Presidio加密匿名器返回结果不一致，解密失败求助

Presidio的encrypt匿名器采用AES-GCM对称加密模式，每次加密会自动生成随机的12字节初始化向量（IV），并将IV、密文和认证标签拼接后做Base64编码返回。这就是相同明文和密钥每次返回不同结果的原因——IV是随机生成的，符合GCM的安全规范。但解密时必须正确提取IV和认证标签，否则无法还原明文，你直接用密文解密却未拆分这些组件，所以得到无效结果。

有两种可行的解决方式：

方式1：调用Presidio的deanonymize接口自动解密 #

直接使用Presidio提供的去匿名化接口，它会自动处理IV和标签的拆分逻辑，无需手动操作。请求示例如下：

POST http://localhost:5001/deanonymize HTTP/1.1
content-type: application/json

{
  "text": "My Name is SmcaK2vH-6jd3nG5PRMM1DAJUw3Bjw8J7dMuEDiE4WM=",
  "language": "en",
  "anonymizers": {
    "PERSON": { 
      "type": "encrypt", 
      "key": "WmZq4t7w!z%C&F)J"
    }
  },
  "anonymized_results": [
    {
      "start": 11,
      "end": 55,
      "entity_type": "PERSON",
      "text": "SmcaK2vH-6jd3nG5PRMM1DAJUw3Bjw8J7dMuEDiE4WM="
    }
  ]
}

注意：anonymized_results中的start和end要对应加密后文本中密文的位置，text字段填写加密后的字符串。

方式2：手动拆分IV、密文和标签进行解密 #

如果需要自行实现解密逻辑，可按照以下步骤操作（以Python为例，使用cryptography库）：

1. 将Base64编码的密文解码为字节串
2. 拆分出IV（前12字节）、密文（中间部分）、认证标签（最后16字节）
3. 使用AES-GCM模式解密

代码示例：

from cryptography.hazmat.primitives.ciphers import Cipher, algorithms, modes
from cryptography.hazmat.backends import default_backend
import base64

def decrypt_presidio_ciphertext(ciphertext_b64, key):
    # 解码Base64密文（处理Presidio可能替换的+-/_字符）
    ciphertext_bytes = base64.b64decode(ciphertext_b64.replace("-", "+").replace("_", "/"))
    # 拆分IV、密文、认证标签
    iv = ciphertext_bytes[:12]
    ciphertext = ciphertext_bytes[12:-16]
    tag = ciphertext_bytes[-16:]
    # 初始化AES-GCM解密器
    cipher = Cipher(algorithms.AES(key.encode()), modes.GCM(iv, tag), backend=default_backend())
    decryptor = cipher.decryptor()
    # 解密并返回明文
    plaintext = decryptor.update(ciphertext) + decryptor.finalize()
    return plaintext.decode()

# 使用示例
key = "WmZq4t7w!z%C&F)J"
ciphertext = "SmcaK2vH-6jd3nG5PRMM1DAJUw3Bjw8J7dMuEDiE4WM="
print(decrypt_presidio_ciphertext(ciphertext, key))
# 输出: Bruce Haack

• 确保密钥长度符合AES要求：16字节对应AES-128、24字节对应AES-192、32字节对应AES-256。你的密钥是16字符，刚好适配AES-128，无需调整。
• AES-GCM的IV必须随机且唯一，Presidio自动生成的IV符合安全规范，不要手动固定IV，否则会降低加密安全性。

内容的提问来源于stack exchange，提问作者awful hack