Hugo 实现页面加密
内容提要
本文介绍如何在Hugo静态博客中实现页面加密。通过构建脚本将标记为加密的页面HTML与静态资源打包，使用PBKDF2派生密钥和AES-256-GCM加密为.plb文件，并清理明文。访客输入密码后，浏览器解密还原内容，路由作为AAD防止篡改。该方法适合适度隐蔽，但无法防止离线爆破。
延伸解读
加密原理与安全性
该方案采用PBKDF2派生密钥和AES-256-GCM加密，将页面内容打包为单个.plb文件。AES-GCM的认证标签可检测数据篡改，路由作为附加认证数据（AAD）绑定，防止密文被复制到其他路径。但文章明确指出，由于无服务端鉴权，访客可下载文件离线爆破，安全性取决于密码强度，适合适度隐蔽而非高安全需求。
构建流程与泄漏防护
加密在Hugo构建后通过脚本执行，候选站点包含明文，但密封或检查失败会终止构建，防止明文发布。发布前会检查解锁页无残留明文、目录无未加密资源、路由一致，并过滤RSS、Sitemap等中的正文。这体现了静态站点生成中构建时安全处理的重要性。
浏览器端解密与体验
访客输入密码后，浏览器下载.plb文件，解析Header并校验路由，派生密钥解密，为资源创建临时blob URL，并触发自定义事件重新初始化前端组件。解密后内容仅在当前会话有效，刷新后销毁，但无法防止控制台复制或截图，适合对内容保护要求不高的场景。
Q&A
Hugo静态博客如何实现页面加密？
在Hugo构建流程中，通过构建脚本将标记为加密的页面HTML与静态资源打包，使用PBKDF2派生密钥和AES-256-GCM加密为.plb文件，并清理明文，访客输入密码后由浏览器解密还原内容。
Hugo页面加密的加解密流程是怎样的？
流程包括：Hugo生成候选站点，扫描加密页面，打包正文与资源，用密码派生密钥加密，清理明文，执行泄漏检查后发布。访问时浏览器下载.plb文件，解析Header，校验路由，派生密钥解密并还原内容。
Hugo页面加密中如何打包静态资源？
将HTML正文与关联文件按顺序写入连续二进制数据块，通过Manifest清单记录各元素的字节偏移量、长度及MIME类型。Manifest作为索引结构，用于解密后按偏移量提取内容。
Hugo页面加密使用什么加密算法和密钥派生方法？
使用PBKDF2-HMAC-SHA-256从密码派生256位密钥，采用AES-256-GCM进行对称加密。salt和iv随机生成，PBKDF2迭代次数增加破解成本，AES-GCM提供机密性和完整性校验。
Hugo页面加密中AAD（附加认证数据）的作用是什么？
AAD将文章的规范路由（如/posts/secret-note/）参与加密计算，防止密文被复制到其他路径或路由被篡改。若路由不匹配或认证标签校验失败，解密将失败。
Hugo页面加密后目录结构是怎样的？
加密后的文章目录仅保留两个文件：index.html（解锁界面）和protected-content.plb（加密的Payload），明文资源被清理。
Hugo页面加密有哪些安全局限性？
由于缺乏服务端鉴权，任何访客可下载.plb文件进行离线爆破；解密后内容可被复制或截图，无法撤销权限；安全性依赖密码复杂度，建议使用高强度随机密码。
Hugo页面加密如何防止明文泄漏？
构建脚本在加密后清理明文资源，并执行泄漏检查，确保index.html中无明文残留、目录下无未加密资源、路由一致，且RSS、Sitemap等已过滤受保护页面内容。
