2. 常见对称加密算法避坑：AES的密钥长度选择（128/192/256）、ECB模式的安全隐患、GCM模式与认证加密的必要性

对称加密是数据机密性的基石，但选错算法、密钥长度或工作模式，往往比不加密更危险。本章聚焦 AES 这一事实标准，剖析密钥长度选择、ECB 模式的结构性缺陷，以及 GCM 模式为何成为现代应用的首选。

2.1 AES 密钥长度：128、192 与 256 的真实安全边界

AES（Advanced Encryption Standard）支持三种密钥长度：128 位、192 位和 256 位。许多开发者误以为“越长越安全”，从而盲目选择 256 位，却忽略了性能与密钥管理的代价。

2.2 ECB 模式：永远不要在生产中使用

ECB（Electronic Codebook）模式将明文分成独立块分别加密。这种“确定性”导致相同明文块产生相同密文块，完全暴露数据模式。

ECB 模式的核心缺陷：

• 模式泄露： 相同明文块 → 相同密文块，攻击者可识别重复模式。
• 重放攻击： 攻击者可交换密文块而不被检测，篡改数据顺序。
• 无初始化向量： 缺乏随机化，同一密钥下多次加密相同数据结果相同。

2.3 GCM 模式：认证加密的现代标准

GCM（Galois/Counter Mode）是一种认证加密（AEAD）模式，同时提供机密性、完整性和真实性验证。它解决了 CBC 等模式无法防止篡改的根本问题。

GCM 模式的核心优势：

• 内置认证标签： 加密后生成 128 位认证标签，接收方验证标签可检测密文是否被篡改。
• 并行化加密： 基于 CTR 模式，支持硬件加速（如 AES-NI 指令集），性能极高。
• 一次加密 + 一次认证： 无需额外 HMAC 步骤，减少开发错误。

2.4 避坑清单：对称加密选型决策

2.5 代码示例：Go 语言中正确使用 AES-GCM

package main

import (
    "crypto/aes"
    "crypto/cipher"
    "crypto/rand"
    "encoding/hex"
    "fmt"
    "io"
)

func encryptAESGCM(key, plaintext []byte) ([]byte, error) {
    block, err := aes.NewCipher(key)
    if err != nil {
        return nil, err
    }

    // GCM 模式推荐 Nonce 长度为 12 字节
    nonce := make([]byte, 12)
    if _, err := io.ReadFull(rand.Reader, nonce); err != nil {
        return nil, err
    }

    aesGCM, err := cipher.NewGCM(block)
    if err != nil {
        return nil, err
    }

    // Seal 返回 nonce + 密文 + 认证标签
    ciphertext := aesGCM.Seal(nonce, nonce, plaintext, nil)
    return ciphertext, nil
}

func decryptAESGCM(key, ciphertext []byte) ([]byte, error) {
    block, err := aes.NewCipher(key)
    if err != nil {
        return nil, err
    }

    aesGCM, err := cipher.NewGCM(block)
    if err != nil {
        return nil, err
    }

    nonceSize := aesGCM.NonceSize()
    if len(ciphertext) < nonceSize {
        return nil, fmt.Errorf("ciphertext too short")
    }

    nonce, ciphertext := ciphertext[:nonceSize], ciphertext[nonceSize:]
    plaintext, err := aesGCM.Open(nil, nonce, ciphertext, nil)
    if err != nil {
        return nil, err // 认证失败，数据被篡改
    }
    return plaintext, nil
}

func main() {
    key := make([]byte, 32) // AES-256
    if _, err := rand.Read(key); err != nil {
        panic(err)
    }

    plaintext := []byte("Hello, AES-GCM Security!")
    encrypted, _ := encryptAESGCM(key, plaintext)
    decrypted, _ := decryptAESGCM(key, encrypted)

    fmt.Printf("原始: %s\n", plaintext)
    fmt.Printf("加密: %s\n", hex.EncodeToString(encrypted))
    fmt.Printf("解密: %s\n", decrypted)
}