1. 项目概述为什么要在Go里搞加密做后端开发尤其是涉及到用户数据、支付、通信这些敏感环节加密是绕不过去的一道坎。你可能经常听到AES和RSA这两个词前者速度快适合加密大量数据后者基于公钥私钥解决了密钥分发和身份验证的难题。在Go语言里标准库crypto及相关子包crypto/aes,crypto/rsa,crypto/cipher等已经为我们封装好了这些算法的实现开箱即用性能和安全都有保障。但说实话直接看官方文档你可能会有点懵。比如AES加密时模式选CBC还是GCM填充用PKCS#7还是别的RSA加密时明文长度限制是多少OAEP填充又该怎么用这些问题文档不会手把手教你但实际项目里一个细节没处理好轻则加解密失败重则埋下安全漏洞。这篇文章我就结合自己踩过的坑带你从零开始在Go里把AES和RSA这两种最常用的加密方式玩明白。我们不只讲“怎么用”更重点拆解“为什么这么用”以及那些官方文档里没写的实操细节和避坑指南。目标是让你看完后能独立设计并实现一个健壮的加密模块无论是用于API通信、配置文件加密还是数据库字段脱敏都能心里有底。2. 核心概念与设计思路拆解在动手写代码之前我们必须先理清几个核心概念。加密不是简单调用一个函数而是一套包含算法、模式、填充、密钥管理的组合拳。2.1 AES对称加密的王者AES高级加密标准是一种对称加密算法意思是加密和解密用的是同一把密钥。它的核心优势是速度快适合加密数据体量大的内容比如整个HTTP请求体、文件流或者数据库中的大段文本。但是AES本身是一个块加密算法它一次只能处理固定长度AES是128位即16字节的一块数据。面对任意长度的明文我们需要解决两个问题模式如何将多个数据块连接起来常见的有ECB、CBC、CFB、OFB、CTR和GCM。ECB模式最简单但不安全相同明文块会产生相同密文块容易暴露模式。CBC模式是目前最广泛使用的模式之一它引入了一个初始化向量IV来使每个块的加密都与前一个块相关增强了安全性。GCM模式则更现代它同时提供了加密和认证完整性校验性能也更好是TLS 1.2/1.3等协议的首选。填充当最后一个明文块长度不足时如何填满16字节PKCS#7或PKCS#5是最通用的填充方案。在我们的设计中对于AES我会重点演示两种最实用、最推荐的模式AES-256-CBC with PKCS#7 Padding和AES-256-GCM。前者兼容性极广后者安全性更优且无需额外处理填充。2.2 RSA非对称加密的基石RSA是一种非对称加密算法它有一对密钥公钥和私钥。公钥可以公开用于加密私钥必须严格保密用于解密。这种特性完美解决了对称加密中“如何安全地把密钥告诉对方”的难题。RSA的典型应用场景是密钥交换用对方的RSA公钥加密一个临时生成的AES密钥即会话密钥然后双方使用这个AES密钥进行后续高速的对称加密通信。这就是TLS/SSL握手的基本原理。数字签名用私钥对数据的摘要进行加密即签名对方用公钥验证签名以此证明数据来源和完整性。RSA有一个关键限制加密的明文长度受密钥长度和填充方案制约。例如一个2048位的RSA密钥256字节在使用OAEP填充时能加密的明文最大长度可能只有几百比特。因此RSA绝不直接用于加密大量数据它只用来加密密钥或小段数据。在我们的设计中将采用RSA-OAEP作为填充方案它比旧的PKCS#1 v1.5更安全并演示如何用RSA来加密一个随机的AES密钥实现安全的混合加密系统。2.3 Go的crypto生态Go的加密库设计非常清晰crypto/aes: 提供基础的AES块加密实现。crypto/cipher: 提供各种块加密模式如CBC, GCM的接口和实现。crypto/rsa: 提供RSA算法的实现。crypto/rand: 密码学安全的随机数生成器用于生成密钥、IV等。crypto/x509: 处理证书和密钥的编码如PEM格式。encoding/base64,encoding/hex: 加密后的二进制数据通常需要编码为文本以便传输或存储。我们的代码将围绕这些包展开。3. AES加密实战从CBC到GCM理论说再多不如一行代码。我们先从AES开始我会把每一步的选择和原因都讲清楚。3.1 环境准备与密钥生成首先你需要一个AES密钥。AES-256要求密钥长度为32字节256位。绝对不要使用像“mySuperSecretKey123”这样的字符串直接作为密钥。必须使用密码学安全的随机源。package main import ( crypto/aes crypto/cipher crypto/rand encoding/base64 errors fmt io ) // generateAESKey 生成一个随机的AES-256密钥32字节 func generateAESKey() ([]byte, error) { key : make([]byte, 32) // AES-256 if _, err : io.ReadFull(rand.Reader, key); err ! nil { return nil, fmt.Errorf(无法生成随机密钥: %v, err) } return key, nil } // 示例生成并打印Base64编码的密钥 func main() { key, err : generateAESKey() if err ! nil { panic(err) } fmt.Printf(生成的AES密钥 (Base64): %s\n, base64.StdEncoding.EncodeToString(key)) }注意在实际项目中这个密钥需要安全地存储。