# Nodejs进阶crypto模块之理论篇
30 秒速记
crypto是Node的核心安全模块：摘要、HMAC、对称 / 非对称加密、签名、随机数都在里面- 先分清目标再选工具：完整性用摘要，防伪造用
HMAC/ 签名，保密用加密，存密码用scrypt/bcrypt MD5、SHA-1已不适合安全场景，摘要至少SHA-256- 对称加密首选
AES-256-GCM，IV每次随机、绝不复用；别用ECB模式 - 随机数用
crypto.randomBytes/randomUUID，不要用Math.random
crypto 模块的 API 很多，但背后就几类工具：摘要防改、HMAC 防伪造、加密防看、签名证明是谁发的。 很多人上来就翻 API 列表不知道选哪个，我的建议是先问自己要解决什么问题。比如存用户密码，既不是加密也不是普通 hash，要用 scrypt 这类故意算得很慢的密码哈希；传敏感数据要用 AES-GCM；接口防篡改用 HMAC。选错了类别，代码写得再规范也白搭。
理解「Nodejs进阶crypto模块之理论篇」时，要先明确输入、运行阶段和可观察输出。这里的交互实验会分别执行正常路径与失败路径，并把 Node.js 的关键状态变化和同屏代码对应起来；不能只记命令名称。
工程中还要验证退出码、资源清理和异常输入。属于 security 场景的配置应保持最小可复现，并在开发环境与 CI 中使用相同命令复跑，避免把平台差异或隐式默认值带到线上。
crypto 里最常用的几类能力，各自一行就能跑起来：
const crypto = require('node:crypto');
// 1. 摘要：校验完整性，不可逆
crypto.createHash('sha256').update('hello').digest('hex');
// '2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824'
// 2. HMAC：带密钥的摘要，防伪造
crypto.createHmac('sha256', 'key').update('hello').digest('hex');
// 3. 对称加密：AES-256-GCM
const key = crypto.randomBytes(32);
const iv = crypto.randomBytes(12); // 每次都要新的
const cipher = crypto.createCipheriv('aes-256-gcm', key, iv);
const enc = Buffer.concat([cipher.update('secret', 'utf8'), cipher.final()]);
const tag = cipher.getAuthTag();
const decipher = crypto.createDecipheriv('aes-256-gcm', key, iv);
decipher.setAuthTag(tag);
Buffer.concat([decipher.update(enc), decipher.final()]).toString(); // 'secret'
// 4. 密码哈希：故意慢
const salt = crypto.randomBytes(16);
crypto.scryptSync('p@ssw0rd', salt, 64).toString('hex');
// 5. 安全随机数
crypto.randomUUID();
记住一个判断顺序：要还原原文就用加密；只要证明没被改，没有密钥用摘要、有共享密钥用 HMAC、要让任何人都能验证用非对称签名；存密码永远用密码哈希。MD5、SHA-1 已经能构造碰撞，只能用在非安全场景，比如文件去重或缓存 key。
面试官追问
追问 1存用户密码，用 sha256(password) 行不行？
不行。SHA-256 太快了，显卡每秒能算几十亿次，拿字典一跑就破。要用 crypto.scrypt 或 bcrypt / argon2，每个用户单独加随机 salt。
追问 2密码要用 AES 加密存起来，方便以后找回，可以吗？
我会直接否掉。能解密就意味着密钥一泄露全部密码明文，而且「找回密码」的正确做法是重置，不是告诉用户原密码。
追问 3生成重置密码的 token，用 Math.random().toString(36) 有什么问题？
Math.random 不是密码学安全的，输出可以被预测。用 crypto.randomBytes(32).toString('hex') 或 crypto.randomUUID()。
