加密算法选型：AES、国密SM4在密文检索中的应用
说实话，做密文检索这么多年，我碰到最多的问题不是检索算法怎么写，而是——“老张，咱们该用AES还是SM4？”
其实这两个算法本身都是好算法。但用在哪、怎么用，差别大了去了。今天我就聊聊这俩玩意儿在密文检索场景下的选型心法。
对称加密与检索的关系
先理清一个基本概念。密文检索，说白了就是“在加密过的数据上做查询”。你想想看，数据都加密成密文了，怎么查？
目前主流做法有两种：
- 保序加密（OPE）——密文保持原文大小顺序，适合范围查询
- 可搜索加密（SSE）——构建加密索引，适合关键词精准匹配
无论走哪条路，底层的对称加密模块都是核心。它负责把原文变成密文，把查询令牌加密，参与索引构建。所以算法选型直接影响整个系统的安全性、性能和合规性。
AES在密文检索中的实战经验
AES是国际通用标准，几乎所有加密库都支持。在密文检索里，最常用的是AES-256。
AES在检索场景下的典型工作模式：
- CTR模式：支持随机访问，同一条数据可以独立加密/解密。我在项目里经常配合倒排索引用。
- GCM模式：带认证加密，适合对完整性有要求的场景。但要注意nonce管理，我踩过这个坑。
- ECB模式：千万别用。同样的明文块会生成同样的密文块，直接泄露信息结构。
举个例子，曾经有个金融客户要做密文检索系统，要求对客户身份证字段做精确匹配。我们就是用AES-256-CTR配合可搜索加密方案。每一笔数据生成独立IV，密文做哈希索引，性能还行，单机每秒能处理上万次查询。
核心经验：AES在密文检索里最大的优势是生态成熟。Python的cryptography库、Java的JCA、Go的crypto/aes，开箱即用。但注意一个陷阱——很多库默认用ECB，必须显式指定模式。
国密SM4的适配与对比
SM4是中国国家密码管理局发布的对称加密算法。我记得刚接触SM4那会儿，找资料都比AES费劲。但这几年好多了，主流语言都有SM4实现。
SM4的一些关键参数：
| 属性 | AES-256 | SM4 |
|---|---|---|
| 算法族 | SPN结构 | Feistel结构 |
| 分组大小 | 128 bit | 128 bit |
| 密钥长度 | 256 bit | 128 bit |
| 轮数 | 14轮 | 32轮 |
| 软件实现速度 | 较快 | 稍慢（约AES的70%~80%） |
| 国密合规 | 否 | 是 |
你可能会问：“SM4分组大小和AES一样，是不是能直接替换？”答案是“部分可以”。前提是你的加密库支持SM4的CTR/GCM等模式。早期SM4只支持ECB和CBC，现在大部分都补全了。
我曾在政务云项目里用SM4替换AES。当时客户明确要求“必须用国密算法”。我们原本的密文检索流程里用的是AES-256-CTR，替换成SM4-CTR后，代码改动其实很小——换算法类和密钥长度参数就行。但性能确实降了大概20%，主要在索引构建阶段。检索阶段差别不大。
千万注意：SM4的密钥长度只有128位。虽然密码学界认为128位安全级在当前够用，但如果你做的是“长期保护”类数据（比如档案100年不泄密），建议评估安全余量。另外，SM4的GCM模式在部分实现中存在nonce复用漏洞，我建议你用CTR+独立MAC做组合。
选型决策：一张图说清楚
下面这张图是我自己总结的决策路径。每次做新项目我都拿它核对一遍。
实际选型建议
基于上面的图和我的项目经验，给你几条实打实的建议：
- 合规先行。客户如果明确说有国密要求，别挣扎，直接上SM4。我曾经在一个金融项目中试图用AES替代SM4，结果等合规审计时全盘推翻重来，白白浪费两个月。
- 看数据生命周期。如果密文只需要存3个月，AES-128都够用。如果要存10年以上，建议AES-256或SM4+定期更换密钥。
- 索引层的加密模式。无论用AES还是SM4，对密文检索索引加密时，我强烈建议使用相同算法和密钥体系，避免维护两套加密逻辑。
- 性能敏感场景优先AES。同样硬件条件下，AES有原生CPU指令集加速（AES-NI）。SM4的SIMD优化还在普及中，纯软件实现确实慢一些。
我曾经犯过一个错误：在密文检索系统里混合使用AES和SM4。索引一部分用AES加密，数据体用SM4加密。结果查询时两张表对应不上，调试了整整三天。记住——同一系统内尽量保持加密算法统一，否则审计和debug都会让你崩溃。
避坑清单
- nonce/IV复用——这是最致命的。我曾经见过一个项目，SM4-CTR的nonce写成了固定值，结果密文检索的索引直接暴露了明文频率分布。
- 模式选择错误——ECB模式一定不要用。CBC模式在密文检索里也不推荐，因为不支持随机访问，解密时必须按序进行。
- 密钥管理水平差异——AES和SM4的密钥管理流程差别很大。SM4强调密钥与算法绑定，AES则更松散。提前和运维对齐。
- 语言库陷阱——我记得Python的gmssl库早期版本不支持CTR模式，用之前先查一下特性矩阵。
最后说一句。选AES还是SM4，其实不是技术问题，是业务问题。搞明白你的数据要面对谁、要存多久、要过什么审计，答案自然就有了。