可以考虑使用环境变量、密钥管理服务如HashiCorp Vault, AWS KMS或在部署时注入。切勿将密钥硬编码在源码或提交到版本控制系统。3.2 实现AES-256-CBC加密与解密CBC模式需要两个东西密钥和一个随机的初始化向量IV。IV不需要保密但必须不可预测且每次加密都应使用新的随机IV。// pkcs7Padding 实现PKCS#7填充 func pkcs7Padding(data []byte, blockSize int) []byte { padding : blockSize - len(data)%blockSize padText : bytes.Repeat([]byte{byte(padding)}, padding) return append(data, padText...) } // pkcs7UnPadding 去除PKCS#7填充 func pkcs7UnPadding(data []byte) ([]byte, error) { length : len(data) if length 0 { return nil, errors.New(密文为空) } padding : int(data[length-1]) if padding length || padding 0 { return nil, errors.New(填充大小无效) } // 验证填充字节是否一致 for i : 0; i padding; i { if data[length-1-i] ! byte(padding) { return nil, errors.New(填充内容无效) } } return data[:length-padding], nil } // aesCBCEncrypt 使用AES-256-CBC加密 func aesCBCEncrypt(plaintext, key []byte) ([]byte, error) { block, err : aes.NewCipher(key) if err ! nil { return nil, fmt.Errorf(创建AES加密块失败: %v, err) } // 填充明文 blockSize : block.BlockSize() plaintext pkcs7Padding(plaintext, blockSize) // 创建随机IV iv : make([]byte, blockSize) if _, err : io.ReadFull(rand.Reader, iv); err ! nil { return nil, fmt.Errorf(生成IV失败: %v, err) } // 创建CBC模式加密器 ciphertext : make([]byte, len(plaintext)) mode : cipher.NewCBCEncrypter(block, iv) mode.CryptBlocks(ciphertext, plaintext) // 将IV预置到密文前解密时需要 return append(iv, ciphertext...), nil } // aesCBCDecrypt 使用AES-256-CBC解密 func aesCBCDecrypt(ciphertext, key []byte) ([]byte, error) { block, err : aes.NewCipher(key) if err ! nil { return nil, fmt.Errorf(创建AES解密块失败: %v, err) } blockSize : block.BlockSize() if len(ciphertext) blockSize { return nil, errors.New(密文长度小于IV长度) } // 分离IV和实际密文 iv : ciphertext[:blockSize] ciphertext ciphertext[blockSize:] // 检查密文长度是否为块大小的整数倍 if len(ciphertext)%blockSize ! 0 { return nil, errors.New(密文长度不是块大小的整数倍) } // 创建CBC模式解密器 mode : cipher.NewCBCDecrypter(block, iv) plaintext : make([]byte, len(ciphertext)) mode.CryptBlocks(plaintext, ciphertext) // 去除填充 return pkcs7UnPadding(plaintext) }实操要点与避坑指南IV管理IV必须随机且唯一。