ChaCha20Poly1305.Encrypt 方法用于将明文加密为密文并生成16字节认证标签，要求nonce长度为12字节、tag长度为16字节，且同一密钥下nonce必须唯一，以保障AEAD安全性。
加密时为什么不能一次性读取整个文件？
大文件（比如几百MB以上）直接 open().read() 会吃光内存，还可能触发 MemoryError。流式处理的核心是分块读取 + 块加密，让内存占用和文件大小无关。AES-CBC 或 AES-GCM 模式都支持分块，但必须注意：CBC 需要手动维护 IV 和填充，GCM 还得处理认证标签（auth_tag）。
推荐用 cryptography 库的 AESGCM——它自带完整性校验，且加密/解密接口天然适配流式：
- 加密时每块调用
encrypt()，但只对第一块传入nonce，后续块复用同一nonce（注意：GCM 不允许重用nonce，所以整个文件必须用唯一nonce） - 解密时必须先读出前 16 字节作为
nonce，再逐块调用decrypt() - 最后一块解密失败？大概率是
auth_tag没读全或被截断——GCM 的 tag 固定 16 字节，必须紧贴密文末尾
如何用 AESGCM 实现安全的流式加解密？
关键不是“怎么分块”，而是“怎么衔接块”：GCM 的 encrypt() 不是纯分块函数，它把整个明文当整体处理；真·流式得靠 encryptor.update() + encryptor.finalize()，但这需要底层 cipher 支持——cryptography 的 AESGCM 不提供 streaming encryptor，得换路线。
正确做法是改用 ChaCha20Poly1305（同样 AEAD），它原生支持流式：
from cryptography.hazmat.primitives.ciphers import Cipher, algorithms, modes
from cryptography.hazmat.primitives import hashes
from cryptography.hazmat.primitives.kdf.pbkdf2 import PBKDF2HMAC
from cryptography.hazmat.primitives import padding
import os
<p>def derive_key(password: bytes, salt: bytes) -> bytes:
kdf = PBKDF2HMAC(
algorithm=hashes.SHA256(),
length=32,
salt=salt,
iterations=480000,
)
return kdf.derive(password)</p><h1>加密：生成随机 salt + nonce，写入头部，再流式加密</h1><p>def encrypt_file(input_path: str, output_path: str, password: bytes):
salt = os.urandom(16)
key = derive_key(password, salt)
nonce = os.urandom(12) # ChaCha20 需要 12 字节 nonce
cipher = Cipher(algorithms.ChaCha20(key, nonce), mode=None)
encryptor = cipher.encryptor()</p><pre class="brush:php;toolbar:false;">with open(input_path, "rb") as f_in, open(output_path, "wb") as f_out:
f_out.write(salt) # 前 16 字节：salt
f_out.write(nonce) # 接着 12 字节：nonce
while chunk := f_in.read(65536): # 64KB 块
encrypted_chunk = encryptor.update(chunk)
f_out.write(encrypted_chunk)
f_out.write(encryptor.finalize()) # 写入 Poly1305 tag（16 字节）
解密时如何避免 InvalidTag 错误？
InvalidTag 几乎总是因为：密文被篡改、nonce/salt 读错位置、或 final tag 没读全。ChaCha20Poly1305 的 tag 固定 16 字节，必须从密文末尾精确截取——不能假设“最后 16 字节就是 tag”，因为流式写入时 finalize() 是追加的，而文件可能被意外截断。
Python 3.14.2是Python编程语言在2025年12月5日发布的稳定版本，属于3.14系列的第二个维护更新。该版本包含了18项修复，重点解决了多进程、数据类及正则表达式等模块的回归问题，并修复了CVE-2025-12084等安全漏洞。此版本标志着自由线程模式（移除GIL）正式获得官方支持，是Python发展的重要里程碑。
安全做法是：把 tag 单独存为文件尾部，并在解密前校验长度：
- 解密时先读前 16 字节得
salt，再读 12 字节得nonce - 计算文件总长，减去
16 + 12 + 16 = 44字节，得到有效密文长度 - 用
seek()跳到倒数 16 字节处读 tag，再seek(0)重头解密主体 - 如果文件长度
别用 os.path.getsize() 后硬算偏移，要用 f_in.seek(0, 2) 获取真实末尾位置，避免 Windows 下换行符干扰。
Python 标准库能替代 cryptography 吗？
不能。hashlib 只做哈希，ssl 模块不暴露底层 cipher，pycryptodome 虽支持流式 AES，但默认启用的 PKCS7 填充在 CBC 模式下会导致块边界错误（最后一块可能被误判为填充）。更麻烦的是：标准库没有 AEAD 模式实现，意味着你得自己组合加密+HMAC，极易犯错（比如 timing attack 漏洞、nonce 重用）。
结论很明确：坚持用 cryptography，装它：pip install cryptography。它由专业密码学家维护，文档清楚标注了哪些 API 是安全的（比如 ChaCha20Poly1305），哪些已弃用（比如 ARC4）。
真正容易被忽略的点是：密钥派生必须用足够高的 iterations（如 480000），且 salt 绝对不能复用——哪怕同一密码加密多个文件，每个文件的 salt 也必须重新生成并随密文存储。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
