首页 > Golang > Go问答

Go cipher.AEAD.Open 为什么不允许不精确重叠

来源：17golang原创

时间：2026-10-04 06:50:29 355浏览收藏

cipher.AEAD.Open 不允许“不精确重叠”，因为输出明文区与输入密文错位共享内存时，解密过程可能覆盖尚未读取或认证的密文字节。AEAD 接口只保证两种安全布局：输出和密文完全分离，或者通过 ciphertext[:0] 让输出从密文的同一地址开始，进行精确原地复用。

如果看到 panic: crypto/cipher: invalid buffer overlap of output and input，不要把它当成密钥或认证标签错误。它是调用方违反切片内存布局契约后触发的保护性 panic；认证失败通常由 Open 返回 error。

官方文档：https://pkg.go.dev/crypto/cipher#AEAD

故障现场：看起来只是复用切片却直接 panic

我遇到这个问题时，代码只是想把明文放回接收包的缓冲区，为了给包头留位置，把 dst 切到了 ciphertext 后面的一个偏移。表面看是在节省一次分配，实际却让输出区与输入密文落在同一底层数组的不同索引上。

// 错误示例：dst 从 ciphertext 的索引 1 开始，输出与输入错位重叠。
dst := ciphertext[1:1]
plaintext, err := aead.Open(dst, nonce, ciphertext, additionalData)
_ = plaintext
_ = err

这段代码可能在进入真正的认证解密前就 panic。影响面不仅是“本次解密失败”：如果没有在进程边界妥善处理 panic，它还可能中断当前服务流程。

触发条件：输出区和密文错位共享底层数组

判断是否重叠不能只看两个切片变量是否不同，也不能只看 len。关键是 Open 追加明文时真正使用的输出区，是否与 ciphertext 的有效区间共享底层内存，以及共享位置是否一一对应。

内存关系	示例	是否允许
精确重叠	`aead.Open(ciphertext[:0], nonce, ciphertext, aad)`	允许
完全不重叠	`aead.Open(nil, nonce, ciphertext, aad)`	允许
不精确重叠	`aead.Open(ciphertext[1:1], nonce, ciphertext, aad)`	禁止

AEAD.Open 精确重叠、完全不重叠和不精确重叠的底层数组关系图 — 图1：静态结构图。精确原地复用和完全分离都符合 AEAD.Open 契约；同一底层数组中的错位部分重叠不允许。

Go 内部的重叠检查把“不精确重叠”定义为两个切片在非对应索引共享内存。即使两个切片长度不同，只要共同部分从同一地址开始，也可以不构成不精确重叠；这正是 ciphertext[:0] 能作为 dst 的基础。

根因：Open 只承诺精确原地或完全分离

AEAD.Open 会验证认证标签，并在成功后把明文追加到 dst。不同实现可能分块读取密文、计算认证值并写入明文。若输出起点落在密文中间，先写出的明文就可能踩到后面仍需读取的密文，结果会依赖处理顺序、块大小甚至具体实现。

所以接口没有要求所有实现都解决任意 memmove 式重叠，而是给出简单、可移植的契约：要么分开，要么从同一位置原地覆盖。标准库 GCM 实现会在分配输出区后检查 alias.InexactOverlap，发现错位重叠便立即 panic。

这项限制还保护了认证边界。调用方不能依赖“某个平台刚好从后往前处理”来避免覆盖，也不能在认证结论确定之前使用部分生成的明文。

修复动作：使用 ciphertext[:0] 或独立 dst

如果不需要保留密文，最直接的修复是精确原地解密：

func decryptInPlace(
	aead cipher.AEAD,
	nonce, ciphertext, additionalData []byte,
) ([]byte, error) {
	// ciphertext[:0] 长度为零，但容量仍复用同一底层数组。
	plaintext, err := aead.Open(ciphertext[:0], nonce, ciphertext, additionalData)
	if err != nil {
		// 认证失败后不返回或使用缓冲区中的明文内容。
		return nil, fmt.Errorf("认证解密失败: %w", err)
	}
	return plaintext, nil
}

如果密文还要用于审计、重试或比较，就让 Open 分配新切片，或者提供一块确定不与 ciphertext、additionalData 重叠的独立缓冲区：

func decryptSeparate(
	aead cipher.AEAD,
	nonce, ciphertext, additionalData []byte,
) ([]byte, error) {
	// nil dst 让 Open 为明文结果选择独立存储。
	plaintext, err := aead.Open(nil, nonce, ciphertext, additionalData)
	if err != nil {
		return nil, fmt.Errorf("认证解密失败: %w", err)
	}
	return plaintext, nil
}

如果必须在明文前拼接协议头，我会先完成原地或独立解密，确认 error 为 nil 后，再构造最终消息。不要为了预留头部把 dst 起点错开到 ciphertext 的底层数组内部。

认证失败时为什么不能继续使用 dst

AEAD 接口文档明确提醒：即使 Open 失败，dst 从当前长度到容量范围内的内容也可能被覆盖。因此，错误分支不能尝试从 dst 或预留容量中“抢救部分明文”，更不能把它交给后续解析。

AEAD.Open 的 dst、ciphertext、nonce、additionalData 与认证失败边界图 — 图2：静态结构图。AEAD.Open 把明文追加到 dst；AAD 不得与 dst 重叠，且认证失败后不能依赖 dst 原内容。

plaintext, err := aead.Open(nil, nonce, ciphertext, additionalData)
if err != nil {
	// 认证未通过时立刻丢弃结果，只记录不含敏感数据的错误信息。
	return fmt.Errorf("密文认证失败: %w", err)
}

// 只有 err 为 nil 后，plaintext 才能进入解析与业务逻辑。
return handlePlaintext(plaintext)

additionalData 参与认证但不被加密，必须与加密时传入的内容一致；同时，dst 与 additionalData 不能发生任何重叠。nonce 的长度必须符合当前 AEAD，且同一密钥下的 nonce 使用规则也必须遵守具体构造的要求。