AES 解密工具 — 兼容 OpenSSL 与 CryptoJS

AES 解密的工作原理

// AES-256-GCM decrypt with a passphrase (PBKDF2-HMAC-SHA256, 600,000 iterations).
// Identical code runs in the browser and in Node.js 20+ via Web Crypto.
async function aesGcmDecrypt(base64, passphrase) {
  const enc = new TextEncoder();
  const packed = Uint8Array.from(atob(base64), (c) => c.charCodeAt(0));
  const salt = packed.slice(0, 16), iv = packed.slice(16, 28); // salt(16) | iv(12)
  const ct = packed.slice(28);                                 // ciphertext + tag
  const baseKey = await crypto.subtle.importKey(
    'raw', enc.encode(passphrase), 'PBKDF2', false, ['deriveKey']);
  const key = await crypto.subtle.deriveKey(
    { name: 'PBKDF2', salt, iterations: 600000, hash: 'SHA-256' },
    baseKey, { name: 'AES-GCM', length: 256 }, false, ['decrypt']);
  const plain = await crypto.subtle.decrypt(
    { name: 'AES-GCM', iv }, key, ct);        // throws if the tag fails
  return new TextDecoder().decode(plain);     // recovered plaintext
}

核心特性

AES 解密示例

盐(16) ‖ iv(12) ‖ 密文 ‖ 标签(16)，Base64 —— 来自加密页面

The quick brown fox jumps over the lazy dog.

U2FsdGVkX18AESIzRFVmd1PBwxIFQpF+VgIhTK0aDHQ=

Attack at dawn!

如何解密 AES 密文

1. 1

   粘贴密文

   把你的 Base64 或 Hex 密文放进输入框。如果它以 U2FsdGVkX1 开头，工具会将其标记为 OpenSSL/CryptoJS 格式，并提供切换到正确模式的选项。

2. 2

   设置格式和模式

   对于本工具生成的自包含字符串，保持「口令」模式和匹配的 GCM/CBC/CTR。对于 OpenSSL/CryptoJS 输出，接受切换建议（CBC + 口令）。对于原始密钥数据，选择「原始密钥」和对应编码，如果 IV 没有拼接在密文前面，需另行提供。

3. 3

   选择密钥派生函数

   在 OpenSSL 模式下，选择 PBKDF2（及其迭代次数）、EVP-SHA256 或 EVP-MD5，以匹配密钥当时的派生方式。EVP-MD5 是 CryptoJS 使用的那种。

4. 4

   输入口令或密钥

   输入确切的口令，或以十六进制或 Base64 粘贴确切的原始密钥。一旦所有设置都匹配，明文就会出现在右侧。

5. 5

   如果失败，请阅读诊断信息

   如果解密出错，面板会指出可能的原因 —— IV 错误、密钥错误、填充错误、Base64 污染，或 KDF 不匹配 —— 这样你就可以逐项调整设置，而不必凭猜测。

AES 解密失败的原因及修复方法

mode: CBC        // but the data was encrypted with GCM
=> Authentication failed

mode: GCM, same passphrase and key size as encryption
=> plaintext

iv: 00000000000000000000000000000000   (wrong IV)
=> first block corrupt, rest readable

iv: (the exact IV used to encrypt)
=> Attack at dawn!

passphrase: hunter3   // one character off
=> padding error

passphrase: hunter2   // exact
=> plaintext

“U2FsdGVkX1...”   (curly quotes and trailing junk copied in)

U2FsdGVkX18AESIzRFVmd1PBwxIFQpF+VgIhTK0aDHQ=   (clean Base64)

OpenSSL compatible: off
input: U2FsdGVkX1...
=> cannot parse

OpenSSL compatible: on, KDF chosen
=> plaintext

KDF: PBKDF2       // CryptoJS ciphertext
=> padding error

KDF: EVP-MD5      // matches CryptoJS
=> plaintext

AES 解密能做什么

解密 openssl enc 输出

无需打开终端即可读取由 openssl enc -aes-256-cbc 生成的 Salted__ 数据块：粘贴 Base64、输入口令、选择 KDF，即可得到明文。

解密 CryptoJS 密文

从使用 CryptoJS AES.encrypt(text, passphrase) 的旧应用中恢复数据。选择 EVP-MD5 以匹配它的单次 MD5 密钥派生 —— 这是大多数人会漏掉的一步。

