档案管理系统传输加密实操指南：从零实现可落地的端到端加密传输

前期准备

本文针对主流Linux服务器部署场景，所有命令可直接复制执行，Windows部署可直接从Nginx官方下载安装包：http://nginx.org/en/download.html，后续配置逻辑完全一致。

环境安装

• CentOS 7/8/9 执行以下命令安装依赖：

  ```
  yum install -y nginx openssl
  ```
  

• Debian 9+/Ubuntu 18.04+ 执行以下命令安装依赖：

  ```
  apt update && apt install -y nginx openssl
  ```
  

• 准备项：公网部署需要绑定可访问的域名，内网部署直接用服务器内网IP即可

证书准备（分两种场景）

传输加密需要SSL证书，根据部署场景选择对应方式：

• 场景1：公网可访问的档案系统（申请免费可信证书）

  先安装证书自动申请工具Certbot：

  ```
  CentOS
  yum install -y certbot python3-certbot-nginx
  Debian/Ubuntu
  apt install -y certbot python3-certbot-nginx
  ```
  

  然后执行证书申请命令，替换对应内容即可：

  ```
  certbot --nginx -d 你的档案系统域名 -m 你的联系邮箱 --agree-tos
  ```
  

  执行完成后Certbot会自动配置好Nginx证书参数，不需要手动修改。
• 场景2：内网部署的档案系统（生成自签证书）

  依次执行以下命令生成10年有效期的自签证书：

  ```
  mkdir -p /etc/nginx/ssl
  openssl req -x509 -newkey rsa:4096 -nodes -out cert.pem -keyout privkey.pem -days 3650
  mv cert.pem privkey.pem /etc/nginx/ssl/
  ```
  

  执行过程中所有提示直接回车默认即可，不需要手动输入信息。

Nginx传输层加密配置

传输层加密是档案传输加密的基础，通过HTTPS实现全链路加密，以下是完整可直接复制的配置，仅需要修改3处标注内容：

打开Nginx配置文件（路径：/etc/nginx/conf.d/file-manager.conf，没有就新建），写入以下内容：

```nginx
允许上传最大100M档案，可根据需求修改大小
client_max_body_size 100m;
server {
listen 443 ssl http2;
第1处修改：替换成你的域名/内网IP
server_name 你的域名或内网IP;
第2处修改：证书路径，自签证书保持默认即可，Certbot申请的会自动替换
ssl_certificate /etc/nginx/ssl/cert.pem;
ssl_certificate_key /etc/nginx/ssl/privkey.pem;
加密协议配置，直接保留不用修改
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
ssl_prefer_server_ciphers off;
第3处修改：替换成你本地档案系统实际监听的端口
location / {
proxy_pass http://127.0.0.1:8080;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
}
强制所有HTTP请求跳转到HTTPS，确保所有传输都是加密的
server {
listen 80;
server_name 你的域名或内网IP;
return 301 https://$server_name$request_uri;
}
```

高敏感档案附加应用层加密（可选）

如果是涉密等级较高的档案，可以在传输层加密基础上增加应用层加密，实现双重加密，以下是可直接复用的代码：

前端加密代码（上传前加密）

先引入crypto-js加密库，直接使用公共CDN：

```html

```

加密函数可直接复用：

```javascript
// 替换为你自己的16位自定义密钥，前后端必须一致
const SECRET_KEY = CryptoJS.enc.Utf8.parse("你的16位自定义密钥");
async function encryptFile(file) {
return new Promise((resolve) => {
const reader = new FileReader();
reader.onload = (e) => {
const wordArray = CryptoJS.lib.WordArray.create(e.target.result);
const encrypted = CryptoJS.AES.encrypt(wordArray, SECRET_KEY, {
mode: CryptoJS.mode.ECB,
padding: CryptoJS.pad.Pkcs7
});
resolve(encrypted.toString());
}
reader.readAsArrayBuffer(file);
})
}
```

后端Java解密代码

先引入hutool依赖，然后直接使用解密方法：

```xml


cn.hutool
hutool-crypto
5.8.16

```
```java
// 解密代码，密钥和前端保持一致
import cn.hutool.crypto.symmetric.AES;
import cn.hutool.core.util.CharsetUtil;
String key = "你的16位自定义密钥";
AES aes = new AES(key.getBytes(CharsetUtil.CHARSET_UTF_8));
byte[] originalFileData = aes.decrypt(encryptedContentFromFrontend);
```

配置验证与常见问题排错

配置完成后依次执行以下命令生效：

```
验证配置是否正确
nginx -t
重载配置生效
nginx -s reload
开放443端口防火墙规则
CentOS
firewall-cmd --add-port=443/tcp --permanent && firewall-cmd --reload
Ubuntu UFW
ufw allow 443/tcp && ufw reload
```

验证方法：打开浏览器访问你的档案系统地址，地址栏出现锁形标识，说明加密配置生效。

• 配置报错：执行nginx -t会提示具体错误位置，大多是拼写错误或者路径错误，对照检查即可
• 证书不安全提示：内网自签证书默认会有这个提示，不影响加密效果，把证书导入系统信任列表即可消除提示
• 大档案上传失败：修改配置里的client_max_body_size参数，改成你需要的最大档案大小即可
• 证书过期：Let’s Encrypt免费证书90天有效期，执行certbot renew即可自动续期；自签证书重新生成一次即可

完成以上步骤后，档案管理系统所有传输内容都会被加密，普通需求用传输层加密即可满足，高敏感需求叠加应用层加密即可，整个过程10分钟即可落地。