使用OpenSSL在Bash脚本中加解密密码遇时效问题求助

看起来你遇到的这个“加密后过段时间解密失败”的问题，大概率是因为加密/解密时依赖了可变的默认参数或者未显式固定的配置，而非真的有什么“时效限制”。我来帮你拆解原因并给出靠谱的解决方案：

常见原因分析 #

1. 依赖OpenSSL默认参数，版本/环境变化导致不兼容
   不同版本的OpenSSL默认加密算法、密钥迭代次数可能不一样（比如旧版默认用aes-128-cbc，新版可能默认aes-256-ctr；旧版PBKDF2默认迭代次数是1000，新版可能是60000）。如果你加密时用了默认值，第二天换了环境/版本解密，参数不匹配就会失败。

2. 加密时未固定密钥派生的关键参数
   如果你加密时没指定-iter（迭代次数）、-pbkdf2（密钥派生算法）这类参数，OpenSSL可能会用随版本变化的默认值，导致解密时无法正确派生密钥。

3. 脚本解密时参数与加密不匹配
   比如加密时加了-base64编码，解密时没加-d解码；或者加密用了加盐-salt，解密时没指定，都会导致解密失败。

4. 密钥来源随时间变化
   如果你加密时的密钥是从某个临时环境变量、时间戳生成的，第二天密钥变了，自然解不开。

靠谱的加密解密流程（固定参数，无时效问题） #

1. 手动加密命令（固定所有关键参数） #

# 读取要加密的密码（-s 隐藏输入）
read -s -p "输入要加密的密码: " RAW_PASSWORD
echo -n "$RAW_PASSWORD" | openssl enc \
  -aes-256-ctr \          # 显式指定加密算法（CTR模式比CBC更安全，且无需手动管理IV）
  -salt \                 # 强制加盐，提升安全性（盐会自动嵌入加密输出，解密时自动识别）
  -pbkdf2 \               # 使用安全的PBKDF2密钥派生算法
  -iter 100000 \          # 固定迭代次数，避免版本差异
  -k "你的主密钥" \       # 用于加密的主密钥（建议用环境变量代替硬编码，比如$MASTER_KEY）
  -base64 \               # 转成base64，方便主机间传输（避免二进制数据损坏）
  > encrypted_password.txt

2. Bash解密脚本（完全匹配加密参数） #

#!/bin/bash
# decrypt_password.sh

# 配置参数（和加密时完全一致）
MASTER_KEY="你的主密钥"
ENCRYPTED_FILE="encrypted_password.txt"

# 检查文件是否存在
if [ ! -f "$ENCRYPTED_FILE" ]; then
    echo "错误：未找到加密文件！"
    exit 1
fi

# 解密并输出结果
openssl enc \
  -aes-256-ctr \
  -d \                    # 解密模式
  -salt \
  -pbkdf2 \
  -iter 100000 \
  -k "$MASTER_KEY" \
  -base64 \
  -in "$ENCRYPTED_FILE"

echo # 加个换行，让输出更友好

排查步骤（如果还是有问题） #

• 手动验证解密命令：第二天直接在终端执行解密命令，不要用脚本。如果手动也失败，说明加密参数有问题；如果手动成功，说明脚本里的参数/密钥读取有问题（比如脚本里的主密钥是从环境变量取的，第二天环境变量没设置）。
• 检查OpenSSL版本：在加密和解密的主机上执行openssl version，确保版本一致，或者至少加密解密都用了显式指定的算法和参数（不要依赖默认值）。
• 验证加密输出的可重复性：同一天加密两次，虽然输出会因为随机盐不同而不一样，但都能正常解密。如果其中一个解密失败，说明加密命令有问题。

内容的提问来源于stack exchange，提问作者Bar