使用AWS Go SDK解密遇InvalidCiphertextException错误求助

兄弟，刚接触Go就卡在AWS加密解密的坑，卡一天确实闹心！我来帮你拆解下大概率出问题的地方，你对照着排查下：

最常见的坑：加密上下文不匹配 #

AWS KMS加密时如果指定了Encryption Context（加密上下文），解密时必须传入完全一致的键值对，否则直接触发InvalidCiphertextException。这是跨语言解密时最容易忽略的点！

比如你Python那边的加密代码如果是这样（大概率带了上下文）：

import boto3
import base64

kms = boto3.client('kms', region_name='us-east-1')
# 这里指定了加密上下文
encrypt_resp = kms.encrypt(
    KeyId='你的KMS密钥ID',
    Plaintext=b'要加密的内容',
    EncryptionContext={"biz_type": "user_data"}  # 这个上下文解密必须完全一致
)
# 转成base64字符串保存
ciphertext_base64 = base64.b64encode(encrypt_resp['CiphertextBlob']).decode('utf-8')

那Go解密时必须带上一模一样的上下文，不能多不能少，键值都要匹配：

package main

import (
	"encoding/base64"
	"fmt"
	"github.com/aws/aws-sdk-go/aws"
	"github.com/aws/aws-sdk-go/aws/session"
	"github.com/aws/aws-sdk-go/service/kms"
)

func main() {
	// 第一步：初始化KMS客户端，区域必须和Python加密时完全一致！
	sess, err := session.NewSession(&aws.Config{
		Region: aws.String("us-east-1"), // 别写错区域，KMS密钥是区域隔离的
	})
	if err != nil {
		panic(fmt.Errorf("创建session失败：%v", err))
	}
	kmsSvc := kms.New(sess)

	// 你的密文base64字符串
	ciphertextBase64 := "从Python那边拿到的base64密文"

	// 第二步：解码base64，注意用StdEncoding，和Python的b64encode对应
	ciphertextBlob, err := base64.StdEncoding.DecodeString(ciphertextBase64)
	if err != nil {
		panic(fmt.Errorf("base64解码失败：%v", err))
	}

	// 第三步：构建解密请求，必须带上和Python一致的加密上下文
	decryptInput := &kms.DecryptInput{
		CiphertextBlob: ciphertextBlob,
		EncryptionContext: map[string]*string{
			"biz_type": aws.String("user_data"), // 和Python的上下文完全匹配
		},
	}

	// 执行解密
	decryptResp, err := kmsSvc.Decrypt(decryptInput)
	if err != nil {
		panic(fmt.Errorf("解密失败：%v", err))
	}

	// 输出明文
	fmt.Println("解密结果：", string(decryptResp.Plaintext))
}

其他可能的排查点 #

• Base64编码格式不匹配：如果Python用的是base64.urlsafe_b64encode，那Go里要对应用base64.URLEncoding.DecodeString，别混用标准编码和URL安全编码。
• 密文被篡改：检查你拿到的base64字符串有没有多余的空格、换行或者截断，必须是完整的加密结果转码而来。
• KMS权限/区域问题：Go代码使用的IAM账号/角色必须有该KMS密钥的kms:Decrypt权限，并且客户端初始化的区域要和加密时的区域完全一致（比如Python用us-west-2，Go不能用us-east-1）。

内容的提问来源于stack exchange，提问作者Ho-Fu Tsai