## 1. 为什么我们需要自动化加密？ 做嵌入式开发的朋友，尤其是做产品量产和固件升级的，肯定都遇到过这个场景：代码在Keil里编译好了，生成了一个.bin文件，然后你需要把这个文件用AES加密一下，才能交给产线烧录或者让用户自己升级。以前我是怎么干的呢？先在Keil里点一下Build，等它编译完，然后打开资源管理器，找到那个.bin文件，再双击我之前用QT写的一个加密小工具，选择文件、输入密钥、点击加密，最后把加密后的文件复制到指定位置。一套流程下来，手忙脚乱，要是赶上一天要编译测试几十个版本，光是重复这个操作就能把人逼疯，还特别容易出错，比如拿错了未加密的文件就发出去，那问题就大了。 所以我就想，能不能让Keil在编译完成后，自动帮我把这一步给做了？就像它自动生成.bin文件一样，生成完紧接着就把它加密好，我直接拿最终的那个加密文件用就行了。这个想法听起来就很美好，对吧？但真正动手去实现，特别是想把Python脚本集成到Keil这个“老牌”IDE里，还是踩了不少坑的。今天我就把这些实战经验，包括怎么想的、怎么做的、中间遇到了哪些“坑”以及怎么填平的，都详细地分享出来。就算你之前没怎么用过Python，跟着我的步骤走，也能轻松搞定这个自动化流程，把双手从重复劳动中解放出来。 ## 2. 动手前的准备工作：环境与思路 ### 2.1 你需要准备的东西 工欲善其事，必先利其器。在开始写脚本和配置之前，我们先确保手头有这几样东西： 1. **Keil MDK**：这个不用说，咱们的开发环境。我用的版本是uVision V5，不过这个方法对于其他较新版本应该也是通用的。 2. **Python 3**：我们的自动化核心。去官网下载安装就行，建议安装时勾选“Add Python to PATH”，这样在命令行里直接就能用。我用的Python 3.8，版本别太老一般都没问题。 3. **一个Python编辑器**：VS Code、PyCharm甚至记事本都行，用来写我们的加密脚本。 4. **一个能用的AES加密库**：Python里实现AES加密有很多选择，比如 `pycryptodome` 这个库就非常强大和标准。安装它只需要在命令行里敲一句：`pip install pycryptodome`。 ### 2.2 核心思路拆解 我们的目标很明确：**让Keil在编译完成后，自动执行一个Python脚本，这个脚本能找到刚刚生成的.bin文件，并用AES加密它，最后输出一个新的、加密后的文件。** 听起来就两步：找文件和加密。但集成到Keil里，关键点在于“**上下文**”。什么叫上下文？简单说，就是当Keil去调用外部脚本时，它认为的“当前文件夹”是哪里？脚本运行时，它从哪里找文件，又默认把新文件生成到哪里？我最初就是在这里栽了跟头，以为很简单，结果脚本死活找不到.bin文件。所以，我们的核心思路必须包含路径处理： * **脚本自身定位**：脚本需要知道Keil工程文件（.uvprojx）在哪里。 * **输入文件定位**：脚本需要能准确找到Keil刚刚编译输出的.bin文件。这个文件通常在工程目录下的某个子文件夹里，比如 `Objects/` 或者 `Output/`。 * **输出文件定位**：加密后的文件应该存放到一个我们指定的、方便后续使用的位置，比如直接放在工程根目录，或者一个专门的 `Release/` 文件夹里。 想清楚这几点，我们才能写出健壮的脚本，而不是那种在自己电脑上手动运行没问题，一到Keil里就“失灵”的脚本。 ## 3. 编写核心Python加密脚本 好了，现在我们开始写最关键的Python脚本。我会把代码拆开，一段一段解释，你完全可以照着抄，然后根据自己项目的情况微调。 ### 3.1 脚本框架与参数解析 首先，我们不把路径写死在脚本里，而是通过命令行参数传递。这样脚本更灵活，Keil也更容易调用它。假设我们的脚本叫 `auto_aes_encrypt.py`。 ```python #!/usr/bin/env python3 # -*- coding: utf-8 -*- """ Keil编译后自动AES加密Bin文件脚本 使用方法：python auto_aes_encrypt.py <原始bin路径> <输出加密文件路径> [密钥配置文件路径] """ import sys import os from pathlib import Path def main(): # 1. 