最稳妥的是使用cryptography库的Fernet：它封装AES-128-CBC与HMAC-SHA256，自动处理随机IV、密钥派生和完整性校验，避免padding、nonce重用等常见漏洞，且仅需关注密钥管理与加解密操作。
用 cryptography 库做对称加密最稳妥
Python 标准库不提供安全可用的对称加密原语，cryptography 是目前事实标准。别用 base64、rot13 或手写 XOR——这些不是加密，只是编码或玩具，连防君子都做不到。
推荐走 Fernet 流程：它封装了 AES-128-CBC + HMAC-SHA256，自动处理密钥派生、随机 IV、完整性校验，避免开发者踩 padding、nonce 重用、MAC 验证顺序等经典坑。
安装：
pip install cryptography
生成密钥只需一次：
from cryptography.fernet import Fernet<br>key = Fernet.generate_key() # bytes，如 b'gI0F...'<br>print(key.decode()) # 存进环境变量或 KMS，别硬编码
立即学习“Python免费学习笔记（深入）”；
python-docx Skill功能概述python-docx Skill是一项面向实际任务的技能，主要用于本Skill提供使用python-docx生成专业Word文档的标准方法和最佳实践；生成安全服务方案文档；核心要点生成技术架构设计文档；生成任何需要专业排版的Word文档；核心库 : python-docx；使用与执行辅助库 : docx.shared , docx.enum , docx.oxml.ns；标准代码模板；1. 文档初始化；2. 字体设置（必须！它将相关步骤、工具调用和结果整理方式集
Fernet 加密配置文件时必须注意三件事
加密目标通常是 YAML/JSON/TOML 这类文本配置，但 Fernet 只接受 bytes。常见错误是直接传字符串导致 TypeError: data must be bytes。
- 写入前：先
json.dumps(cfg_dict).encode('utf-8')，再fernet.encrypt(...) - 读取后：先
fernet.decrypt(ciphertext)，再.decode('utf-8')→json.loads(...) - 密钥绝不能和密文一起存——比如把 key 写在同个 config.py 里，等于锁门还把钥匙粘在门上
环境变量传密钥比文件更安全，但要注意加载时机
运行时从 os.environ.get('CONFIG_KEY') 拿密钥最常用，但容易忽略两点：
-
os.environ值是字符串，而Fernet构造器要bytes，得显式key.encode()（如果环境变量存的是 base64 编码后的 key） - Docker/K8s 中，环境变量可能被日志系统捕获，生产环境建议用 Secret Manager（如 AWS Secrets Manager）+ 临时凭据拉取，而非长期 ENV
- 若密钥格式不对（比如少了
=补位），Fernet会抛ValueError: Invalid base64-encoded string
解密失败时别暴露过多信息
Fernet.decrypt() 失败只抛 cryptography.fernet.InvalidToken，这很好——它不区分是密钥错、密文损坏还是被篡改。但实际中有人包一层又把异常转成明文提示，比如 "解密失败，请检查密钥"，这就泄露了验证逻辑。
正确做法是统一返回空配置或触发降级逻辑，日志里记 InvalidToken 即可，不要在 error message 里提“密钥”“加密”字眼。另外，确保配置文件权限是 600（chmod 600 config.enc），避免非 owner 读取密文本身。
密钥轮换是另一层复杂度：旧密文无法用新密钥解，得设计迁移流程或保留多版本密钥解密器——这点常被跳过，直到某天要换密钥才卡住。
