ChaCha20-Poly1305要求32字节密钥且不可复用，否则会panic或导致认证标签被破解；必须用crypto/rand生成真随机密钥，口令派生需加盐并足够迭代。
Go 里用 chacha20poly1305 做认证加密，核心就一条：别自己拼 nonce、别复用 key、别忽略 Seal 和 Open 的返回错误——否则解密成功但数据已被篡改，你根本不知道。
为什么 chacha20poly1305.New 要传 32 字节 key，且不能复用？
ChaCha20-Poly1305 是 AEAD，密钥长度固定为 256 位（即 32 字节）。传错长度会直接 panic：chacha20poly1305: invalid key size 16。key 复用比 IV 复用更危险：一旦同一个 key 加密两条不同明文，攻击者可直接恢复 Poly1305 的内部密钥，继而伪造任意有效认证标签。
- 必须用
crypto/rand.Read生成真随机 key，别用math/rand - key 永远只用于一次加密上下文；长期存储需配合 KDF 衍生，如
scrypt.Key - 若从用户口令派生 key，务必加盐且迭代足够（如 1
Seal 返回的密文为什么总比明文长 16 字节？
因为 Seal 在末尾追加了 16 字节 Poly1305 认证标签（authentication tag）。这个 tag 不是“额外校验和”，而是密文不可分割的一部分——解密时 Open 会用它验证整个密文+关联数据的完整性。漏传或截断这 16 字节，Open 必然返回 crypto/cipher: message authentication failed。
- 密文结构 =
nonce（12 字节） +ciphertext+tag（16 字节），其中 nonce 需单独传输，不参与Seal输入 - 不要把 nonce 和密文混在一起再调
Seal；nonce 是Seal的第二个参数，独立传入 - 如果用
chacha20poly1305.NewX，nonce 变成 24 字节，tag 仍是 16 字节
关联数据（AAD）为空时，Seal 第四个参数能传 nil 吗？
能，而且推荐传 nil，不是空切片 []byte{}。两者语义不同：nil 表示“无 AAD”，[]byte{} 表示“长度为 0 的 AAD”。Poly1305 内部对这两种情况的哈希处理路径不同，混用会导致 Open 校验失败。
初始化并管理阿里云SDK Go 客户端，涵盖 sync.Once 单例、goroutine 安全、endpoint 与 region 配置、VPC 端点及调试。
立即学习“go语言免费学习笔记（深入）”；
- AAD 常用于携带不加密但需防篡改的元数据，比如请求 ID、时间戳、版本号
- AAD 修改后即使密文不变，tag 也会变；所以 AAD 应该是确定性生成的，不能含随机字段
- 传
nil最安全；若业务必须用空 AAD，统一约定用nil，别在部分地方用[]byte{}
Open 解密失败只返回 error，怎么区分是密文损坏还是 AAD 不匹配？
不能区分。Go 的 chacha20poly1305 实现把所有认证失败都归为同一个 error：crypto/cipher: message authentication failed。这是故意设计——避免攻击者通过错误类型差异实施 oracle 攻击（例如靠 “AAD 错” 和 “密文错” 的响应时间差来爆破）。
- 别在 error 信息里打印或记录具体失败原因
- 日志中统一记为 “AEAD verification failed”，不暴露细节
- 若需调试，可在开发环境临时加断点看
Open内部的poly1305.Verify返回值，但上线必须删掉
最易被忽略的一点：nonce 生成后必须确保**全局唯一**，哪怕跨不同 key。ChaCha20-Poly1305 对 nonce 重用极度敏感——两次相同 nonce + 相同 key，攻击者能直接恢复明文异或值，进而推导出完整密钥流。别依赖“概率低”就省事，用数据库主键、单调递增 counter 或加密安全的随机数生成器来管理 nonce。