解析命令行参数 if len(sys.argv) < 3: print("错误：参数不足。") print("用法: python auto_aes_encrypt.py <input_bin> <output_encrypted> [config_file]") sys.exit(1) input_bin_path = Path(sys.argv[1]) # 第一个参数：原始bin文件路径 output_enc_path = Path(sys.argv[2]) # 第二个参数：加密后输出文件路径 # 第三个参数可选：密钥配置文件路径，默认为脚本同目录下的 `aes_key.ini` config_file_path = Path(sys.argv[3]) if len(sys.argv) > 3 else Path(__file__).parent / "aes_key.ini" print(f"[信息] 输入文件: {input_bin_path}") print(f"[信息] 输出文件: {output_enc_path}") print(f"[信息] 配置文件: {config_file_path}") # 2. 检查输入文件是否存在 if not input_bin_path.is_file(): print(f"[错误] 找不到输入文件: {input_bin_path}") sys.exit(1) # 3. 执行加密流程（下一步实现） encrypt_bin_file(input_bin_path, output_enc_path, config_file_path) print("[成功] 文件加密完成！") if __name__ == "__main__": main() ``` 这段代码做了几件事： 1. 定义脚本怎么用，需要哪些参数。 2. 从 `sys.argv` 里获取用户传入的参数。Keil调用时会传递这些参数过来。 3. 使用 `pathlib.Path` 来处理路径，这是现代Python推荐的方式，比直接用字符串拼接更安全、直观。 4. 检查输入的.bin文件是否存在，如果不存在就报错退出，避免后续操作出错。 ### 3.2 实现AES-128-CBC加密逻辑 接下来，我们实现核心的加密函数。这里我选择最常用的 **AES-128-CBC** 模式，它需要密钥（Key）和初始化向量（IV）。密钥和IV我们会从一个配置文件里读取。 ```python from Crypto.Cipher import AES from Crypto.Util.Padding import pad, unpad # 用于填充 import configparser # 用于读取ini配置文件 def encrypt_bin_file(input_path, output_path, config_path): """ 读取配置文件中的AES密钥和IV，对二进制文件进行加密。 """ # 1. 读取配置文件 config = configparser.ConfigParser() if not config_path.is_file(): print(f"[错误] 找不到配置文件: {config_path}") sys.exit(1) config.read(config_path, encoding='utf-8') try: # 从 [AES] 节读取 key 和 iv aes_section = config['AES'] # 配置文件里可以用十六进制字符串存储，例如 key = 00112233445566778899AABBCCDDEEFF key_hex = aes_section.get('key', '').strip() iv_hex = aes_section.get('iv', '').strip() if not key_hex or not iv_hex: print("[错误] 配置文件中未找到有效的 'key' 或 'iv'。") sys.exit(1) # 将十六进制字符串转换为字节串 key = bytes.fromhex(key_hex) iv = bytes.fromhex(iv_hex) # 检查密钥长度，AES-128需要16字节 if len(key) != 16: print(f"[错误] 密钥长度错误，AES-128需要16字节，当前是 {len(key)} 字节。") sys.exit(1) if len(iv) != 16: # CBC模式的IV通常也是16字节 print(f"[警告] IV长度不是16字节，这可能导致兼容性问题。") except KeyError as e: print(f"[错误] 配置文件格式不正确，缺少必要的节或键: {e}") sys.exit(1) except ValueError as e: print(f"[错误] 密钥或IV的十六进制格式无效: {e}") sys.exit(1) # 2. 