因为aes-gcm要求显式设置iv长度、aad和认证标签，漏设evp_ctrl_aead_set_tag或顺序错误（如先evp_decryptfinal_ex再设tag）会导致认证失败而解密出错或返回-1。
为什么直接调用 EVP_EncryptInit_ex 会失败或输出乱码？
因为 AES-GCM 不是普通对称加密模式，它要求显式设置认证标签长度、关联数据（AAD），且加解密流程必须严格匹配：加密时生成的 tag 必须在解密前通过 EVP_CIPHER_CTX_ctrl 设置回上下文。漏掉 EVP_CIPHER_CTX_ctrl(ctx, EVP_CTRL_AEAD_SET_TAG, ...) 或顺序颠倒（比如先 EVP_DecryptFinal_ex 再设 tag），就会返回 -1 或解密出错。
- 初始化加密上下文后，必须立即用
EVP_CIPHER_CTX_ctrl(ctx, EVP_CTRL_AEAD_SET_IVLEN, iv_len, nullptr)设 IV 长度（通常 12 字节） - 加密前调用
EVP_EncryptUpdate处理 AAD（如有），再处理明文；解密时 AAD 必须完全一致，且必须在解密明文前调用EVP_DecryptUpdate输入 AAD - 加密完成后，用
EVP_CIPHER_CTX_ctrl(ctx, EVP_CTRL_AEAD_GET_TAG, tag_len, tag_buf)提取 tag；解密前，用相同长度和内容调用EVP_CTRL_AEAD_SET_TAG
如何安全生成和复用 IV？
IV 在 GCM 中本质是 nonce，必须唯一且不可预测。重复使用同一 IV+密钥组合会导致认证失效，攻击者可伪造密文。OpenSSL 不自动帮你生成，得自己处理。
- 推荐用
RAND_bytes(iv, 12)生成 12 字节随机 IV（GCM 最佳实践长度） - IV 不需要保密，但必须随密文一起传输（比如拼在密文前），解密时先读出再设置
- 绝对不要用计数器或时间戳直接当 IV——除非你实现完整的 nonce 管理逻辑并确保绝不重复
- 如果业务场景允许，也可用 HKDF 从主密钥派生 nonce，但复杂度上升，一般项目直接用随机更稳妥
解密时如何判断认证失败而非单纯解密错误？
EVP_DecryptFinal_ex 返回 0 并不总意味着“密文损坏”，它只表示认证失败（tag 不匹配、AAD 不一致、IV 错误等）。OpenSSL 不抛异常，也不返回具体原因，只能靠返回值 + 逻辑顺序定位。
- 务必检查
EVP_DecryptUpdate和EVP_DecryptFinal_ex的返回值：前者成功才继续，后者为 0 即认证失败，应直接丢弃整个密文 - 不要试图从
EVP_DecryptFinal_ex失败后的输出缓冲区读取任何数据——那可能是未验证的垃圾 - 如果用
ERR_get_error()查错误栈，常见提示是digital envelope routines::cipher operation failed，这基本等于 tag 校验失败，不是密钥错
C++ 封装时怎么避免内存泄漏和上下文残留？
OpenSSL 的 EVP 接口要求手动管理 EVP_CIPHER_CTX* 生命周期。C++ 没有 RAII 封装（OpenSSL 3.0 前），容易在异常路径下忘记 EVP_CIPHER_CTX_free。
- 用
std::unique_ptr<evp_cipher_ctx decltype></evp_cipher_ctx>包裹上下文，构造时EVP_CIPHER_CTX_new()，析构自动EVP_CIPHER_CTX_free - 加密/解密函数内所有
goto err跳转点，必须确保ctx已初始化且未被 free 过；或者统一用 RAII，根本不用 goto - 密钥和 IV 缓冲区建议用
std::vector<uint8_t></uint8_t>管理，避免裸指针 +memset_s清零敏感数据（Windows/macOS 支持，Linux 需explicit_bzero）
C++免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 C++ 的入门与实战技巧！
