AES 加密工具 — GCM、CBC 与 CTR 模式

什么是 AES 加密？

// AES-256-GCM with a passphrase (PBKDF2-HMAC-SHA256, 600,000 iterations).
// Identical code runs in the browser and in Node.js 20+ via Web Crypto.
async function aesGcmEncrypt(plaintext, passphrase) {
  const enc = new TextEncoder();
  const salt = crypto.getRandomValues(new Uint8Array(16));
  const iv = crypto.getRandomValues(new Uint8Array(12));
  const baseKey = await crypto.subtle.importKey(
    'raw', enc.encode(passphrase), 'PBKDF2', false, ['deriveKey']);
  const key = await crypto.subtle.deriveKey(
    { name: 'PBKDF2', salt, iterations: 600000, hash: 'SHA-256' },
    baseKey, { name: 'AES-GCM', length: 256 }, false, ['encrypt']);
  const ct = new Uint8Array(await crypto.subtle.encrypt(
    { name: 'AES-GCM', iv }, key, enc.encode(plaintext)));
  const packed = new Uint8Array([...salt, ...iv, ...ct]); // salt(16) | iv(12) | ct+tag
  return btoa(String.fromCharCode(...packed));            // self-contained Base64
}

核心特性

AES 加密示例

The quick brown fox jumps over the lazy dog.

盐 (16 字节) + IV (12 字节) + 密文 + 标签 (16 字节)，经 Base64 编码 —— 每次运行都会得到不同的值

Attack at dawn!

U2FsdGVkX18AESIzRFVmd1PBwxIFQpF+VgIhTK0aDHQ=

如何用 AES 加密文本

1. 1

   选择模式和密钥长度

   将模式保留为 GCM（推荐），密钥长度保留为 256，这是最合理的强安全默认值。只有当你要对接的系统要求时才切换到 CBC 或 CTR。

2. 2

   选择口令或原始密钥

   将密钥类型保留为「口令」并输入一个强口令，或者切换到「原始密钥」并粘贴一个精确的 128/192/256 位密钥（十六进制或 Base64）。字节数徽章会确认你的原始密钥长度是否有效。

3. 3

   输入要加密的文本

   输入或粘贴你的明文。加密会随着你的输入自动进行，完全在浏览器中运行 —— 无需点击按钮，也不会上传任何数据。

4. 4

   复制自包含的密文

   右侧的 Base64 结果已经包含了盐、IV 和认证标签。使用分段条查看字节结构，然后点击「复制」。如果目标系统需要十六进制格式，可将输出编码切换为 Hex。

5. 5

   需要时再解密回来

   把密文、口令以及相同的模式和密钥长度提供给接收方，或者打开 AES 解密页面自己反向解密。

常见的 AES 加密错误

Key type: Raw key
Key (hex): correct horse battery staple   (not hex, not 32 bytes)

Key type: Passphrase
Passphrase: correct horse battery staple   (stretched with PBKDF2)

// same key, same IV for two messages
encrypt(key, iv, a); encrypt(key, iv, b);

// fresh random IV each time (the default)
encrypt(key, randomIV(), a);

stored = ciphertext              // salt + IV + tag thrown away

stored = salt + iv + ciphertext + tag   // the full Base64 string

assert(encrypt(msg) === encrypt(msg))   // fails — and should

assert(decrypt(encrypt(msg)) === msg)   // this is what must hold

AES 加密能做什么

了解 AES 各模式的行为

用相同的输入在 GCM、CBC 和 CTR 之间切换，观察认证方式、IV 长度和密文大小如何变化 —— 这是理解 NIST SP 800-38D 具体规定内容的实践方式。

