在Java项目里处理数据加密，尤其是满足安全合规的场景，手工编写加密算法确实容易出错——算法选型、密钥管理、填充方式，任何一个环节疏忽都可能导致线上故障。幸运的是，借助通义灵码这类AI编码助手，我们可以用更自然的描述方式，在IDE里直接生成符合规范的加解密代码，省去大量重复且易出错的手工劳动。

要从零快速生成业务所需的加解密逻辑，关键在于学会用自然语言注释触发代码生成。例如，在Service方法内，用单行注释清晰描述需求：“用AES-256-GCM对用户token进行加密，密钥从Spring Boot配置中读取，IV随机生成并前置到密文前”——请注意，这并非普通的函数调用，而是给IDE的指令。按下快捷键（Windows/Linux使用Ctrl+Enter，macOS使用Cmd+Enter），通义灵码会自动解析注释中的算法模式、密钥注入方式和输出格式要求，生成一个包含异常处理和Base64编码的完整加密方法。

需要警惕的是，注释不能写得过于模糊。如果只写“加密token”，工具可能直接默认采用MD5或简单Base64，这显然无法满足数据安全合规的要求。明确指定算法名称、加密模式、密钥来源和输出格式，才能确保生成结果符合预期。

解密逻辑自动联动，密钥与IV解析一步到位

加密方法生成后，紧接着需要实现解密逻辑。在加密方法下方空一行，输入注释：“解密上述AES-GCM密文，先分离前12字节IV，再用相同密钥解密”。再次触发快捷键，通义灵码会结合上文已生成的加密方法签名和密钥注入方式（比如@Value("${crypto.aes.key}")），生成严格匹配的解密方法。其中涉及IV截取、GCMParameterSpec构造、Cipher.init(DECRYPT_MODE, key, spec)调用等一系列操作，工具会确保解密逻辑与加密逻辑一一对应。

更重要的是，解密方法不会复制加密方法中可能存在的硬编码密钥字符串，而是复用同一个配置项。如果后续手动调整了加密方法里的密钥变量名，解密方法的引用也会同步更新。这一点十分关键——但凡密钥不一致，解密必然失败，而且排查起来相当隐蔽。

密钥生成与存储：派生工具类与配置校验

除了加密解密本身，密钥的安全生成和加载也是常见需求。这里有两条比较实用的生成路径：

一是生成密钥派生工具类。新建一个KeyDerivationUtils.java文件，输入注释：“使用PBKDF2WithHmacSHA256从用户密码派生32字节AES密钥，迭代10万次，盐值随机生成”。通义灵码会生成包含SecureRandom盐生成、KeySpec构造和SecretKeyFactory转换的完整工具方法，迭代次数和密钥长度均符合注释中的要求。

二是生成配置加载与校验逻辑。在application.yml同级目录新建CryptoConfig.java，输入注释：“从配置读取AES密钥（Base64格式），校验长度是否为32字节，否则抛出IllegalStateException”。生成结果是一个@ConfigurationProperties绑定类，包含@PostConstruct校验块和Base64解码逻辑。其中有一个智能识别细节：如果配置项密钥是明文十六进制字符串，比如“0123456789abcdef...”，工具会自动选择Hex.decode()方法，而不是Base64解码——它依靠注释中的“hex”“十六进制”等关键词来判断编码类型。

MyBatis TypeHandler：敏感字段自动加解密

对于持久层的数据安全，可以进一步通过自定义TypeHandler来实现字段级别的自动加解密。做法是创建一个AesEncryptedStringTypeHandler.java类，在类声明上写注释：“MyBatis TypeHandler，对数据库中加密的user_phone字段自动解密读取、加密写入，使用AES-GCM和配置密钥”。

接着在类内部，依次输入两段注释来生成核心方法骨架：先写“实现setNonNullParameter，用AES-GCM加密字符串后存入PreparedStatement”来生成加密写入逻辑；再写“实现getNullableResult，从ResultSet中读取密文并解密为明文字符串”来生成解密读取逻辑。工具会自动在类顶部添加@Autowired private CryptoConfig cryptoConfig;，并在mybatis-config.xml或@MapperScan注解中提示注册该Handler。

需要特别注意的是，@MappedTypes(String.class)注解是MyBatis识别Handler的必要条件。如果遗漏了它，字段会始终以明文形式传输，相当于加解密逻辑没有被真正生效。在生成的代码里，工具通常不会漏掉这一步，但手工修改时就需要格外留意。