| 成因 | 解密错误分类可见（错误码/页面/耗时） |
|---|---|
| 典型场景 | CBC+MAC 的 TLS ≤1.2、自研 Cookie/Token 加密 |
| 防护一 | 改用 AEAD（GCM/CCM/ChaCha20-Poly1305） |
| 防护二 | Encrypt-then-MAC（RFC 7366）并统一报错 |
服务端只保留 AEAD 套件（nginx 示例）
服务端只保留 AEAD 套件（nginx 示例）
ssl_ciphers ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;自研加密高频出现的问题是「解密失败」与「校验失败」返回不同状态码或耗时差异；修复时要同时消除错误分类与时间侧信道。