如何在BigQuery中使用函数解密AES-256加密的字符串列？

当然可以直接用BigQuery的内置AEAD函数完成解密，完全不需要先在外部处理再导入的额外步骤。不过有个关键前提：你的加密操作必须使用AES-256-GCM模式（因为BigQuery的内置AEAD函数仅支持这种经过认证的加密模式）。如果之前是用其他AES-256模式（比如CBC）加密的，那内置函数没法直接处理，得用自定义UDF，但先聚焦你要的内置函数场景。

下面是具体操作流程：

1. 完成格式转换（关键！） #

BigQuery的AEAD.DECRYPT_*函数要求所有输入都是字节类型，所以我们需要先把你的字符串格式的密钥、IV和Base64加密结果转换成字节：

• 密钥转换：如果你的密钥是Base64编码的256位（32字节）密钥，用FROM_BASE64('your_base64_key')；如果密钥是UTF8字符串（注意：转成字节后必须刚好32字节才符合AES-256要求），用TO_BYTES('your_utf8_key', 'UTF8')。
• IV转换：因为你的IV是UTF8编码的，直接用TO_BYTES('your_utf8_iv', 'UTF8')转成字节即可（AES-GCM的IV推荐是12字节，只要和加密时用的IV完全一致就没问题）。
• 加密列转换：加密结果是Base64格式，用FROM_BASE64(encrypted_column)把列值转成字节。

2. 编写解密SQL #

假设你的表是your_project.your_dataset.your_table，加密列是encrypted_data，密钥是Base64格式的'abc123xyz...'，IV是UTF8字符串'my_secure_iv'，解密后要得到字符串结果，SQL示例如下：

SELECT
  encrypted_data,
  AEAD.DECRYPT_STRING(
    FROM_BASE64('your_base64_aes256_key'),
    FROM_BASE64(encrypted_data),
    TO_BYTES('your_utf8_iv', 'UTF8')
  ) AS decrypted_data
FROM
  `your_project.your_dataset.your_table`;

如果你的密钥是UTF8字符串（转字节后32字节），把FROM_BASE64('your_base64_aes256_key')换成TO_BYTES('your_utf8_key', 'UTF8')即可。

3. 重要注意事项 #

• 密钥安全：绝对不要把明文密钥直接写在SQL里！建议用BigQuery的**密钥管理服务（KMS）**或者结合安全的密钥存储方式来管理密钥，避免泄露。
• 模式匹配：再次确认加密时用的是AES-256-GCM模式，否则内置函数会解密失败（返回错误或乱码）。如果之前用的是CBC等非AEAD模式，只能通过自定义UDF实现解密，这就不属于内置函数范畴了。
• IV一致性：解密用的IV必须和加密时完全一致，哪怕差一个字符，解密结果都会完全错误。

内容的提问来源于stack exchange，提问作者S.Jackson