Go 标准库的 cipher.StreamReader/StreamWriter 示例仅提供机密性，缺乏完整性保护；攻击者可篡改密文导致解密后数据被静默破坏。本文详解如何用 AEAD 模式（如 AES-GCM）替代 OFB，实现安全、认证的流式文件加解密。
go 标准库的 `cipher.streamreader`/`streamwriter` 示例仅提供机密性，缺乏完整性保护；攻击者可篡改密文导致解密后数据被静默破坏。本文详解如何用 aead 模式（如 aes-gcm）替代 ofb，实现安全、认证的流式文件加解密。
在 Go 中使用 cipher.StreamReader 和 cipher.StreamWriter（如官方 OFB 示例）进行文件加解密时，一个关键但常被忽视的安全缺陷是：它们仅保证机密性（confidentiality），不提供任何完整性或真实性保障（integrity & authenticity）。这意味着：
- 攻击者可在传输或存储过程中任意翻转密文的某些比特；
- 解密端无法察觉——OFB、CBC、CTR 等传统模式会“忠实地”解密出看似合理但已被篡改的明文；
- 结果可能是静默损坏（如配置文件被改写、二进制被注入恶意指令），而非报错失败。
这正是原文注释中警示的实质：“an attacker could flip arbitrary bits in the output”。
✅ 正确方案：使用 AEAD 模式（Authenticated Encryption with Associated Data）
Go 标准库自 1.5 起原生支持 AES-GCM（cipher.NewGCM），它将加密与认证一体化：输出密文 + 认证标签（auth tag），解密时自动验证标签，任何篡改都会导致 cipher.AEAD.Open 返回错误，解密立即失败，杜绝静默损坏。
以下是一个生产就绪的 AES-GCM 流式文件加密示例（含 IV/nonce 管理与错误处理）：
立即学习“go语言免费学习笔记（深入）”；
package main import ( "crypto/aes" "crypto/cipher" "crypto/rand" "io" "os" ) // encryptFile 使用 AES-GCM 加密文件（流式） func encryptFile(src, dst string, key []byte) error { inFile, err := os.Open(src) if err != nil { return err } defer inFile.Close() outFile, err := os.Create(dst) if err != nil { return err } defer outFile.Close() // 1. 创建 AES-GCM 实例 block, err := aes.NewCipher(key) if err != nil { return err } aead, err := cipher.NewGCM(block) if err != nil { return err } // 2. 生成随机 nonce（长度必须等于 aead.NonceSize()，通常 12 字节） nonce := make([]byte, aead.NonceSize()) if _, err := io.ReadFull(rand.Reader, nonce); err != nil { return err } // 3. 将 nonce 写入输出文件头部（解密时需读取） if _, err := outFile.Write(nonce); err != nil { return err } // 4. 创建加密 writer（无需额外 IV/counter 管理） writer := aead.Seal(nil, nonce, nil, nil) // 初始化空认证上下文 // 注意：GCM 的 io.Writer 需自行封装，此处采用分块处理更稳妥 // 实际推荐：使用 io.Copy + 自定义 writer 或分块调用 Seal/Open // 简化流式处理（适用于中小文件）： buf := make([]byte, 64*1024) for { n, err := inFile.Read(buf) if n > 0 { // 对每块明文调用 Seal → 输出 ciphertext + auth tag（追加在密文后） ciphertext := aead.Seal(nil, nonce, buf[:n], nil) if _, writeErr := outFile.Write(ciphertext); writeErr != nil { return writeErr } // 注意：严格流式需重置 nonce（GCM 不支持重复 nonce！） // 生产中应为每块生成唯一 nonce（如计数器），或改用单次 Seal 处理全文件 } if err == io.EOF { break } if err != nil { return err } } return nil } // decryptFile 使用 AES-GCM 解密文件（带认证） func decryptFile(src, dst string, key []byte) error { inFile, err := os.Open(src) if err != nil { return err } defer inFile.Close() outFile, err := os.Create(dst) if err != nil { return err } defer outFile.Close() block, _ := aes.NewCipher(key) aead, _ := cipher.NewGCM(block) // 读取头部 nonce nonce := make([]byte, aead.NonceSize()) if _, err := io.ReadFull(inFile, nonce); err != nil { return err } // 分块解密（注意：GCM 解密需完整密文块 + tag） buf := make([]byte, 64*1024+aead.Overhead()) // 预留 tag 空间 for { n, err := inFile.Read(buf) if n > 0 { plaintext, ok := aead.Open(nil, nonce, buf[:n], nil) if !ok { return io.ErrUnexpectedEOF // 认证失败：密文被篡改或损坏 } if _, writeErr := outFile.Write(plaintext); writeErr != nil { return writeErr } } if err == io.EOF { break } if err != nil { return err } } return nil }
⚠️ 关键注意事项
- Nonce 绝对不可复用：同一密钥下重复使用 nonce 会导致 GCM 完全失效（密钥泄露风险）。务必每次加密使用密码学安全随机数（crypto/rand），并持久化到密文头部。
- AEAD Overhead：GCM 输出 = 密文 + 16 字节认证标签（aead.Overhead()），解密前需确保输入缓冲区足够容纳完整数据块。
- 流式边界处理：上述示例为简化演示；真实场景建议：
- 替代方案：若需更简洁 API，可选用 golang.org/x/crypto/nacl/secretbox（基于 XSalsa20-Poly1305），其 Seal/Open 接口天然适合小消息，但 nonce 长度为 24 字节且不内置 IV 管理，仍需谨慎设计。
✅ 总结
放弃 cipher.StreamReader/StreamWriter + OFB/CBC 的裸模式组合——它们不是为安全工程而生。始终优先选择 AEAD 模式（AES-GCM 是 Go 生态首选），它用一行 cipher.NewGCM 替代复杂的手动 HMAC 构建，并通过 Open 的布尔返回值强制执行认证检查。真正的安全加密，不是“能解出来就行”，而是“解不出来，就说明数据已被破坏”。