2. Cryptoki架构：槽、令牌、会话与对象

要搞懂PKCS#11，你得先搞清楚它怎么抽象真实的密码硬件。我刚开始接触时也被Slot、这些东西绕晕过。其实说白了，这是一套从物理设备到逻辑接口的分层映射。你想想看，一个密码卡插在机器里，怎么用代码去控制它？Cryptoki就是用这四大概念把硬件藏起来，让上层调用变得简单。

这一节我们就把这四个家伙掰开揉碎了讲。我会穿插一些我在项目中踩过的坑，希望能帮你少走弯路。

2.1 槽（Slot）—— 物理插槽的逻辑映射

Slot是啥？它代表一个“可以插的位置”。你机器上有USB口，每个口可以插一个密码狗。Cryptoki里的Slot就是这个USB口的逻辑抽象。一个库可以管理多个Slot，每个Slot对应一个物理或虚拟的插槽。

我记得有一次，客户说他们的HSM在Slot 0上工作，但我一查代码发现Slot 0是个虚拟槽位，真正的硬件在Slot 3。嗯，这里要注意：Slot编号是逻辑的，不一定和物理位置一一对应。你可以通过C_GetSlotList拿到所有可用的Slot，然后逐个查它的信息。

• 特性：每个Slot可以处于“有”或“空”状态；你可以用C_GetSlotInfo查它的描述、厂商、硬件版本。
• 典型情况：一个读卡器就是一个Slot，插没插卡决定了是否在场。

2.2 令牌（）—— 你手里的密码设备

是真正干活的家伙。密钥、证书、数据对象都存在里。每个Slot对应一个（如果有的话）。可以是硬件也可以是软件模拟的（比如软）。说白了，它就是那个“被插进去的密码卡片”。

有状态：它可以被初始化（C_InitToken），可以设置PIN，可以存储对象。我曾经遇到过一个坑：某个在C_GetTokenInfo里显示flags包含CKF_RNG，但实际调用C_GenerateRandom时却返回CKR__NOT_PRESENT。后来发现是硬件驱动问题，把Slot状态搞乱了。所以检查状态时，不要只看一次，要结合C_GetSlotInfo和C_GetTokenInfo交叉验证。

也有“可写”和“只读”之分。初始化的通常是可写的，但有些HSM为了安全会把设为只读模式。实践中最常见的是USB Key，插上后用户需要输入User PIN才能做私钥操作。

2.3 会话（Session）—— 一次打开的通道

Session相当于你与之间的一条对话通道。你通过Session来创建、查找、加密、解密等所有操作。每次打开Session，你需要指定Slot ID，还要告诉它是不是只读的（CKF_SERIAL_SESSION必须设置）。

我习惯把Session理解为“一个线程/进程与之间的逻辑连接”。多个Session可以同时打开，但要注意并发安全。有些限制最多同时打开几个Session。

• 打开：C_OpenSession(slotID, flags, ...)
• 登录：在Session上调用C_Login，传入User PIN或SO PIN
• 操作：加密、解密、签名、验证、查找对象等
• 关闭：C_CloseSession，用完一定要关，否则泄漏资源

2.4 对象（Object）—— 密钥、证书全在这里

对象是Cryptoki里真正的数据载体。一个密钥、一个证书、一个公钥、一个数据块……都是对象。每个对象有类型（CKO_PUBLIC_KEY、CKO_PRIVATE_KEY、CKO_CERTIFICATE等）和各种属性（比如CKA_CLASS、CKA_KEY_TYPE、CKA_VALUE）。

对象的操作通过Session进行。你可以用C_FindObjectsInit/FindObjects/FindObjectsFinal搜索对象，用C_CreateObject创建（如果允许），用C_GetAttributeValue读取属性。

我个人最常用的就是C_FindObjects三件套。写一段伪代码你感受一下：

CK_OBJECT_HANDLE hObj;
CK_ULONG ulCount;
C_FindObjectsInit(session, template, 2);   // 搜索条件：比如CKO_PRIVATE_KEY
do {
    C_FindObjects(session, &hObj, 1, &ulCount);
    if (ulCount == 1) {
        // 处理对象
        C_GetAttributeValue(session, hObj, ...);
    }
} while (ulCount > 0);
C_FindObjectsFinal(session);

注意：对象句柄只在Session内有效。跨Session时你不能直接传句柄，得用C_CopyObject或者重新查找。我刚开始时以为句柄是全局的，结果在多个Session间乱传，导致各种怪异错误。

2.5 它们之间的关系

这四个概念的关系其实很清晰：一个Cryptoki库管理多个Slot；每个Slot可以插一个；每个可以打开多个Session；每个Session里可以操作多个Object。 下图就是它们的层级关系。

我们把这个层级整理成一个表格，方便你对照记忆：