从3.1.9到4.2.0：crypto-js十年演进与安全升级全解析

项目概述

crypto-js是一个JavaScript加密标准库，支持多种加密算法和编码方式。项目已停止积极开发，推荐使用原生Crypto模块。完整文档参见README.md，源码位于src/目录。

版本历史与重要变更

4.2.0（最新版）

• 安全增强：修改PBKDF2默认哈希算法和迭代次数，提升默认配置安全性
• 功能新增：支持Blowfish加密算法，对应实现文件为src/blowfish.js
• 自定义KDF哈希器：允许用户自定义密钥派生函数的哈希算法

4.1.1

• 修复捆绑版本中的模块顺序问题
• 完善package.json的browser字段配置

4.1.0

• 新增Base64URL编码支持，实现代码见src/enc-base64url.js
• 优化Webpack打包配置，避免引入冗余的crypto-browser包

4.0.0（重大变更）

• 随机数生成重构：用原生crypto模块替代Math.random()，提升加密安全性
• 环境要求变化：不再支持IE10及以下等无原生crypto模块的环境
• 兼容性说明：加密解密功能与旧版本兼容，但随机数生成方式不同

3.3.0

• 回滚至3.1.9-1版本，将原生crypto模块的使用推迟到4.x系列
• 维持加密解密兼容性，同时保留对旧环境的支持

3.2.x（问题版本）

• 3.2.0首次尝试使用原生crypto模块，但存在严重BUG
• 官方明确标记"DO NOT USE THIS VERSION"，建议升级到更高版本

3.1.x（基础版本）

• 基于原始CryptoJS代码，使用CommonJS模块包装
• 仍使用Math.random()生成随机数，存在安全隐患
• 支持的加密算法包括AES、TripleDES、RC4等，对应src/aes.js等文件

核心功能模块

crypto-js提供丰富的加密模块，主要包括：

哈希算法

• MD5: src/md5.js
• SHA系列: src/sha1.js, src/sha256.js, src/sha512.js
• RIPEMD160: src/ripemd160.js

对称加密

• AES: src/aes.js
• 3DES: src/tripledes.js
• Rabbit: src/rabbit.js

编码方式

• Base64: src/enc-base64.js
• UTF-16: src/enc-utf16.js
• Hex: src/format-hex.js

安装与使用

Node.js安装

npm install crypto-js

基本使用示例（AES加密）

var CryptoJS = require("crypto-js");

// 加密
var ciphertext = CryptoJS.AES.encrypt('my message', 'secret key 123').toString();

// 解密
var bytes  = CryptoJS.AES.decrypt(ciphertext, 'secret key 123');
var originalText = bytes.toString(CryptoJS.enc.Utf8);

console.log(originalText); // 'my message'

测试与兼容性

项目提供完整的测试用例，位于test/目录，包括各算法的单元测试和性能测试。例如AES测试test/aes-test.js，SHA256测试test/sha256-test.js。

兼容性说明

• 4.x版本：需要支持原生crypto模块的环境
• 3.1.x版本：兼容旧环境，但随机数生成安全性较低

项目状态与未来展望

根据README.md说明，crypto-js已停止积极开发。现代浏览器和Node.js已内置Crypto模块，功能更完善且安全性更高。建议新项目直接使用原生API，现有项目可逐步迁移。

项目源码仓库地址：https://gitcode.com/gh_mirrors/cry/crypto-js