AES密钥验证：如何校验解密密钥的正确性？

嘿，这个问题太实用了——谁都不想解密出一堆乱码才反应过来密钥错了。下面给你几种靠谱的实现思路，从简单到进阶，总有一款适合你：

加密时，在明文的开头（或结尾）加一段固定的、易识别的字符串（比如b"VALID_AUTH_MARKER"）。解密后先检查这段标记是否存在，不存在就直接抛错。

优点：实现简单，不需要额外依赖；缺点：如果攻击者知道标记内容，可能伪造，但对普通场景足够用。

示例代码（Python + PyCryptodome）：

from Crypto.Cipher import AES
from Crypto.Util.Padding import pad, unpad
import os

def encrypt_with_marker(plaintext: str, key: bytes) -> bytes:
    # 生成AES-CBC所需的IV
    iv = os.urandom(16)
    cipher = AES.new(key, AES.MODE_CBC, iv)
    # 给明文加上固定校验标记
    marked_plaintext = b"VALID_AUTH_MARKER" + plaintext.encode("utf-8")
    # 填充并加密
    ciphertext = cipher.encrypt(pad(marked_plaintext, AES.block_size))
    # 返回IV+密文（IV需要和密文一起存储/传输）
    return iv + ciphertext

def decrypt_with_marker(ciphertext: bytes, key: bytes) -> str:
    iv = ciphertext[:16]
    actual_ciphertext = ciphertext[16:]
    
    cipher = AES.new(key, AES.MODE_CBC, iv)
    try:
        # 解密并去填充
        decrypted_data = unpad(cipher.decrypt(actual_ciphertext), AES.block_size)
    except ValueError:
        # 去填充失败，大概率密钥错误或数据损坏
        raise ValueError("Invalid decryption key or corrupted data")
    
    # 检查标记是否存在
    if not decrypted_data.startswith(b"VALID_AUTH_MARKER"):
        raise ValueError("Invalid decryption key")
    
    # 去掉标记，返回真实明文
    return decrypted_data[len(b"VALID_AUTH_MARKER"):].decode("utf-8")

加密时，对IV+密文（或明文）生成HMAC值，把HMAC和密文一起存储。解密时先验证HMAC的正确性，再进行解密。HMAC的密钥可以和AES密钥分开（也可以复用，但分开更安全）。

优点：既能验证密钥正确性，还能防止数据被篡改；缺点：需要额外处理HMAC的存储和验证。

示例代码：

from Crypto.Cipher import AES
from Crypto.Util.Padding import pad, unpad
import hmac
import hashlib
import os

def encrypt_with_hmac(plaintext: str, key: bytes) -> bytes:
    # 拆分AES加密密钥和HMAC密钥（这里假设总密钥32字节，前16给AES，后16给HMAC）
    aes_key = key[:16]
    hmac_key = key[16:]
    
    iv = os.urandom(16)
    cipher = AES.new(aes_key, AES.MODE_CBC, iv)
    ciphertext = cipher.encrypt(pad(plaintext.encode("utf-8"), AES.block_size))
    
    # 生成HMAC：用IV+密文作为输入
    hmac_value = hmac.new(hmac_key, iv + ciphertext, hashlib.sha256).digest()
    # 返回IV+密文+HMAC
    return iv + ciphertext + hmac_value

def decrypt_with_hmac(ciphertext: bytes, key: bytes) -> str:
    aes_key = key[:16]
    hmac_key = key[16:]
    
    iv = ciphertext[:16]
    actual_ciphertext = ciphertext[16:-32]  # SHA256的HMAC是32字节
    received_hmac = ciphertext[-32:]
    
    # 先验证HMAC
    computed_hmac = hmac.new(hmac_key, iv + actual_ciphertext, hashlib.sha256).digest()
    # 用compare_digest防止时序攻击
    if not hmac.compare_digest(computed_hmac, received_hmac):
        raise ValueError("Invalid decryption key or data tampered with")
    
    # 再解密
    cipher = AES.new(aes_key, AES.MODE_CBC, iv)
    try:
        decrypted_data = unpad(cipher.decrypt(actual_ciphertext), AES.block_size)
    except ValueError:
        raise ValueError("Invalid decryption key or corrupted data")
    
    return decrypted_data.decode("utf-8")

直接用AES的AEAD模式（比如GCM、CCM），这类模式本身就集成了加密+认证功能。解密时如果密钥错误、数据被篡改，会直接抛出异常，无需自己实现校验逻辑。

优点：安全性最高，代码最简洁；缺点：需要确保使用的库支持AEAD模式（大部分现代加密库都支持）。

示例代码（AES-GCM）：

from Crypto.Cipher import AES
import os

def encrypt_with_gcm(plaintext: str, key: bytes) -> bytes:
    # AES-GCM不需要手动生成IV，用nonce即可（库会自动处理）
    cipher = AES.new(key, AES.MODE_GCM)
    ciphertext, tag = cipher.encrypt_and_digest(plaintext.encode("utf-8"))
    # 返回nonce+密文+tag（nonce和tag都需要和密文一起存储）
    return cipher.nonce + ciphertext + tag

def decrypt_with_gcm(ciphertext: bytes, key: bytes) -> str:
    # GCM的nonce通常是16字节，tag也是16字节
    nonce = ciphertext[:16]
    actual_ciphertext = ciphertext[16:-16]
    tag = ciphertext[-16:]
    
    cipher = AES.new(key, AES.MODE_GCM, nonce=nonce)
    try:
        # 解密并验证tag
        decrypted_data = cipher.decrypt_and_verify(actual_ciphertext, tag)
    except ValueError:
        # 这里的异常直接对应密钥错误或数据篡改
        raise ValueError("Invalid decryption key or data tampered with")
    
    return decrypted_data.decode("utf-8")

• 如果你用的是CBC模式，unpad抛出的ValueError也能作为密钥错误的信号，但不能完全依赖——数据损坏也会导致这个错误，所以结合标记或HMAC更可靠。
• 永远不要用ECB模式，它没有IV，安全性极差，而且很难可靠地验证密钥。
• 密钥长度要符合AES要求：16字节（AES-128）、24字节（AES-192）、32字节（AES-256）。

内容的提问来源于stack exchange，提问作者Nilesh Kumar