读取原始bin文件 with open(input_path, 'rb') as f: plain_data = f.read() # 3. 创建AES加密器 (CBC模式) cipher = AES.new(key, AES.MODE_CBC, iv) # 4. 对数据进行PKCS7填充并加密 # AES CBC模式要求数据长度是16字节的倍数，所以需要填充 padded_data = pad(plain_data, AES.block_size) encrypted_data = cipher.encrypt(padded_data) # 5. 将加密后的数据写入新文件 # 确保输出目录存在 output_path.parent.mkdir(parents=True, exist_ok=True) with open(output_path, 'wb') as f: f.write(encrypted_data) print(f"[信息] 加密成功。原始大小: {len(plain_data)} 字节，加密后大小: {len(encrypted_data)} 字节。") ``` **关键点解释：** * **配置文件**：我用了Python标准的 `configparser` 来读 `.ini` 文件。这样管理密钥比较方便，你可以把 `aes_key.ini` 文件放在项目里（注意不要上传到公开的代码仓库！），内容类似这样： ```ini [AES] key = 2B7E151628AED2A6ABF7158809CF4F3C ; 这是AES-128的一个示例密钥，务必换成你自己的！ iv = 000102030405060708090A0B0C0D0E0F ; 初始化向量 ``` * **填充（Padding）**：因为AES是块加密，数据必须凑齐16字节的整数倍。`pad` 函数就是干这个的，它使用标准的PKCS7填充方式。对应的，解密时需要用 `unpad`。 * **错误处理**：代码里加入了很多检查，比如文件是否存在、配置格式对不对、密钥长度对不对。这样集成到Keil里后，如果出错，我们能从Keil的Build Output窗口看到清晰的错误信息，而不是一个莫名其妙的失败。 ### 3.3 创建配套的配置文件 在你的Python脚本旁边，创建一个名为 `aes_key.ini` 的文件，内容如上所示。**切记，这是一个包含敏感信息的文件，务必通过 `.gitignore` 等机制避免将其提交到版本控制系统。** 在团队协作中，可以考虑将密钥通过环境变量或其他安全方式传递，而不是硬编码在文件里。这里为了演示简便，我们使用配置文件。 ## 4. 在Keil中集成并调用脚本 这是最核心的一步，也是坑最多的地方。Keil允许我们在“构建后步骤”（Post-build Steps）中执行自定义命令。 ### 4.1 配置Keil的Post-build步骤 1. 打开你的Keil工程。 2. 点击菜单栏的 `Project` -> `Options for Target...`，或者直接按 `Alt+F7`。 3. 在弹出的对话框中，选择 `User` 选项卡。 4. 你会看到 `Run #1` 和 `Run #2` 等复选框。我们主要用 `Run #1`。在它后面的输入框里，就是我们输入命令的地方。 **关键命令格式：** ``` python "$P!\\..\\tools\\auto_aes_encrypt.py" "$L!\\..\\output\\project.bin" "$P!\\..\\output\\project_encrypted.bin" ``` 让我来拆解这个命令： * `python`：调用Python解释器。如果你的Python没加系统PATH，这里需要写全路径，比如 `"C:\\Python38\\python.exe"`。 * `"$P!\\..\\tools\\auto_aes_encrypt.py"`：这是我们的Python脚本路径。 * `$P!` 是Keil的内置变量，代表**当前工程文件（.uvprojx）所在的目录**的绝对路径。 * `\\..\\tools` 表示向上退一级，然后进入 `tools` 文件夹。我习惯把脚本放在工程目录下的 `tools` 子文件夹里，这样比较整洁。你需要根据你的实际存放位置调整。 * 整个路径用双引号括起来，防止路径中有空格导致出错。 * 第一个参数 `"$L!\\..\\output\\project.bin"`：这是**原始bin文件的路径**。 * `$L!` 是Keil的内置变量，代表 `Listings` 输出目录的绝对路径。这个目录通常是工程目录下的 `Listings/`。