📚 课程目录第4章 SM3的填充规则

SM3的填充规则：比特填充、长度附加、分块处理

聊到SM3的填充，我得先跟你说句实话——填充这一步看着简单，但坑不少。我在几个商用密码项目中都遇到过因为填充写错导致整个摘要对不上的情况。调了三天才发现是长度附加的比特序搞反了……嗯，从那以后我每次写填充代码都会反复核对标准。

SM3的输入是任意长的比特串，但它的压缩函数一次只能处理512位（64字节）。所以你得先把消息切成一块一块的。怎么切？标准规定了三步：比特填充 → 长度附加 → 分块。咱们一个一个拆开看。

  核心原则：SM3填充后总长度必须是512位的整数倍。填充后的消息 = 原始消息 + 填充位 + 64位长度表示。

说白了，就是在消息尾巴上塞一些比特，让剩余空间刚好能放下64位的长度值。填什么呢？标准规定：

条件是什么？假设原始消息长度是 l 比特。填充后总长对512取模应该等于448。也就是：(l + 1 + k) mod 512 = 448，其中k是补0的个数。k最小是0，最大是511。

为什么会是448？因为后面还要附加64位的长度，448+64=512，正好一块。我习惯先算一下：

原始消息长度 l 比特
先加1个"1" → l+1
然后找最小的k，使 (l+1+k) % 512 == 448
补k个"0"

小技巧：如果原始消息长度已经满足 (l % 512 == 448)，那k=0吗？注意——你必须先补一个“1”，所以l%512==448时，l+1已经等于449，需要再补511个0。这一点我吃过亏，千万别漏。

填充完成后，消息长度变成了512的整数倍减64。现在在末尾附上原始消息的长度信息。SM3用的是64位无符号整数，大端序（Big-Endian）表示。

什么是大端序？就是高位字节放在低地址。举个例子：如果原始长度是0x1234，那在64位里就是0x0000000000001234。字节顺序从左到右，高字节在前。这个和SM3内部用的字节序一致。

注意：长度单位是比特，不是字节。原始消息可能有几GB甚至更大，但SM3最大能处理2^64 - 1比特，约2EB，实际够用。

填充后的总长度 = l + 1 + k + 64，一定是512的整数倍。每512位就是一个分组。

填充后的消息长度是512的整数倍，直接按512位（64字节）切块就行了。每个块记作 B_i，i从0到n-1。SM3的压缩函数就是对这些块依次处理，每次更新256位的内部状态。

你想想看，如果原始消息刚好是512位的整数倍，那还需要填充吗？标准规定必须填充，即使长度已经满足模512=0。这时候需要补一个完整的512位块：先补“1”，再补447个“0”，再加64位长度。这条我曾在代码评审时指出来过，有人直接跳过填充导致摘要全错。

重要：即使消息长度已经是512的整数倍，也必须填充。填充后至少增加一个分组。

下面这张图把整个填充到分块的流程串起来了，你可以对照着看。

咱们跑一个具体的例子。假设原始消息只有1个字节：0x61（字母'a'）。长度l=8比特。

你看，如果原始消息是空的（l=0），那填充后就是：先补1，再补447个0，最后加64位0。总共512位。我最初实现的时候没考虑空消息的情况，结果测试向量死活过不了……后来才补上。

实现建议：如果你用C语言，可以先把消息放在一个512位的缓冲区中，然后按位操作。更省事的办法是用字节数组处理，因为SM3内部操作都是基于32位字（4字节）的。但要注意比特填充的顺序——先填充的最高位是字节的最高比特位。

我在代码审查时经常看到这几个问题，你留意一下：

嗯，到这里填充规则就讲完了。说白了就是三步走：先塞1和0，再挂长度，最后切块。每一步都有细节，但只要你按标准来，一次就能过。我记得最初学SM3时，自己手算了一个小消息的填充结果，然后拿公开的测试向量对了一遍，从那之后再没写错过。