生成其他系统可读取的密文

以 OpenSSL 的 Salted__ 格式（或原始密钥加 IV 的形式）生成输出，让使用 openssl 或加密库的后端、脚本或队友可以毫无阻碍地解密它。

加密一段简短的笔记或片段

用只有你自己知道的口令保护一次性的个人文本 —— 比如在设备间迁移的恢复助记词，或工单里的一段片段。不适合受监管或生产环境的机密。

为加密格式做原型验证

在编写代码之前，先在这里确定好盐/IV/标签的排布和 KDF 设置，用分段明细来确认字节顺序和长度。

生成测试向量

用固定的口令和模式生成已知密文，用于你自己的解密测试，然后在 AES 解密页面验证往返是否正确。

AES 模式与密钥派生

GCM（Galois/Counter 模式）—— 带认证，推荐使用

在机密性之外还带有 128 位认证标签（NIST SP 800-38D）。它使用 96 位（12 字节）的 IV，每次加密都随机生成，加密和解密都能很好地并行化。有一条规则绝不能打破：绝不能对同一密钥重复使用 IV。SP 800-38D 将单个密钥限制为约 2^32 个随机生成的 IV，一旦重复，就会泄露两段明文的异或结果，甚至可能暴露保护标签的认证密钥。适合几乎所有场景。

CBC（密码分组链接）—— 仅提供机密性

每个分组都会与前一个密文分组进行异或运算，使用一个随机的 16 字节 IV。它没有内置认证，因此必须搭配单独的 MAC —— 先加密后 MAC，例如使用我们的 HMAC 生成器 —— 而且历史上容易受到填充预言机攻击（Vaudenay，EUROCRYPT 2002）。提供此模式是为了与 OpenSSL 和老旧系统互通。

CTR（计数器模式）—— 仅提供机密性，类似流密码

通过加密一个计数器，把 AES 变成流密码，因此任意字节长度都无需填充即可处理，各分组也能自由并行。和 CBC 一样，它本身不提供完整性保护，在同一密钥下重复使用计数器/IV 是灾难性的。适合需要随机访问或流式语义的场景。

ECB —— 未提供（刻意如此）

电子密码本模式独立加密每个分组，因此相同的明文分组会产生相同的密文，模式会因此泄露 —— 这就是臭名昭著的「ECB 企鹅」。Web Crypto API 刻意没有实现它，我们也是如此。如果某个老旧的对端要求使用 ECB，应该把它当作需要修复的问题，而不是需要复现的格式。

密钥派生：600,000 次 vs 10,000 次 vs 1 次迭代

在默认的口令模式下，本工具按照 OWASP 的建议使用 PBKDF2-HMAC-SHA256、迭代 600,000 次（相当于把同一个 SHA-256 哈希应用数十万次）并配合一个 16 字节的盐。在 OpenSSL 兼容模式下，PBKDF2 默认只迭代 10,000 次（openssl enc 的默认值），而 CryptoJS 和旧版 OpenSSL 使用的传统 EVP_BytesToKey KDF 只运行一次 MD5 —— 强度低了几个数量级。迭代次数越多，每次猜测的暴力破解速度就越慢，这也是现代默认值大幅提高的原因。Argon2 和 scrypt 更强，但不属于 Web Crypto 的一部分，因此不在本工具的范围内；对于密码存储，请遵循 OWASP 的建议，优先选择 Argon2id。

AES 加密最佳实践

优先选择 GCM，除非对端另有要求

认证加密能捕获 CBC 和 CTR 会悄悄放过的篡改。只有在需要互通时才降级到 CBC 或 CTR，如果这样做，请务必加上 MAC。

为每条消息使用全新的随机 IV

本工具会自动完成这一点。如果你手动覆盖 IV，切勿对同一密钥重复使用同一个 IV —— 对 GCM 而言重复是灾难性的，对 CBC 而言会破坏语义安全性。

选择强口令和真正随机的密钥

PBKDF2 能减慢暴力破解，但无法挽救一个薄弱的口令。用我们的密码生成器生成一个较长的口令，或用密钥生成器生成真正随机的密钥。

把盐、IV 和标签与密文放在一起

它们不是秘密，但没有它们解密就会失败。本工具的自包含格式已经把三者都打包在一起；如果你使用原始密钥的裸密文模式，请单独复制 IV，并把它和密文一起保存。

不要在任何在线工具中加密生产环境或受监管的机密

即便完全在客户端运行，浏览器工具也只适合学习、调试和个人一次性用途。真正的机密应该交给经过审核、拥有审计级密钥处理和轮换机制的密钥管理系统。AES-256 本身是强健的 —— 已被 NSA CNSA 2.0 套件批准用于「绝密」级别信息 —— 现实中的破解都源自实现上的失误，而不是密码算法本身。

AES 加密常见问题