如何在Android库中提供支持用户自定义加密的实现方案

方案设计建议 #

1. 优先选择抽象加密接口方案，而非直接传入Cipher实例 #

直接传入预初始化的Cipher虽然实现简单灵活性高，但存在两个核心缺陷：

• Cipher是有状态类，多线程并发调用时会出现状态错乱，无法直接在并发场景使用
• 你无法控制用户传入的Cipher的初始化逻辑，很容易出现IV复用、参数错误等安全问题

定义通用加密接口是更稳妥的方案，仅需定义两个核心方法即可覆盖所有加密场景：

public interface CryptoHandler {
    byte[] encrypt(byte[] plaintext) throws CryptoException;
    byte[] decrypt(byte[] ciphertext) throws CryptoException;
}

该方案的优势在于完全将加密细节的控制权交给用户，你不需要适配不同加密模式、IV处理逻辑、自定义Provider等差异：如果用户用CBC模式可以自己实现IV生成、写入密文前缀、解密前读取IV的逻辑；如果用ECB模式也可以用最简单的实现；甚至非对称加密、自定义算法都可以完美适配。

原有默认传字符串密钥的逻辑可以保留，你只需要内置一套默认的CryptoHandler实现即可兼容旧版本调用习惯。如果希望保留便捷的Cipher传入能力，也可以额外提供一套内置的Cipher实现的CryptoHandler工具类，帮用户处理线程安全、IV重置的逻辑，降低用户使用成本。

2. IV复用的处理逻辑 #

IV复用确实存在严重的安全隐患，比如CBC模式复用IV会泄露明文前缀、GCM模式复用IV会直接泄露密钥。这个问题不需要你在库层面处理，只需要在接口文档中明确要求：

• 加密实现需要保证每次加密使用的IV都是随机生成的唯一值
• 解密所需的IV可以由用户自行决定存储方式，比如拼在密文前缀、单独存储等，库层面不需要做任何适配

3. 调用示例 #

用户自定义实现使用示例

// 用户自定义AES-CBC加密实现，IV自动拼接到密文前
public class CustomAesCbcHandler implements CryptoHandler {
    private final SecretKey secretKey;

    public CustomAesCbcHandler(String key) {
        this.secretKey = new SecretKeySpec(key.getBytes(StandardCharsets.UTF_8), "AES");
    }

    @Override
    public byte[] encrypt(byte[] plaintext) throws Exception {
        Cipher cipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
        // 每次加密生成新的随机IV
        byte[] iv = new byte[16];
        new SecureRandom().nextBytes(iv);
        cipher.init(Cipher.ENCRYPT_MODE, secretKey, new IvParameterSpec(iv));
        byte[] cipherBody = cipher.doFinal(plaintext);
        // IV拼在密文最前面
        return ByteBuffer.allocate(iv.length + cipherBody.length)
                .put(iv)
                .put(cipherBody)
                .array();
    }

    @Override
    public byte[] decrypt(byte[] ciphertext) throws Exception {
        ByteBuffer buffer = ByteBuffer.wrap(ciphertext);
        // 读取密文前16字节作为IV
        byte[] iv = new byte[16];
        buffer.get(iv);
        byte[] cipherBody = new byte[buffer.remaining()];
        buffer.get(cipherBody);
        Cipher cipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
        cipher.init(Cipher.DECRYPT_MODE, secretKey, new IvParameterSpec(iv));
        return cipher.doFinal(cipherBody);
    }
}

调用你的库的示例

// 使用自定义加密方案
lib.encryption(new CustomAesCbcHandler("user_custom_key"));
lib.doEncryptedStuff(); 

// 原有默认加密逻辑仍可保留
lib.encryption("default_key");
lib.doEncryptedStuff();

内容的提问来源于stack exchange，提问作者NapoleonTheCake