Go 1.26 crypto/hpke 怎么做混合公钥加密：封装、解封装与密钥用途边界

服务端要把一段配置或短消息交给指定客户端时，最容易踩的坑是“把公钥加密”理解成一套完整的业务安全方案。Go 1.26 新增的 crypto/hpke 把混合公钥加密的封装和解封装接口放进标准库，但调用方仍然要自己决定身份校验、重放防护和密钥轮换。

crypto/hpke 解决的是哪一段问题

HPKE（Hybrid Public Key Encryption）把公钥机制和对称加密组合起来：公钥部分负责让发送方和接收方得到同一个共享秘密，对称部分负责高效保护实际消息。这样做的原因很现实，直接用公钥算法处理大块业务数据通常成本高、边界也更复杂。

Go 1.26 的 release notes 把 crypto/hpke列为新增标准库包，并说明它按 RFC 9180 实现 HPKE，还支持后量子混合 KEM。这里的“支持”不代表应用自动获得后量子安全；应用仍需选择参数套件、确认部署版本，并根据威胁模型做验证。

先把封装和解封装的角色分清

发送方只有接收方的公钥，因此不能直接读出共享秘密。它执行封装，得到两样东西：一段可以交给接收方的封装消息，以及本地用于保护业务数据的共享密钥。接收方拿私钥和封装消息执行解封装，得到另一份相同的共享密钥。

可以把它看成一次“给指定公钥建立临时会话钥匙”的动作：

sender:   recipient public key -> (encapsulated message, sender secret)
receiver: recipient private key + encapsulated message -> receiver secret
check:    sender secret == receiver secret

实际业务中，sender secret和receiver secret不应直接打印到日志。示例里的相等检查只用于测试，生产环境应把它交给后续的对称加密上下文，并在使用后缩短其生命周期。

用最小流程验证两端得到同一秘密

下面的代码故意只展示流程边界，不把示例伪装成完整的消息协议。具体构造函数和套件名称应以 Go 1.26 对应的包文档为准，升级时先用本地工具链编译确认 API。

package main

import (
    "bytes"
    "fmt"
    "log"

    "crypto/hpke"
)

func main() {
    receiverPublic, receiverPrivate, err := loadReceiverKeyPair()
    if err != nil {
        log.Fatal(err)
    }

    info := []byte("orders:v1")
    enc, senderSecret, err := hpke.Encap(receiverPublic, info)
    if err != nil {
        log.Fatal(err)
    }

    receiverSecret, err := hpke.Decap(receiverPrivate, enc, info)
    if err != nil {
        log.Fatal(err)
    }

    fmt.Println("same secret:", bytes.Equal(senderSecret, receiverSecret))
}

这段示例中的 loadReceiverKeyPair是占位函数，目的是提醒读者：密钥生成、存储和加载不是 HPKE 自动替你完成的。不要把私钥写进仓库、镜像层或启动参数；测试可以使用临时密钥，生产环境则应接入受控密钥存储。

第一步检查：封装消息能不能安全传输

封装消息可以和业务报文一起发送，因为接收方需要它才能解封装。它不是秘密，但必须绑定到正确的接收方和协议版本。服务端收到消息后，应先根据密钥 ID 找到对应私钥，再检查协议版本、消息长度和请求上下文。

第二步检查：上下文信息是否稳定且有用途

info不是随便填的一串备注。它参与密钥派生，适合放协议名称、版本、用途等稳定信息。不要把可被攻击者任意替换的字段直接当作唯一身份依据；需要绑定订单号、租户号或请求号时，还要明确这些字段由谁认证、在哪一步校验。

第三步检查：解封装失败要当作安全失败

私钥不匹配、封装消息被篡改、上下文不同，都可能导致解封装失败。接口返回错误时不要继续使用一个全零密钥，也不要为了“兼容旧客户端”悄悄退回明文传输。记录可检索的错误类别即可，日志中不要放私钥、共享秘密或完整敏感报文。

HPKE 之后还缺哪些业务安全措施

HPKE解决的是机密性与密钥建立的一段路径，下面几件事仍然要由协议设计补齐：

• 身份认证：知道某个公钥属于哪个租户、设备或服务，不能只靠“能解封装”推断。
• 完整性和重放：敏感消息要带序列号、过期时间或一次性请求标识，并由接收方验证。
• 密钥轮换：消息中携带可追踪的 key ID，轮换时保留明确的旧钥匙过渡窗口。
• 算法与版本：把套件、协议版本和上下文格式写进协议文档，不能让双方各自默认。

特别要注意“封装消息可公开”与“业务报文可公开”是两回事。业务数据仍应使用共享秘密派生出的对称加密上下文保护，密文还要带认证标签；不要把共享秘密直接当作数据库密码或长期 API token。

从 Go 1.25 升级到 Go 1.26 怎么验收

先在隔离分支更新工具链，运行项目原有测试，再补一组边界测试。至少核对这些结果：

1. 同一公私钥对、同一 info 能成功解封装，双方共享秘密一致。
2. 替换任意一个字节的封装消息后，解封装失败或后续认证失败。
3. 使用不同的 info，不能得到可互换的业务会话。
4. 旧版本客户端与新版本服务端的兼容行为有明确结果，而不是隐式降级。

如果代码依赖实验性或第三方 HPKE 实现，不要因为包名相似就直接替换。先确认参数套件、序列化格式、错误处理和密钥生命周期，再做互操作测试。

常见问题：封装消息能不能重复使用

封装消息可以放进普通 JSON 吗

可以，但要规定编码、长度和字段版本。二进制封装消息通常需要 Base64 或明确的字节数组表示，接收端解码失败要直接拒绝。

HPKE 能替代 HTTPS 吗

不能简单替代。HTTPS还负责连接身份、传输保护和会话管理；HPKE更适合在应用层保护特定消息或把内容交给指定接收方。

只验证共享秘密相等够不够吗

不够。它只能验证示例两端走出了同一条派生路径，不能证明公钥归属、请求没有重放，也不能证明业务方有权发送或读取这条消息。

把示例收束成可审计的迁移动作

Go 1.26 把 HPKE 能力放进标准库，降低了接入门槛，但安全边界没有因此自动消失。落地时可以先封装一个小的协议适配层：集中管理套件、info格式、key ID和错误分类，再用固定的互操作测试覆盖成功、篡改、错钥匙、错上下文和过期消息。这样升级失败时能定位到协议差异，而不是在业务代码里散落一堆加密调用。