追问 4用 AES 加密时 IV 写死成一个常量，会怎样？
CBC 下相同明文出相同密文，泄露数据规律；GCM 下复用 IV 更严重，攻击者能恢复出认证密钥、伪造密文。IV 每次 randomBytes(12) 生成，和密文一起存。
追问 5createCipher 和 createCipheriv 用哪个？
只用 createCipheriv。createCipher 用弱的方式从密码派生密钥、IV 固定，Node 10 起废弃，Node 22 已经移除。
# Nodejs进阶：crypto模块之理论篇
# 一、 文章概述
30 秒速记
- 这一篇讲
cryptoAPI背后的理论，不讲API罗列 - 三块内容：摘要和
HMAC/ 对称加密、非对称加密和数字签名 / 分组加密模式 - 摘要、
hash、散列基本指同一件事 - 先懂原理再看
API：知道「为什么要IV」「为什么要认证模式」，才不会照着示例代码写出不安全的实现
这篇的定位是把 crypto 模块背后的安全概念讲清楚：摘要、HMAC、对称和非对称加密、数字签名、分组加密模式。 API 文档只告诉你参数怎么填，不告诉你为什么要填。比如 createCipheriv 要传 IV，不懂分组模式的人就容易写死一个常量；签名和加密都用到公私钥，不懂原理就容易把它们混着用。把这几个概念理顺，再回头看 API 会轻松很多。
互联网时代，网络上的数据量每天都在以惊人的速度增长。同时，各类网络安全问题层出不穷。在信息安全重要性日益凸显的今天，作为一名开发者，需要加强对安全的认识，并通过技术手段增强服务的安全性。
crypto模块是nodejs的核心模块之一，它提供了安全相关的功能，如摘要运算、加密、电子签名等。很多初学者对着长长的API列表，不知如何上手，因此它背后涉及了大量安全领域的知识。
本文重点讲解API背后的理论知识，主要包括如下内容：
- 摘要（hash）、基于摘要的消息验证码（HMAC）
- 对称加密、非对称加密、电子签名
- 分组加密模式
面试官追问
追问 1摘要、加密、签名，一句话分别解决什么问题？
摘要证明数据没被改；加密让没有密钥的人看不懂；签名证明数据是谁发的，同时也没被改。
追问 2数字签名和 HMAC 都能防篡改，区别在哪？
HMAC 用一把共享密钥，能验证的人也能伪造，适合服务端自己签自己验；数字签名用私钥签、公钥验，任何人都能验证但只有私钥持有者能签，适合对外发布，比如软件包、JWT 的 RS256。
追问 3分组加密模式为什么值得单独讲？
AES 一次只能加密 16 字节，长数据怎么拼就是模式决定的。ECB 每块独立加密，相同明文块出相同密文，加密后的图片还能看出轮廓；现在一般用 GCM，既加密又带完整性校验。
追问 4HTTPS 里这几样东西分别用在哪？
握手时用非对称算法（ECDHE）协商密钥、用证书签名确认服务器身份；之后数据用对称加密 AES-GCM 或 ChaCha20-Poly1305 传输，自带完整性校验。基本把这一篇的概念全用上了。
# 二、摘要（hash）
30 秒速记
- 摘要 = 任意长度输入 → 固定长度输出，同样输入永远同样输出，不能反推
- 用途：校验完整性（下载文件比对
SHA-256）、做缓存key、去重 - 长度：
MD5128位 /SHA-1160位 /SHA-256256位 /SHA-512512位，hex输出长度是位数除以4 MD5、SHA-1已能人为构造碰撞，安全场景至少SHA-256- 不可逆 ≠ 不可破：短输入、常见密码可以查彩虹表，存密码要加
salt并用慢哈希
摘要就是给数据算一个固定长度的「指纹」：内容改一个字节，指纹就完全不同，而且从指纹反推不出原文。 最常见的用法是校验完整性，比如下载安装包后对一下官网给的 SHA-256。Node 里一行搞定：crypto.createHash('sha256').update(data).digest('hex')。要注意的是 MD5 和 SHA-1 已经能人为造出两份内容不同、摘要相同的文件，安全相关的场景别再用。另外不可逆不代表安全，md5('123456') 网上一搜就有结果，所以存密码要用专门的慢哈希。
摘要（digest）：将长度不固定的消息作为输入，通过运行hash函数，生成固定长度的输出，这段输出就叫做摘要。通常用来验证消息完整、未被篡改。
摘要运算是不可逆的。也就是说，输入固定的情况下，产生固定的输出。但知道输出的情况下，无法反推出输入。
伪代码如下。
digest = Hash(message)
常见的摘要算法 与 对应的输出位数如下：
- MD5：128位
- SHA-1：160位
