AWS KMS跨语言加解密问题：NodeJS加密无法被Java解密

这种跨语言KMS加解密不兼容的问题我之前也踩过坑，大概率是加密时的参数细节没对齐导致的，咱们一步步排查解决：

1. 加密上下文（Encryption Context）必须完全一致 #

KMS的加密上下文是个容易被忽略但关键的参数——解密时必须和加密时提供完全匹配的键值对（键名大小写、内容都不能差，空上下文也要保持一致，加密时传了空对象，解密就不能不传）。

比如NodeJS加密时如果传了：

const params = {
  // ...其他参数
  EncryptionContext: { "app": "message-service", "env": "production" }
};

那Java解密时必须严格传相同的键值对，少一个键或者键名写错都会解密失败。

2. 明文/密文的编码与转码要对齐 #

• NodeJS的KMS SDK默认处理Buffer类型，加密时建议明确用UTF-8转成Buffer：Buffer.from(plaintext, 'utf8')
• 密文传输时，NodeJS通常会把返回的CiphertextBlob转成Base64字符串（ciphertext.toString('base64')），Java解密时必须先把Base64字符串解码成字节数组（Base64.getDecoder().decode(ciphertextBase64)）
• Java解密后转字符串时，也要明确用UTF-8：new String(decryptedBytes, StandardCharsets.UTF_8)

3. 确认KMS密钥类型为对称密钥 #

如果用的是非对称KMS密钥，需要保证加密用公钥、解密用私钥（反之亦然），但跨语言场景下**对称密钥（SYMMETRIC_DEFAULT）**是最省心的选择，默认创建的KMS密钥就是这种类型，先确认你的密钥配置没问题。

修正后的代码示例 #

NodeJS 加密代码 #

const AWS = require('aws-sdk');
const kms = new AWS.KMS({
  accessKeyId: "your-access-key",
  secretAccessKey: "your-secret-key",
  region: "your-region"
});

async function encryptMessage(plaintext) {
  const params = {
    KeyId: "your-kms-key-id",
    Plaintext: Buffer.from(plaintext, 'utf8'),
    EncryptionContext: { "app": "message-service", "env": "production" }
  };
  const result = await kms.encrypt(params).promise();
  // 转成Base64方便跨语言传输
  return result.CiphertextBlob.toString('base64');
}

Java 解密代码 #

import software.amazon.awssdk.services.kms.KmsClient;
import software.amazon.awssdk.services.kms.model.DecryptRequest;
import software.amazon.awssdk.services.kms.model.DecryptResponse;
import java.nio.charset.StandardCharsets;
import java.util.Base64;
import java.util.HashMap;
import java.util.Map;

public class KmsDecryptHandler {
    public static String decryptMessage(String ciphertextBase64) {
        try (KmsClient kmsClient = KmsClient.builder()
                .region(Region.YOUR_REGION)
                .credentialsProvider(/* 替换为你的AWS凭证提供者 */)
                .build()) {
            
            // 解码Base64密文
            byte[] ciphertextBytes = Base64.getDecoder().decode(ciphertextBase64);
            
            // 和NodeJS完全一致的加密上下文
            Map<String, String> encryptionContext = new HashMap<>();
            encryptionContext.put("app", "message-service");
            encryptionContext.put("env", "production");
            
            DecryptRequest request = DecryptRequest.builder()
                    .ciphertextBlob(ciphertextBytes)
                    .encryptionContext(encryptionContext)
                    .build();
            
            DecryptResponse response = kmsClient.decrypt(request);
            return new String(response.plaintext().asByteArray(), StandardCharsets.UTF_8);
        } catch (Exception e) {
            throw new RuntimeException("跨语言解密失败", e);
        }
    }
}

先从加密上下文开始排查，这个是最常见的问题，把这些细节对齐后，跨语言加解密应该就能正常工作了。

内容的提问来源于stack exchange，提问作者Frederic