常见的错误是使用固定IV或从密钥派生IV这会严重削弱安全性。我们这里将IV和密文一起返回这是一种通用做法。你也可以选择将IV单独存储或传输但必须保证解密方能拿到它。填充验证在pkcs7UnPadding函数中我增加了对填充字节一致性的验证。这是一个重要的安全措施可以防止某些基于填充的旁路攻击如Padding Oracle Attack。虽然Go的标准库没有直接提供PKCS#7但自己实现时务必加入校验。错误处理加解密过程中的每一个错误密钥长度不对、密文长度不对、填充错误都必须妥善处理并返回明确的错误信息便于调试和日志记录。切勿忽略错误。3.3 实现更现代的AES-256-GCM加密与解密GCMGalois/Counter Mode是一种认证加密模式。它不仅能加密还能生成一个认证标签Tag用于验证密文在传输过程中是否被篡改。它不需要填充因为它是流加密模式。// aesGCMEncrypt 使用AES-256-GCM加密 func aesGCMEncrypt(plaintext, key []byte) ([]byte, error) { block, err : aes.NewCipher(key) if err ! nil { return nil, fmt.Errorf(创建AES加密块失败: %v, err) } // 创建GCM模式 // 通常建议的Nonce在GCM中相当于IV长度是12字节性能最佳。 aesgcm, err : cipher.NewGCMWithNonceSize(block, 12) if err ! nil { return nil, fmt.Errorf(创建GCM模式失败: %v, err) } // 生成随机Nonce nonce : make([]byte, aesgcm.NonceSize()) if _, err : io.ReadFull(rand.Reader, nonce); err ! nil { return nil, fmt.Errorf(生成Nonce失败: %v, err) } // 加密并生成认证标签。Seal方法会将Nonce、密文和标签组合。 // 第一个参数dst我们传nil让函数自己分配空间。 // 我们也可以将额外的关联数据Additional Authenticated Data, AAD作为最后一个参数传入用于认证但不加密。 ciphertext : aesgcm.Seal(nonce, nonce, plaintext, nil) return ciphertext, nil } // aesGCMDecrypt 使用AES-256-GCM解密 func aesGCMDecrypt(ciphertext, key []byte) ([]byte, error) { block, err : aes.NewCipher(key) if err ! nil { return nil, fmt.Errorf(创建AES解密块失败: %v, err) } aesgcm, err : cipher.NewGCMWithNonceSize(block, 12) if err ! nil { return nil, fmt.Errorf(创建GCM模式失败: %v, err) } nonceSize : aesgcm.NonceSize() if len(ciphertext) nonceSize { return nil, errors.New(密文过短) } // 分离Nonce和实际密文标签 nonce, sealedData : ciphertext[:nonceSize], ciphertext[nonceSize:] // 解密并验证认证标签 plaintext, err : aesgcm.Open(nil, nonce, sealedData, nil) if err ! nil { return nil, fmt.Errorf(解密或验证失败: %v, err) } return plaintext, nil }GCM模式的优势与注意事项无需填充GCM是CTR模式的变种属于流加密直接处理任意长度数据省去了填充和去填充的步骤代码更简洁。内置完整性校验Open方法在解密时会自动验证认证标签。如果密文或Nonce被篡改解密会失败并返回错误。这比CBC模式需要自己实现MAC消息认证码要方便和安全得多。Nonce重用是灾难和CBC的IV一样GCM的Nonce也必须每次加密都不同且随机。绝对禁止重复使用同一个Key, Nonce对否则会严重泄露明文信息。性能GCM模式在现代CPU上通常有硬件加速AES-NI指令集性能非常好是当前TLS和许多新协议的标准选择。4. RSA加密实战密钥管理与混合加密现在我们来处理RSA。第一步是生成RSA密钥对。