调试一直失败的解密

当你自己的代码无法解密某段内容时，把它粘贴到这里，借助诊断面板确定问题出在密钥、IV、模式、编码还是 KDF 上。

验证加密的往返正确性

确认来自 AES 加密页面或你自己应用的密文，能准确解密回原始字节。

理解一段未知的密文

根据密文的形态识别其格式 —— U2FsdGVkX1 前缀，或看起来像 IV 的定长前缀 —— 在尝试密钥之前先弄清楚它是如何生成的。

AES 解密的内部机制与格式

GCM 解密 —— 带认证

GCM 会对密文重新计算 128 位标签并进行比对，然后才会返回任何明文；不匹配时会抛出错误，而不是泄露损坏的数据。它使用拼接在前面的 96 位 IV。GCM 失败意味着密钥、模式、IV 或密文有误 —— 密码算法无法告诉你具体是哪一个，只能说明认证失败了。

CBC 解密 —— 留意第一个分组和填充

CBC 有两种明显不同的失败特征。如果只有第一个 16 字节的分组是乱码，其余部分看起来正常，说明 IV 错了。如果每个分组都是乱码，说明密钥错了。PKCS#7 填充错误通常意味着密钥错误，或密文已损坏或被截断。CBC 没有标签（不像 HMAC 这样的认证构造），因此密钥错误时甚至可能解密出看起来合理的字节。

CTR 解密 —— 出错时悄无声息

CTR 永远不会抛出错误：密钥错误只会产生乱码，通常会在把字节解码为文本时表现为「不是有效的 UTF-8」错误。请确保计数器/IV 完全匹配。由于没有完整性校验，对任何未单独认证的 CTR 输出都应保持怀疑。

密文布局（F1 / F2 / F3）

格式 1（口令）是 盐(16) 然后 IV 然后密文，GCM 模式下末尾还附有 16 字节的 GCM 标签。格式 2（原始密钥）是 IV 然后密文，或者是需要单独提供 IV 的裸密文。格式 3（OpenSSL）是 ASCII 头部 Salted__，然后是 8 字节的盐，再然后是密文。知道自己拿到的是哪种布局，就能告诉工具盐和 IV 在哪里；而原始密钥本身应该来自 CSPRNG —— 参见密钥生成器。

密钥派生：匹配加密数据时使用的方式

对于自包含的口令密文，本工具使用 PBKDF2-HMAC-SHA256，迭代 600,000 次。对于 OpenSSL/CryptoJS 密文，你必须选择当时使用的 KDF：PBKDF2（openssl -pbkdf2 的默认迭代次数是 10,000 —— 请设置精确的次数）、使用 SHA-256 的 EVP_BytesToKey（没有 -pbkdf2 的 OpenSSL 1.1+），或使用 MD5 且只迭代一次的 EVP_BytesToKey（CryptoJS 和 OpenSSL 1.0.2 及更早版本）。经典的「解密不了」问题就是用 SHA-256 去尝试 CryptoJS 或旧版 openssl 的密文 —— 切换到 EVP-MD5 就能解决。

AES 解密最佳实践

先识别密文的格式

在调整任何设置之前，先看一眼密文。U2FsdGVkX1 前缀意味着 OpenSSL/CryptoJS；本工具生成的自包含字符串是口令格式；裸数据块通常需要原始密钥和单独提供的 IV。

精确匹配密钥派生函数

对 OpenSSL/CryptoJS 密文来说，KDF 和口令同样重要。如果 PBKDF2 失败，请尝试 EVP-MD5（CryptoJS、旧版 openssl）；不仅算法要匹配，迭代次数也必须一致。

干净地粘贴密文

复制时带入的多余换行或空格会破坏 Base64。本工具会自动去除空白字符，但如果解码仍然失败，请检查是否混入了弯引号、缺失字符，或复制不完整。我们的 Base64 工具可以帮你检查一段可疑的字符串。

诚实对待密钥错误的结果

使用 CTR 或 CBC 时，密钥错误可能会产生字节而不是报错。如果输出看起来像乱码，或未通过 UTF-8 检查，说明密钥或 IV 错了 —— 不要相信看起来「部分正确」的输出。

绝不要把机密密文或密钥发送到服务器

在浏览器中解密的意义就在于没有任何东西会离开页面。请避开会上传数据的工具；本工具在本地使用 Web Crypto，你可以通过「网络」面板或断网来验证这一点。AES-256 是强健的 —— 已获 CNSA 2.0 批准用于「绝密」级别 —— 所以如果解密不了，问题出在参数上，而不是密码算法本身。

AES 解密常见问题