但我们的bin文件通常在 `Objects/` 或你自己设置的 `Output` 目录。所以这里用 `$L!\\..` 退回到工程根目录，再指向你的输出目录。**这里是最容易出错的地方！** 你需要先确认你的Keil工程把 `.bin` 文件生成在哪里。查看方法是：在 `Options for Target` -> `Output` 选项卡，看 `Select Folder for Objects...` 设置的目录。假设你的输出目录是 `Output`，那么参数可以写成 `"$P!\\Output\\project.bin"`。`$P!` 直接指工程目录更稳妥。 * `project.bin` 是你的输出文件名，在 `Options for Target` -> `User` 选项卡的 `After Build/Rebuild` 部分，通常有一行命令是 `fromelf --bin -o "..\\Output\\project.bin" "#L"`，这里的 `"..\\Output\\project.bin"` 就是你的bin文件最终路径。我们的参数必须和这个路径**严格对应**。 * 第二个参数 `"$P!\\..\\output\\project_encrypted.bin"`：这是**加密后文件的输出路径**。我指定它输出到工程目录下的 `output` 文件夹（和原始bin放一起，但名字不同）。你可以改成任何你想要的路径。 ### 4.2 解决“路径之坑”——我的踩坑实录 按照上面的命令配好了，一编译，Keil的Build Output窗口很可能报错：`[错误] 找不到输入文件: ...`。 这就是我最初遇到的问题：**Keil调用外部脚本时，其“当前工作目录”是工程文件（.uvprojx）所在的目录，而不是脚本所在的目录，也不是输出文件所在的目录。** **我的错误示范：** 最开始我的脚本里用了相对路径 `./project.bin` 来寻找文件。当我在脚本所在文件夹手动运行 `python auto_aes_encrypt.py`，它能找到同文件夹的 `project.bin`。但Keil调用时，工作目录是工程根目录，那里没有 `project.bin`，所以脚本就报“找不到文件”。 **解决方案：** 1. **绝对路径是王道**：就像我在命令示例里做的那样，在Keil的调用命令中，使用Keil的内置变量（如 `$P!`, `$L!`）或绝对路径来**明确指定**输入和输出文件的完整路径。不要依赖脚本内部的相对路径。 2. **参数传递**：通过命令行参数把完整的输入/输出路径传给Python脚本，脚本内部直接使用这些参数，这样就完全避免了工作目录的歧义。这正是我们上面脚本设计的方式。 3. **验证路径**：你可以在Keil的Post-build命令里先加一个简单的命令来测试路径，比如： ``` cmd /c echo Bin path is: $P!\\Output\\project.bin ``` 编译一下，看看Build Output里打印出来的路径是不是你期望的那个。确认无误后，再把 `echo` 命令换成我们的Python调用。 一旦路径问题解决了，整个流程就畅通了。编译成功后，你立刻就能在指定的输出目录里看到两个文件：原始的 `.bin` 和加密后的 `_encrypted.bin` 文件。 ## 5. 进阶优化与实用技巧 基础功能跑通了，我们可以让它更好用、更健壮。 ### 5.1 使用批处理文件（.bat）进行封装 直接在Keil里写长命令有点乱，尤其是当你要传递多个参数或者需要先进行一些环境设置时。我们可以写一个批处理文件来包装对Python脚本的调用。 创建一个 `post_build.bat` 文件，放在工程目录下： ```batch @echo off REM 这是一个Keil编译后调用的批处理脚本 REM 参数1：工程文件路径 (Keil传递的) REM 我们在这里硬编码或计算其他路径 set PROJECT_DIR=%~dp1 set BIN_FILE="%PROJECT_DIR%Output\project.bin" set ENC_FILE="%PROJECT_DIR%Output\project_encrypted.bin" set PY_SCRIPT="%PROJECT_DIR%tools\auto_aes_encrypt.py" set CONFIG_FILE="%PROJECT_DIR%tools\aes_key.ini" echo [Post-Build] Starting AES encryption... python %PY_SCRIPT% %BIN_FILE% %ENC_FILE% %CONFIG_FILE% if %errorlevel% equ 0 ( echo [Post-Build] Encryption succeeded. ) else ( echo [Post-Build] Encryption failed! exit /b 1 ) ``` 然后在Keil的 `Run #1` 里，命令就简化为： ``` "$P!