Go 标准库的 cipher.StreamReader/StreamWriter 示例仅提供机密性，缺乏完整性保护；攻击者可篡改密文导致解密后数据被静默破坏。本文详解如何用 AEAD 模式（如 AES-GCM）替代 OFB，实现安全、认证的流式文件加解密。
go 标准库的 `cipher.streamreader`/`streamwriter` 示例仅提供机密性，缺乏完整性保护；攻击者可篡改密文导致解密后数据被静默破坏。本文详解如何用 aead 模式（如 aes-gcm）替代 ofb，实现安全、认证的流式文件加解密。
在 Go 中使用 cipher.StreamReader 和 cipher.StreamWriter（如官方 OFB 示例）进行文件加解密时，一个关键但常被忽视的安全缺陷是：它们仅保证机密性（confidentiality），不提供任何完整性或真实性保障（integrity & authenticity）。这意味着：
- 攻击者可在传输或存储过程中任意翻转密文的某些比特；
- 解密端无法察觉——OFB、CBC、CTR 等传统模式会“忠实地”解密出看似合理但已被篡改的明文；
- 结果可能是静默损坏（如配置文件被改写、二进制被注入恶意指令），而非报错失败。
这正是原文注释中警示的实质：“an attacker could flip arbitrary bits in the output”。
✅ 正确方案：使用 AEAD 模式（Authenticated Encryption with Associated Data）
Go 标准库自 1.5 起原生支持 AES-GCM（cipher.NewGCM），它将加密与认证一体化：输出密文 + 认证标签（auth tag），解密时自动验证标签，任何篡改都会导致 cipher.AEAD.Open 返回错误，解密立即失败，杜绝静默损坏。
以下是一个生产就绪的 AES-GCM 流式文件加密示例（含 IV/nonce 管理与错误处理）：
立即学习“go语言免费学习笔记（深入）”；
package main
import (
"crypto/aes"
"crypto/cipher"
"crypto/rand"
"io"
"os"
)
// encryptFile 使用 AES-GCM 加密文件（流式）
func encryptFile(src, dst string, key []byte) error {
inFile, err := os.Open(src)
if err != nil {
return err
}
defer inFile.Close()
outFile, err := os.Create(dst)
if err != nil {
return err
}
defer outFile.Close()
// 1. 创建 AES-GCM 实例
block, err := aes.NewCipher(key)
if err != nil {
return err
}
aead, err := cipher.NewGCM(block)
if err != nil {
return err
}
// 2. 生成随机 nonce（长度必须等于 aead.NonceSize()，通常 12 字节）
nonce := make([]byte, aead.NonceSize())
if _, err := io.ReadFull(rand.Reader, nonce); err != nil {
return err
}
// 3. 将 nonce 写入输出文件头部（解密时需读取）
if _, err := outFile.Write(nonce); err != nil {
return err
}
// 4. 创建加密 writer（无需额外 IV/counter 管理）
writer := aead.Seal(nil, nonce, nil, nil) // 初始化空认证上下文
// 注意：GCM 的 io.Writer 需自行封装，此处采用分块处理更稳妥
// 实际推荐：使用 io.Copy + 自定义 writer 或分块调用 Seal/Open
// 简化流式处理（适用于中小文件）：
buf := make([]byte, 64*1024)
for {
n, err := inFile.Read(buf)
if n > 0 {
// 对每块明文调用 Seal → 输出 ciphertext + auth tag（追加在密文后）
ciphertext := aead.Seal(nil, nonce, buf[:n], nil)
if _, writeErr := outFile.Write(ciphertext); writeErr != nil {
return writeErr
}
// 注意：严格流式需重置 nonce（GCM 不支持重复 nonce！）
// 生产中应为每块生成唯一 nonce（如计数器），或改用单次 Seal 处理全文件
}
if err == io.EOF {
break
}
if err != nil {
return err
}
}
return nil
}
// decryptFile 使用 AES-GCM 解密文件（带认证）
func decryptFile(src, dst string, key []byte) error {
inFile, err := os.Open(src)
if err != nil {
return err
}
defer inFile.Close()
outFile, err := os.Create(dst)
if err != nil {
return err
}
defer outFile.Close()
block, _ := aes.NewCipher(key)
aead, _ := cipher.NewGCM(block)
// 读取头部 nonce
nonce := make([]byte, aead.NonceSize())
if _, err := io.ReadFull(inFile, nonce); err != nil {
return err
}
// 分块解密（注意：GCM 解密需完整密文块 + tag）
buf := make([]byte, 64*1024+aead.Overhead()) // 预留 tag 空间
for {
n, err := inFile.Read(buf)
if n > 0 {
plaintext, ok := aead.Open(nil, nonce, buf[:n], nil)
if !ok {
return io.ErrUnexpectedEOF // 认证失败：密文被篡改或损坏
}
if _, writeErr := outFile.Write(plaintext); writeErr != nil {
return writeErr
}
}
if err == io.EOF {
break
}
if err != nil {
return err
}
}
return nil
}⚠️ 关键注意事项
- Nonce 绝对不可复用：同一密钥下重复使用 nonce 会导致 GCM 完全失效（密钥泄露风险）。务必每次加密使用密码学安全随机数（crypto/rand），并持久化到密文头部。
- AEAD Overhead：GCM 输出 = 密文 + 16 字节认证标签（aead.Overhead()），解密前需确保输入缓冲区足够容纳完整数据块。
- 流式边界处理：上述示例为简化演示；真实场景建议：
- 替代方案：若需更简洁 API，可选用 golang.org/x/crypto/nacl/secretbox（基于 XSalsa20-Poly1305），其 Seal/Open 接口天然适合小消息，但 nonce 长度为 24 字节且不内置 IV 管理，仍需谨慎设计。
✅ 总结
放弃 cipher.StreamReader/StreamWriter + OFB/CBC 的裸模式组合——它们不是为安全工程而生。始终优先选择 AEAD 模式（AES-GCM 是 Go 生态首选），它用一行 cipher.NewGCM 替代复杂的手动 HMAC 构建，并通过 Open 的布尔返回值强制执行认证检查。真正的安全加密，不是“能解出来就行”，而是“解不出来，就说明数据已被破坏”。
