Travis CI构建报EVP_DecryptFinal_ex解密错误？SFDX CI配置遇阻求解

EVP_DecryptFinal_ex:bad decrypt报错的根因定位 #

这个报错是OpenSSL对称解密流程全链路参数不匹配导致的常规配置错误，不存在无法绕过的平台限制，逐环节校验即可解决：

• 对齐文件路径逻辑：当前配置里OpenSSL解密的输入密文路径是assets/certs/server.key.enc，但后续JWT认证读取解密后私钥的路径写的是assets/server.key，两处路径不一致，执行时会出现密文找不到、或解密输出的私钥落盘位置和后续读取位置不匹配的问题，直接触发块长度校验失败。需要把两处路径统一为同一实际存放路径，避免路径分叉导致的读写错位。
• 补全OpenSSL解密的强制兼容参数：Travis xenial镜像内置OpenSSL 1.1.1版本，默认采用SHA256做加密摘要校验；而早年Trailhead相关教程里的加密命令大多基于OpenSSL 1.0.2版本生成，采用MD5摘要。如果解密时不显式指定和加密环节完全一致的摘要算法，哪怕密钥、IV值完全正确，也会触发最终块长度校验失败。需要在现有openssl解密命令末尾补上-md sha256（如果是用老版本OpenSSL加密的私钥就补-md md5），消除版本默认行为的差异。
• 校验加密环境变量的有效性：当前配置使用的encrypted_79bf14636734_key、encrypted_79bf14636734_iv两个变量，必须是针对当前仓库使用Travis CLI重新生成的加密值，不能直接复制教程里的旧配置。如果曾经轮换过仓库的加密密钥、变更过GitHub仓库的归属，旧的key/iv就算正常注入环境，解密出来的内容也全是乱码，必然触发解密失败。

配置文件中其他会导致流程卡壳的硬伤 #

• 修正Ruby版本配置：当前配置指定使用rvm 2.0.0版本，这是2011年发布的已淘汰版本，Travis xenial镜像的源已经不再提供该版本的运行环境，就算解密环节通过，后续依赖Ruby环境的流程也会直接崩溃。需要对齐你本地的可用版本，把rvm的版本值调整为2.7.2，和本地开发环境保持一致。
• 修正SFDX CLI的PATH配置：当前配置里export PATH=./sfdx/$(pwd):$PATH是错误写法，将SFDX压缩包解压到sfdx目录后，可执行文件实际存放在sfdx/bin路径下，错误的PATH配置会导致系统找不到sfdx命令，后续的所有SFDX操作全部报错。需要把PATH调整为export PATH=./sfdx/bin:$PATH。
• 校验密文文件的提交状态：要确认server.key.enc密文文件已经被推送到对应分支的Git仓库中，没有被加入.gitignore排除规则，否则CI环境拉取代码后根本找不到密文文件，解密操作直接失败。

零成本复现校验方法 #

不用反复触发CI构建浪费额度，直接在和Travis xenial完全一致的Ubuntu 18.04环境下，手动逐行执行配置文件里的所有命令，确认解密后输出的私钥内容可以正常读取、SFDX命令可以正常调用、JWT认证可以正常返回Org信息，再把验证过的命令同步到Travis配置里。你之前在Windows、非xenial版本Ubuntu服务器上复现的报错没有参考性，因为不同系统版本自带的OpenSSL版本、默认加密摘要参数不一致，哪怕在自己的服务器上能解密成功，也不代表Travis的xenial环境下可以正常解密。可以在解密步骤结束后临时加一条日志输出命令wc -l assets/certs/server.key，如果输出的行数为0或者远小于正常PEM格式私钥的行数，就说明解密流程本身没有成功，不用往下排查后续SFDX环节的问题。

内容的提问来源于stack exchange，提问作者AjFmO