\post_build.bat" "$P!" ``` 这样逻辑更清晰，也方便在bat文件里添加更多预处理或后处理步骤，比如计算文件CRC校验和、复制文件到发布目录等。 ### 5.2 处理不同构建配置（Debug/Release） 你的工程可能有Debug和Release等不同的配置，输出路径或文件名可能不同。我们可以通过Keil的预定义宏来区分。 在 `Options for Target` -> `User` 选项卡，勾选 `Use Custom Command`，然后你可以使用 `$C` 等变量。但更灵活的方式是在批处理或Python脚本中判断。 例如，在批处理中，可以检查输出目录下是否存在特定文件模式，或者从Keil传递一个配置参数。在Python脚本中，则可以读取工程环境变量（如果Keil设置了的话）。一个更直接的方法是：在Keil的Post-build命令里，根据当前配置选择不同的输出路径参数。 ### 5.3 加密验证与调试建议 自动化了，怎么确保加密真的成功了？我建议在脚本里增加一个简单的验证步骤，比如加密后，用同样的密钥和IV再解密前16个字节，和原始文件的前16个字节对比一下。或者，更简单一点，在脚本最后计算并输出加密后文件的MD5或SHA256哈希值，每次编译对比一下，确保过程可重复。 调试时，务必关注Keil的 **Build Output** 窗口。我们的Python脚本中的所有 `print` 输出都会显示在这里。充分利用 `print` 语句输出关键信息，比如“正在读取文件...”、“密钥加载成功”、“加密完成，输出到...”，这样一旦出错，你能快速定位问题在哪一步。 ## 6. 可能遇到的问题与排查清单 即使按照指南操作，你可能还是会遇到一些问题。这里列一个排查清单： * **现象**：Keil编译成功，但Post-build步骤报错“python不是内部或外部命令”。 * **解决**：在Keil命令中使用Python解释器的完整路径，如 `"C:\\Python38\\python.exe"`。 * **现象**：脚本执行失败，报错“ModuleNotFoundError: No module named 'Crypto'”。 * **解决**：确认 `pycryptodome` 库已安装。在命令行中运行 `pip list | findstr pycryptodome` 检查。如果没有，请安装。如果Keil调用的Python环境和你测试的环境不同（比如用了虚拟环境），需要确保Keil调用的是正确的Python解释器。 * **现象**：加密后的文件大小和原始文件不一样（不是16字节的整数倍关系）。 * **解决**：这是正常的，因为AES CBC模式需要填充。原始文件大小是 `N`，填充后的大小是 `N + (16 - N % 16)`，这就是加密后文件的大小。 * **现象**：加密后的文件，用其他工具（如在线AES解密网站、其他语言写的程序）无法解密。 * **排查**： 1. **密钥和IV**：确认加解密双方使用的密钥和IV**完全一致**，包括字节顺序。 2. **加密模式**：确认都是 **AES-128-CBC** 模式。 3. **填充方式**：确认都是 **PKCS7** 填充。有些旧的系统可能用ZeroPadding，需要统一。 4. **数据格式**：我们的脚本输出的是纯二进制数据。有些工具可能需要输入Base64编码的密文，注意区分。 * **现象**：一切配置看起来都对，但就是找不到bin文件。 * **终极排查**：在Python脚本的开头，添加以下几行代码，将关键路径信息打印出来： ```python import os print(f"[DEBUG] 当前工作目录: {os.getcwd()}") print(f"[DEBUG] 脚本所在目录: {os.path.dirname(__file__)}") print(f"[DEBUG] 传入的参数: {sys.argv}") ``` 重新编译，查看Keil Build Output中的这些调试信息，它们会告诉你脚本运行时看到的“世界”到底是什么样的，比盲目猜测有效得多。 把这个流程搭建好之后，每次点击Keil的编译按钮，你就能直接获得一个已经加密好的、可以直接用于发布或升级的固件文件。这种“一键搞定”的感觉，极大地提升了开发效率，也减少了人为操作失误的风险。