4.1 生成RSA密钥对并持久化import ( crypto/rsa crypto/x509 encoding/pem os ) // generateRSAKeyPair 生成RSA私钥和公钥 func generateRSAKeyPair(bits int) (*rsa.PrivateKey, *rsa.PublicKey, error) { privateKey, err : rsa.GenerateKey(rand.Reader, bits) if err ! nil { return nil, nil, fmt.Errorf(生成RSA密钥对失败: %v, err) } // 验证密钥生成是否正确可选但推荐 err privateKey.Validate() if err ! nil { return nil, nil, fmt.Errorf(生成的RSA密钥无效: %v, err) } return privateKey, privateKey.PublicKey, nil } // savePrivateKeyToPEM 将私钥保存为PEM格式文件 func savePrivateKeyToPEM(privateKey *rsa.PrivateKey, filename string) error { keyFile, err : os.Create(filename) if err ! nil { return err } defer keyFile.Close() privateKeyBytes : x509.MarshalPKCS1PrivateKey(privateKey) privateKeyBlock : pem.Block{ Type: RSA PRIVATE KEY, Bytes: privateKeyBytes, } return pem.Encode(keyFile, privateKeyBlock) } // savePublicKeyToPEM 将公钥保存为PEM格式文件 func savePublicKeyToPEM(publicKey *rsa.PublicKey, filename string) error { keyFile, err : os.Create(filename) if err ! nil { return err } defer keyFile.Close() publicKeyBytes, err : x509.MarshalPKIXPublicKey(publicKey) if err ! nil { return err } publicKeyBlock : pem.Block{ Type: PUBLIC KEY, Bytes: publicKeyBytes, } return pem.Encode(keyFile, publicKeyBlock) } // loadPrivateKeyFromPEM 从PEM文件加载私钥 func loadPrivateKeyFromPEM(filename string) (*rsa.PrivateKey, error) { keyData, err : os.ReadFile(filename) if err ! nil { return nil, err } block, _ : pem.Decode(keyData) if block nil || block.Type ! RSA PRIVATE KEY { return nil, errors.New(无法解码PEM块或类型不正确) } return x509.ParsePKCS1PrivateKey(block.Bytes) } // loadPublicKeyFromPEM 从PEM文件加载公钥 func loadPublicKeyFromPEM(filename string) (*rsa.PublicKey, error) { keyData, err : os.ReadFile(filename) if err ! nil { return nil, err } block, _ : pem.Decode(keyData) if block nil || block.Type ! PUBLIC KEY { return nil, errors.New(无法解码PEM块或类型不正确) } pub, err : x509.ParsePKIXPublicKey(block.Bytes) if err ! nil { return nil, err } switch pub : pub.(type) { case *rsa.PublicKey: return pub, nil default: return nil, errors.New(不是RSA公钥) } }密钥管理心得密钥长度rsa.GenerateKey的bits参数建议至少为2048。1024位已被认为不安全4096位更安全但加解密速度会慢很多。2048位是目前平衡安全与性能的主流选择。PEM格式这是一种将密钥或证书编码为文本的通用格式便于在配置文件、环境变量中存储和传输。-----BEGIN XXX-----和-----END XXX-----是它的标识。私钥安全私钥文件private.pem的权限必须严格控制如600并且绝不能泄露。