Get-Item -Path "C:\Myfile.exe"
$EncryptedFilePath = $File.FullName + ".AES"

$InputStream = $null
$OutputStream = $null
$CryptoStream = $null

try {
    $InputStream = [System.IO.File]::OpenRead($File.FullName)
    $OutputStream = [System.IO.File]::Create($EncryptedFilePath)
    
    # 先把16字节IV写入文件头部
    $OutputStream.Write($AES.IV, 0, $AES.IV.Length)
    
    $CryptoStream = [System.Security.Cryptography.CryptoStream]::new(
        $OutputStream, 
        $Encryptor, 
        [System.Security.Cryptography.CryptoStreamMode]::Write
    )

    $InputStream.CopyTo($CryptoStream)
    # 刷新加密流最终块，确保末尾填充数据完整写入
    $CryptoStream.FlushFinalBlock()
}
finally {
    # 按依赖顺序释放资源，即使加密中途报错也不会泄漏句柄
    $CryptoStream?.Dispose()
    $InputStream?.Dispose()
    $OutputStream?.Dispose()
    $AES.Dispose()
}

# 实际使用时请将密钥持久化存储到安全位置，不要直接打印到控制台
Write-Host "加密完成，对应解密密钥(Base64)：$([Convert]::ToBase64String($AES.Key))"

对应解密注意事项 #

解密时不需要单独存储IV，只需要先打开加密文件，读取最开头的16字节作为AES实例的IV，剩余内容传入解密流正常读取即可，核心逻辑片段：

# 初始化AES对象、传入正确密钥后，先从文件头读取IV
$InputStream = [System.IO.File]::OpenRead($EncryptedFilePath)
$IV = New-Object byte[] 16
$InputStream.Read($IV, 0, 16) | Out-Null
$AES.IV = $IV
# 传入解密器创建CryptoStream，后续直接将流内容拷贝到目标输出文件即可

内容的提问来源于stack exchange，提问作者PineappleScarface