NiFi ExecuteScript处理器加密JSON脚本执行报错求助

嘿，我仔细看了你的脚本和遇到的报错，发现几个关键问题导致了执行失败，下面帮你逐一解决：

1. Base64编码器用错了 #

你代码里直接写Base64.encoder是不对的，Java的Base64类没有这个静态字段，得用Base64.getEncoder()方法来获取编码器实例才行。

2. BouncyCastle提供者没注册 #

你在创建Cipher的时候指定了"BC"提供者，但NiFi默认的JVM环境里可能没加载这个库。要么把这个参数去掉，用JVM自带的AES/GCM支持（Java 8及以上已经内置支持了），要么把BouncyCastle的jar包放到NiFi的lib目录里，再在脚本开头注册提供者。

3. 重复用同一个Cipher实例不行 #

GCM模式的Cipher实例加密一次之后就不能再复用了，必须重新创建新的实例或者重新初始化，不然会直接抛异常。

4. 密钥和IV的处理有小问题 #

你直接把十六进制的密钥字符串转成UTF-8字节其实不太对——十六进制字符串应该解码成原始字节，比如01234567这样的十六进制字符串，解码后是4个字节，而不是直接转成UTF-8的8个字节。另外GCM模式推荐用12字节的IV，比16字节更高效。

修正后的完整脚本 #

import javax.crypto.Cipher
import javax.crypto.SecretKey
import javax.crypto.spec.IvParameterSpec
import javax.crypto.spec.SecretKeySpec
import java.nio.charset.StandardCharsets
import java.util.Base64
import java.math.BigInteger
import java.util.Arrays

FlowFile flowFile = session.get()
if (!flowFile) {
    return
}
try {
    // 获取要加密的属性值
    String normalAttribute = flowFile.getAttribute('Normal Attribute')
    String sensitiveAttribute = flowFile.getAttribute('Sensitive Attribute')
    
    // 处理十六进制密钥：解码成原始字节
    String keyHex = "0123456789ABCDEFFEDCBA9876543210"
    byte[] keyBytes = new BigInteger(keyHex, 16).toByteArray()
    // 调整密钥长度为32字节（对应AES-256），如果用AES-128就改成16
    if (keyBytes.length != 32) {
        keyBytes = Arrays.copyOf(keyBytes, 32)
    }
    SecretKey key = new SecretKeySpec(keyBytes, "AES")
    
    // 生成GCM推荐的12字节IV，这里用密钥的前12字节做测试，生产环境一定要用随机IV！
    byte[] ivBytes = new byte[12]
    System.arraycopy(keyBytes, 0, ivBytes, 0, 12)
    IvParameterSpec iv = new IvParameterSpec(ivBytes)
    
    // 加密普通属性：创建新的Cipher实例
    Cipher cipherForNormal = Cipher.getInstance("AES/GCM/NoPadding")
    cipherForNormal.init(Cipher.ENCRYPT_MODE, key, iv)
    String encryptedNormal = Base64.getEncoder().encodeToString(cipherForNormal.doFinal(normalAttribute.getBytes(StandardCharsets.UTF_8)))
    
    // 加密敏感属性：必须用新的Cipher实例
    Cipher cipherForSensitive = Cipher.getInstance("AES/GCM/NoPadding")
    // 注意：生产环境这里要生成新的随机IV，和密文一起存储
    cipherForSensitive.init(Cipher.ENCRYPT_MODE, key, iv)
    String encryptedSensitive = Base64.getEncoder().encodeToString(cipherForSensitive.doFinal(sensitiveAttribute.getBytes(StandardCharsets.UTF_8)))
    
    // 更新FlowFile的属性
    flowFile = session.putAttribute(flowFile, 'Normal Attribute (encrypted)', encryptedNormal)
    flowFile = session.putAttribute(flowFile, 'Sensitive Attribute', encryptedSensitive)
    
    session.transfer(flowFile, REL_SUCCESS)
} catch (Exception e) {
    log.error("加密属性时出错: ${e.getMessage()}", e)
    session.transfer(flowFile, REL_FAILURE)
}

额外提醒 #

• IV的安全性：GCM模式下绝对不能重复使用同一个IV和密钥组合，生产环境一定要生成随机IV，然后把IV和密文一起保存（比如把Base64编码后的IV拼在密文前面，解密时再拆分出来）。
• 密钥别硬编码：脚本里硬写密钥太不安全了，建议用NiFi的KeyStoreService或者SecurePropertiesService来管理密钥。
• 如果要用BouncyCastle：把BC的jar包放到NiFi的lib目录，然后在脚本开头加一行Security.addProvider(new org.bouncycastle.jce.provider.BouncyCastleProvider())。

内容的提问来源于stack exchange，提问作者Subba Rao