生产环境中更推荐使用硬件安全模块HSM或云服务商的密钥管理服务来托管私钥。4.2 使用RSA-OAEP加密与解密数据如前所述RSA直接加密的数据量有限。这里我们演示加密一个较短的消息比如一个AES密钥。import ( crypto/sha256 hash ) // rsaEncryptOAEP 使用RSA公钥和OAEP填充加密数据 func rsaEncryptOAEP(plaintext []byte, pubKey *rsa.PublicKey) ([]byte, error) { // 创建哈希函数OAEP需要 hash : sha256.New() // 计算最大加密长度 maxLen : (pubKey.N.BitLen() / 8) - 2*hash.Size() - 2 if len(plaintext) maxLen { return nil, fmt.Errorf(明文过长RSA-OAEP最大支持%d字节当前%d字节, maxLen, len(plaintext)) } // 使用crypto/rand作为随机源 ciphertext, err : rsa.EncryptOAEP(hash, rand.Reader, pubKey, plaintext, nil) if err ! nil { return nil, fmt.Errorf(RSA加密失败: %v, err) } return ciphertext, nil } // rsaDecryptOAEP 使用RSA私钥和OAEP填充解密数据 func rsaDecryptOAEP(ciphertext []byte, privKey *rsa.PrivateKey) ([]byte, error) { hash : sha256.New() plaintext, err : rsa.DecryptOAEP(hash, rand.Reader, privKey, ciphertext, nil) if err ! nil { return nil, fmt.Errorf(RSA解密失败: %v, err) } return plaintext, nil }关键点解析明文长度计算这是最容易出错的地方。RSA加密的明文长度上限由密钥大小和OAEP填充开销决定。公式大致是(密钥位数/8) - 2 * 哈希输出长度 - 2。对于2048位密钥和SHA-256最大明文长度约为256 - 2*32 - 2 190字节。务必在加密前检查长度否则会触发 panic。OAEP的优势OAEPOptimal Asymmetric Encryption Padding是一种概率性填充方案能提供更强的安全性抵抗选择密文攻击。应优先使用OAEP而非旧的PKCS#1 v1.5。nil标签EncryptOAEP和DecryptOAEP的最后一个参数是label可用于绑定额外的上下文信息加解密双方需要使用相同的label。大多数情况下传nil即可。4.3 构建混合加密系统RSA加密AES密钥这才是RSA最典型的用法。流程如下发送方随机生成一个AES会话密钥如32字节的AES-256密钥。发送方使用接收方的RSA公钥加密这个AES密钥。发送方使用这个AES密钥对称加密加密实际要传输的大量数据比如一个JSON消息。发送方将加密后的AES密钥和加密后的数据一起发送给接收方。接收方使用自己的RSA私钥解密出AES密钥。接收方使用解密出的AES密钥解密出原始数据。// hybridEncrypt 混合加密用RSA公钥加密AES密钥再用该AES密钥加密数据 func hybridEncrypt(data []byte, rsaPubKey *rsa.PublicKey) (encryptedAESKey []byte, encryptedData []byte, err error) { // 1. 生成随机会话密钥AES-256 aesKey, err : generateAESKey() if err ! nil { return nil, nil, fmt.Errorf(生成AES密钥失败: %v, err) } // 2. 使用RSA-OAEP加密AES密钥 encryptedAESKey, err rsaEncryptOAEP(aesKey, rsaPubKey) if err ! nil { return nil, nil, fmt.Errorf(加密AES密钥失败: %v, err) } // 3. 使用AES-GCM加密实际数据 encryptedData, err aesGCMEncrypt(data, aesKey) if err ! nil { return nil, nil, fmt.Errorf(使用AES加密数据失败: %v, err) } return encryptedAESKey, encryptedData, nil } // hybridDecrypt 混合解密 func hybridDecrypt(encryptedAESKey, encryptedData []byte, rsaPrivKey *rsa.PrivateKey) ([]byte, error) { // 1. 