XOR 与 RC4：从原理到 Go 实战（含安全替代建议）

副标题 / 摘要

用最少的数学解释 XOR 与 RC4 的工作机制，给出可运行的 Go 示例，并说明 RC4 的安全问题与替代方案。

目标读者

• 想读懂遗留 RC4 代码的后端工程师
• 想区分“编码”与“加密”的初学者
• 需要建立流密码心智模型的中级开发者

背景 / 动机

很多系统仍遗留 RC4 或“自研解密”的逻辑。常见误区是把 Base64 当作加密，或忽视“完整性校验”。理解 XOR 与 RC4，有助于正确评估安全性，并避免把旧方案复制到新系统。

核心概念

• XOR（异或）：按位运算，可逆
• 流密码：用伪随机密钥流与明文逐字节 XOR
• RC4：经典流密码，但已不推荐
• Base64：编码，不是加密
• 完整性：仅加密不等于防篡改

实践指南 / 步骤

1. 接收 Base64 字符串（通常是 RC4 输出）
2. Base64 解码得到原始字节
3. 用共享密钥初始化 RC4
4. 将密钥流与字节逐字节 XOR
5. 把输出按 UTF-8 转为字符串（若是文本）

可运行示例（Go）

package main

import (
	"crypto/rc4"
	"encoding/base64"
	"fmt"
)

func rc4XOR(key string, data []byte) ([]byte, error) {
	c, err := rc4.NewCipher([]byte(key))
	if err != nil {
		return nil, err
	}
	out := make([]byte, len(data))
	c.XORKeyStream(out, data)
	return out, nil
}

func encryptToBase64RC4(key, plaintext string) (string, error) {
	out, err := rc4XOR(key, []byte(plaintext))
	if err != nil {
		return "", err
	}
	return base64.StdEncoding.EncodeToString(out), nil
}

func decryptBase64RC4(key, encoded string) (string, error) {
	raw, err := base64.StdEncoding.DecodeString(encoded)
	if err != nil {
		return "", err
	}
	out, err := rc4XOR(key, raw)
	if err != nil {
		return "", err
	}
	return string(out), nil
}

func main() {
	key := "demo-key"
	plaintext := "hello rc4"

	enc, _ := encryptToBase64RC4(key, plaintext)
	dec, _ := decryptBase64RC4(key, enc)

	fmt.Println(enc)
	fmt.Println(dec)
}

运行：

• go run rc4_demo.go

解释与原理

XOR 的可逆性来自 a XOR b XOR b = a。RC4 生成伪随机密钥流，与数据逐字节 XOR。因为加密与解密都使用同一密钥流，所以一旦密钥流复用或出现偏差，就会泄露信息。

常见问题与注意事项

• Base64 是编码，不是加密
• RC4 有已知偏差，已被标准弃用
• 仅加密不等于防篡改，需要 MAC/AEAD
• 密钥复用会导致明文可被推断

最佳实践与建议

• 新系统优先使用 AES-GCM 或 ChaCha20-Poly1305
• 遗留系统尽快迁移，避免长期依赖 RC4
• 加密与认证要同时考虑（机密性 + 完整性）

小结 / 结论

XOR 是流密码的核心操作。RC4 易理解但不安全，适合阅读遗留代码而非新实现。现代系统应使用 AEAD 算法替代。

参考与延伸阅读

• https://www.rfc-editor.org/rfc/rfc6229
• https://www.rfc-editor.org/rfc/rfc7465
• https://en.wikipedia.org/wiki/RC4
• https://pkg.go.dev/crypto/rc4

元信息

• 阅读时长：8 分钟
• 标签：go, security, crypto, rc4, xor
• SEO 关键词：XOR, RC4, 流密码, Go, 加密, Base64
• 元描述：系统讲清 XOR 原理、RC4 工作机制与 Go 可运行示例，并说明为何 RC4 不再安全。

行动号召（CTA）

运行示例后，尝试将 RC4 替换为 AES-GCM，并记录差异与迁移成本，分享给团队。