回答編集履歴

 

  AES、共通鍵暗号をWebクライアントで復号させるなら、復号に必要な情報はすべてクライアントに渡すことになります。そして、JSの実行時情報はブラウザ上で誰でも覗くことができます。鍵が丸見え、暗号の意味をなしていないということになります。

  もし、通信路さえ暗号化できていれば十分であり、Webクライアントのユーザーに鍵が知られることは問題ないというのであれば、それはHTTPSで十分ということになります。