使用RSA私钥解密出AES密钥 aesKey, err : rsaDecryptOAEP(encryptedAESKey, rsaPrivKey) if err ! nil { return nil, fmt.Errorf(解密AES密钥失败: %v, err) } // 2. 使用解密出的AES密钥解密数据 data, err : aesGCMDecrypt(encryptedData, aesKey) if err ! nil { return nil, fmt.Errorf(使用AES解密数据失败: %v, err) } return data, nil }混合加密的优势安全结合了非对称加密的安全密钥交换和对称加密的高效数据加密。高效只有短小的AES密钥使用了较慢的RSA加密大部分数据由快速的AES处理。前向保密如果每次会话都生成新的随机AES密钥即使RSA私钥未来泄露过去的通信记录也无法被解密前提是会话密钥已安全删除。为了实现完美的前向保密可以使用Diffie-Hellman密钥交换如TLS中的ECDHE来代替RSA进行密钥协商但RSA混合加密在简单场景下已足够安全。5. 常见问题、调试技巧与性能考量在实际集成和使用这些加密函数时你肯定会遇到各种问题。下面是我总结的一些常见坑点和排查思路。5.1 加解密失败问题速查表问题现象可能原因排查步骤AES-CBC解密失败pkcs7UnPadding报“填充内容无效”1. 加密和解密使用的密钥不同。2. IV在传输或存储过程中损坏或丢失。3. 密文在传输中被篡改CBC模式无完整性校验。4. 加密端和解密端的填充逻辑不一致。1. 确认双方密钥完全一致打印Base64对比。2. 确认IV已正确预置在密文前且解密时正确分离。3. 考虑改用AES-GCM模式它自带完整性校验。4. 检查双方的pkcs7Padding和pkcs7UnPadding函数是否完全一致。AES-GCM解密失败Open方法返回错误1. 密钥错误。2. Nonce错误或重复使用。3. 密文或Nonce被篡改。4. 加密和解密时使用的AAD附加认证数据不一致。1. 确认密钥一致。2. 确认Nonce是随机生成且每次加密唯一。检查Nonce分离逻辑。3. GCM的认证失败本身就说明了数据被篡改这是特性不是bug。4. 检查Seal和Open的最后一个参数AAD是否匹配。RSA解密失败DecryptOAEP返回错误1. 私钥与加密用的公钥不匹配。2. 密文损坏或长度不对。3. 加密和解密使用的哈希函数不同。4. 明文长度超限加密时未检查。1. 确认使用的是正确的密钥对。2. 确保密文在传输过程中未经过错误的编码/解码如Base64。3. 确认EncryptOAEP和DecryptOAEP使用的hash.Hash是同一类型如都是sha256.New()。4. 在加密前加入明文长度检查逻辑。“panic: runtime error: invalid memory address” 或段错误极有可能传入了nil的密钥*rsa.PublicKey或*rsa.PrivateKey。在调用加密/解密函数前务必检查密钥指针是否为nil。性能瓶颈CPU占用高1. 使用RSA加密了大量数据。2. 密钥长度过长如4096位。3. 在循环中频繁生成密钥或IV。1.牢记RSA只用于加密小数据如密钥。大数据用AES。2. 评估安全需求非必要不使用4096位密钥。3. 对于频繁的对称加密可以复用cipher.Block或cipher.AEAD对象避免重复初始化。5.2 调试与日志记录技巧十六进制/Base64大法在开发阶段将密钥、IV/Nonce、密文等关键二进制数据以十六进制或Base64格式打印出来对比加密端和解密端是否一致。这是定位问题最快的方法。fmt.Printf(Key (Hex): %x\n, key) fmt.Printf(IV (Base64): %s\n, base64.StdEncoding.EncodeToString(iv)) fmt.Printf(Ciphertext (Base64): %s\n, base64.StdEncoding.EncodeToString(ciphertext))分步验证对于混合加密先单独测试RSA加密解密AES密钥是否成功再单独测试AES加密解密数据是否成功最后再组合起来。单元测试为每个加密解密函数编写单元测试使用固定的测试向量Test Vector。这不仅能保证代码正确性也是后续重构时的安全网。错误信息细化不要只返回err用fmt.Errorf包装上下文信息例如return nil, fmt.Errorf(“aesGCMDecrypt: failed to open seal: %v”, err)。5.3 性能优化与最佳实践复用对象aes.NewCipher(key)和cipher.NewGCM(block)创建的对象是线程安全的可以在多个goroutine中并发使用其加密/解密方法。