Python加密文件，cryptography库实用教程

本文深入解析了使用Python的cryptography库（特别是Fernet）进行文件批量加密的关键实践与常见陷阱：强调必须以二进制模式（'rb'）读取文件、用os.urandom(32)生成并正确base64编解码密钥，严禁字符串硬编码或错误编码；指出密钥可安全复用但需严格隔离存储与权限管控；推荐pathlib统一处理跨平台路径、配合异常捕获保障遍历鲁棒性；并客观说明体积膨胀与性能损耗是Fernet协议固有特性，提供针对性优化建议（如避免重复加密压缩文件、慎用AES-GCM、优先线程并行）。全文直击自动化加密脚本在密钥管理、路径健壮性和二进制边界处理三大高危盲区，帮你避开静默失败与安全后门。

加密单个文件时 cryptography 报 ValueError: Only byte strings can be encrypted

这是因为 Fernet（最常用加密类）只接受 bytes，而 Python 读取文件默认是字符串（str）模式。尤其在 Windows 上用 open('file.txt', 'r') 读取二进制文件（如 PDF、Excel）会直接报错或损坏数据。

• 必须用 'rb' 模式打开待加密文件：with open(path, 'rb') as f: data = f.read()
• 密钥也必须是 bytes，用 base64.urlsafe_b64encode() 生成后别忘了 decode 成字符串存配置，但加载时要再 base64.urlsafe_b64decode() 回 bytes
• 别用 str.encode() 直接转密钥字符串——它生成的是 ASCII 编码，不是 Fernet 要的 32 字节随机 key；正确做法是 os.urandom(32) 生成再 base64 编码

批量加密多个文件，Fernet 密钥复用是否安全

可以复用，但必须确保：密钥不泄露、不硬编码在脚本里、不同环境用不同密钥。Fernet 是对称加密，同一个密钥加密/解密所有文件没问题，性能开销几乎不变；但若密钥被拖库，所有文件立刻裸奔。

• 把密钥存在独立文件（如 secret.key），权限设为 600（Linux/macOS），且该文件**不能和待加密文件同目录**
• Windows 下注意路径分隔符，用 pathlib.Path 处理更稳：key_path = Path(__file__).parent / 'secret.key'
• 不要用时间戳、文件名拼接做密钥——这等于没加密；也不要每个文件生成新密钥——管理成本爆炸，且无法统一解密

FileNotFoundError 在遍历目录时突然中断

常见于符号链接、权限不足的子目录、或路径含中文/空格但未正确转义。cryptography 本身不抛这个错，是 os.walk() 或 glob.glob() 阶段就失败了。

• 改用 pathlib.Path.rglob('*')，它默认跳过权限错误，且对 Unicode 路径更友好
• 加异常捕获只跳过不可读文件，不中断整个流程：try: ... except (PermissionError, OSError): continue
• 避免用 os.system('zip ...') 类命令拼接路径——shell 注入风险高；全用 pathlib 或 shutil 原生 API

加密后文件体积变大、速度慢，能优化吗

这是 Fernet 的必然结果：它在原始数据前加了 32 字节 IV + 16 字节 auth tag，还做了 base64 编码（膨胀约 33%）。如果你加密的是小文件（10MB）相对影响小。

• 不要对已压缩文件（.zip、.jpg、.mp4）再加密——既无安全增益，又徒增体积
• 真要提速，可改用 AES-GCM（cryptography.hazmat.primitives.ciphers），但得自己处理 nonce、tag、padding，出错概率高，除非你明确需要流式加密或硬件加速
• 批量时用 concurrent.futures.ThreadPoolExecutor 并行，别用 multiprocessing——GIL 下 I/O 密集型任务线程就够了，进程反而增加内存开销

加密不是加个壳就完事；密钥生命周期、文件路径健壮性、二进制数据边界，这三个地方一漏，自动化脚本要么静默失败，要么留后门。

今天带大家了解了的相关知识，希望对你有所帮助；关于文章的技术知识我们会一点点深入介绍，欢迎大家关注golang学习网公众号，一起学习编程~