JavaScript Web Crypto API实现AES-CBC加密时如何禁用填充匹配PHP零填充输出

• 原生Web Crypto API 不支持禁用AES-CBC模式的内置填充机制。按照Web Crypto规范定义，所有AES-CBC的加密/解密实现都强制绑定PKCS#7标准填充，未开放任何配置入口跳过自动填充流程，因此无法通过原生配置直接对齐PHP OPENSSL_ZERO_PADDING 的输出。
• 基于原生加密能力的预-裁剪逻辑，可以100%复现PHP零填充模式的密文输出效果，无需引入第三方依赖。

首先明确PHP端OPENSSL_ZERO_PADDING在AES-CBC场景下的实际行为（与你提供的复现结果完全匹配）：

• 关闭OpenSSL默认的PKCS#7自动填充逻辑，不会像默认模式那样，在明文为块大小整数倍时额外补一整个块的0x10填充字节；
• 当明文长度为AES块大小（16字节）的整数倍时，完全按照原明文长度逐块加密，不做任何额外填充，输出密文长度和明文长度相等；
• 如果明文长度不足块大小，OpenSSL会自动用0值补满最后一个块，保证输入符合AES块大小的整数倍要求。

核心逻辑利用CBC模式的块加密独立性：前序块的加密结果仅和对应明文块、IV、密钥相关，和后续填充块的加密过程完全独立。通过提前对齐PHP端的明文预处理规则，再裁剪掉原生加密流程自动生成的额外填充块密文，即可得到完全一致的输出。

具体实现步骤 #

1. 按PHP零填充的规则构造预处理后的明文：
   • 记原明文长度为L，AES块大小为16字节；
   • 计算实际需要加密的块长度 cryptoLength = Math.ceil(L / 16) * 16；
   • 构造长度为cryptoLength的字节数组，将原明文拷贝到数组开头，剩余位置自动填充0x00——这部分预处理后的明文，和PHP端传给OpenSSL的输入完全一致。
2. 将预处理后的明文传入Web Crypto的AES-CBC加密流程。由于预处理后的明文本身是16字节的整数倍，Web Crypto会按照PKCS#7规则，自动额外添加一整个块（16字节）的0x10值填充字节后执行加密，最终输出的密文长度为cryptoLength + 16字节。
3. 从原生加密返回的完整密文中，裁剪出前cryptoLength长度的字节，即为和PHP零填充模式完全一致的密文。

可运行代码示例 #

const enc = new TextEncoder();
// 原明文，与复现场景保持一致
const plaintextStr = 'January February';
const plainData = enc.encode(plaintextStr);
const AES_BLOCK_SIZE = 16;

// 1. 构造PHP零填充规则对应的预处理明文
const plainLength = plainData.length;
const cryptoLength = Math.ceil(plainLength / AES_BLOCK_SIZE) * AES_BLOCK_SIZE;
const preprocessedData = new Uint8Array(cryptoLength);
preprocessedData.set(plainData, 0); // 剩余位置默认填充0x00，匹配PHP行为

// 加密算法配置，与原复现代码保持一致
const algorithm = {
   name: 'AES-CBC',
   iv: enc.encode('0123456789ABCDEF')
};

crypto.subtle.importKey(
   'raw',
   enc.encode('GHIJKLMNOPQRSTUV'),
   'AES-CBC',
   true,
   ['encrypt']
).then(
   key => crypto.subtle.encrypt(algorithm, key, preprocessedData)
).then(
   ct => {
      // 裁剪掉Web Crypto自动添加的16字节PKCS#7满块填充
      const trimmedCt = new Uint8Array(ct).slice(0, cryptoLength);
      // 输出与PHP零填充一致的base64结果
      console.log(btoa(String.fromCharCode(...trimmedCt)));
   }
);

运行上述代码，将输出和PHP零填充模式完全一致的结果：q6BAetimbeLcdlSC7GoBbg==。

可靠性说明 #

• 整个流程完全基于原生Web Crypto能力实现，无需引入任何第三方加密库，性能和原生加密保持一致；
• 预处理逻辑严格对齐PHP的零填充行为，避免了因填充规则差异导致的密文不一致问题；
• 裁剪操作仅移除自动生成的额外填充块密文，不会影响前序有效明文块的加密正确性。

内容的提问来源于stack exchange，提问作者Zombo