2. Python 加密库概览：cryptography、PyCryptodome、hashlib、ssl 标准库对比与选型

在 Python 生态中，密码学相关库的选择直接影响代码的安全性、可维护性与性能。本章对 cryptography、PyCryptodome、hashlib 和 ssl 四个主流库进行系统性对比，帮助开发者在不同场景下做出合理选型。

2.1 库定位与核心能力

2.2 库架构对比

下图展示了四个库在 Python 密码学栈中的层级关系与典型调用链路：

2.3 关键差异对比

2.3.1 算法支持广度

2.3.2 安全性与默认配置

• cryptography：默认使用安全随机数、自动填充管理、禁用不安全算法（如 DES、RC4），推荐作为首选。
• PyCryptodome：提供底层控制，但需要开发者自行选择安全参数（如 IV 生成、填充模式），容易出错。
• hashlib：仅提供哈希原语，不涉及加密模式，安全性取决于调用方式。
• ssl：Python 3.10+ 默认禁用 TLS 1.0/1.1，要求证书验证，但需注意上下文配置。

2.4 典型代码示例对比

以下展示使用不同库实现 AES-256-GCM 加密的代码差异：

2.4.1 使用 cryptography

from cryptography.hazmat.primitives.ciphers.aead import AESGCM
import os

key = AESGCM.generate_key(bit_length=256)
aesgcm = AESGCM(key)
nonce = os.urandom(12)
ciphertext = aesgcm.encrypt(nonce, b"Hello, World!", None)
plaintext = aesgcm.decrypt(nonce, ciphertext, None)
print(plaintext.decode())  # Hello, World!

2.4.2 使用 PyCryptodome

from Crypto.Cipher import AES
import os

key = os.urandom(32)
nonce = os.urandom(12)
cipher = AES.new(key, AES.MODE_GCM, nonce=nonce)
ciphertext, tag = cipher.encrypt_and_digest(b"Hello, World!")
# 解密时需要重新构造 cipher 对象
cipher_dec = AES.new(key, AES.MODE_GCM, nonce=nonce)
plaintext = cipher_dec.decrypt_and_verify(ciphertext, tag)
print(plaintext.decode())  # Hello, World!

2.4.3 使用 hashlib（仅哈希）

import hashlib

data = b"Hello, World!"
digest = hashlib.sha256(data).hexdigest()
print(digest)  # 64 位十六进制字符串

2.4.4 使用 ssl（TLS 客户端）

import ssl
import socket

context = ssl.create_default_context()
with socket.create_connection(("example.com", 443)) as sock:
    with context.wrap_socket(sock, server_hostname="example.com") as ssock:
        print(ssock.version())  # TLSv1.3

2.5 选型决策流程

下图帮助开发者在实际项目中快速选择最合适的库：

2.6 调试与排错要点

• cryptography：常见错误 UnsupportedAlgorithm 表示 OpenSSL 版本过低，需升级系统 OpenSSL 或使用 pip install --upgrade cryptography。
• PyCryptodome：ValueError: MAC check failed 通常由 nonce/密文/标签不匹配引起，检查数据完整性。
• hashlib：ValueError: digest length 错误出现在使用 new() 时指定了错误的摘要长度。
• ssl：SSLCertVerificationError 表示证书验证失败，检查系统 CA 证书或使用 load_verify_locations 指定证书。

2.7 总结