你应该在程序初始化时创建这些对象并复用而不是每次加密都创建。type AESGCMEncryptor struct { gcm cipher.AEAD } func NewAESGCMEncryptor(key []byte) (*AESGCMEncryptor, error) { block, _ : aes.NewCipher(key) gcm, _ : cipher.NewGCM(block) return AESGCMEncryptor{gcm: gcm}, nil } // 然后复用这个encryptor.gcm.Seal/Open密钥生命周期管理AES会话密钥短期使用每次会话或每次加密操作后丢弃。RSA长期密钥妥善保管私钥定期如每年轮换公钥/私钥对。建立完善的密钥版本管理机制。算法与参数选择新项目优先选择AES-256-GCM。RSA密钥长度至少2048位填充使用OAEP with SHA-256。随机数源始终使用crypto/rand.Reader。不要自己发明加密算法绝对不要尝试组合这些原语去创造“新”算法。使用经过广泛审查的标准模式和构造如上面演示的。6. 进阶话题签名、验证与完整示例除了加密RSA另一个核心功能是数字签名。它用于验证数据的完整性和来源。6.1 使用RSA-PSS进行签名与验证PSSProbabilistic Signature Scheme是比旧的PKCS#1 v1.5签名方案更安全的填充方案。import ( crypto crypto/sha256 ) // rsaSignPSS 使用RSA私钥和PSS填充对数据的摘要进行签名 func rsaSignPSS(data []byte, privKey *rsa.PrivateKey) ([]byte, error) { // 1. 计算数据的哈希值 hashed : sha256.Sum256(data) // 2. 使用PSS填充方案进行签名 // crypto.SHA256 用于标识哈希算法rand.Reader提供随机源 // rsa.PSSOptions{SaltLength: rsa.PSSSaltLengthAuto} 是推荐的选项 signature, err : rsa.SignPSS(rand.Reader, privKey, crypto.SHA256, hashed[:], rsa.PSSOptions{ SaltLength: rsa.PSSSaltLengthAuto, Hash: crypto.SHA256, }) if err ! nil { return nil, fmt.Errorf(签名失败: %v, err) } return signature, nil } // rsaVerifyPSS 使用RSA公钥和PSS填充验证签名 func rsaVerifyPSS(data, signature []byte, pubKey *rsa.PublicKey) error { hashed : sha256.Sum256(data) err : rsa.VerifyPSS(pubKey, crypto.SHA256, hashed[:], signature, rsa.PSSOptions{ SaltLength: rsa.PSSSaltLengthAuto, Hash: crypto.SHA256, }) if err ! nil { return fmt.Errorf(签名验证失败: %v, err) } return nil }签名流程发送方用私钥对数据的哈希值进行签名接收方用公钥验证签名。如果验证通过则证明数据确实来自持有对应私钥的发送方且数据在传输过程中未被篡改。6.2 一个完整的API数据安全传输示例假设我们有一个客户端-服务器API需要保证请求/响应的机密性和完整性。服务器端持有RSA私钥和预共享的AES密钥生成一个长期使用的RSA密钥对公钥server_public.pem分发给所有客户端。为每个客户端或会话预共享一个AES密钥或使用上述混合加密在连接建立时协商。客户端发送加密请求客户端随机生成一个本次请求的AES会话密钥sessionKey。客户端使用服务器的RSA公钥加密sessionKey得到encryptedSessionKey。客户端使用sessionKeyAES-GCM加密实际的请求体JSON数据得到encryptedData和认证标签已包含在GCM输出中。客户端将encryptedSessionKey和encryptedData一起发送给服务器。可选客户端还可以用自身的RSA私钥对请求的哈希值进行签名将签名一并发送供服务器验证客户端身份。服务器处理请求服务器用自己的RSA私钥解密encryptedSessionKey得到sessionKey。服务器用sessionKey解密并验证encryptedData的完整性。服务器处理明文请求。服务器生成响应可以使用同一个sessionKey加密响应体也可以生成新的会话密钥用于响应。这种模式结合了非对称加密的密钥分发、对称加密的效率以及认证加密的完整性保护是构建安全通信通道的坚实基础。