主流PKI SDK介绍
做跨平台PKI改造，第一步得搞清楚你手里有哪些“武器”。
说白了，不同平台上的密码学库，就像不同产地的工具——有些趁手但挑环境，有些全平台通吃但性能有取舍。
我这些年跟OpenSSL、Bouncy Castle、MSCrypto它们打交道多了，发现很多人刚上手就被这些库的接口差异搞懵。
这一节，我把它们掰开揉碎讲清楚。
2.1 OpenSSL：开源世界的“老大哥”
OpenSSL应该是最常用的PKI库了。
我早期做Linux服务器端开发时，几乎天天跟它打交道。它用C语言写的，性能确实没得说。
核心特点：
- C语言库：直接系统调用，内存占用小，执行效率高
- 命令行工具：openssl命令能搞定证书生成、签名、加密等几乎所有操作
- 跨平台能力：Windows、Linux、macOS都能跑，但编译配置比较麻烦
我记得有一次要移植一个Linux上的PKI服务到Windows Server。
OpenSSL在Linux上一套接口写得顺风顺水，到了Windows就得处理动态库加载、线程锁这些琐碎事。
而且不同版本的API差别挺大——从1.0.2到1.1.0，好多接口都变了，连结构体都不再公开了。
适用场景：
- 高性能服务端（证书验证、TLS握手）
- 嵌入式环境（内存可控、无依赖）
- 需要命令行快速操作的运维场景
注意：OpenSSL的License是Apache-style的，但早期版本是SSLeay license，商用时要查清楚。另外，Windows下的OpenSSL二进制包来源繁杂，我建议自己从源码编译，或者用vcpkg这类工具管理，避免踩坑。
2.2 Bouncy Castle：Java世界的“全能选手”
Bouncy Castle（简称BC）是Java平台上的密码学库。
它提供了完整的PKI实现，包括证书生成、CRL、OCSP、CMS等。
核心特点：
- 纯Java实现：一次编译到处跑，跨平台很省心
- API设计清晰：面向对象，使用起来比OpenSSL直观多了
- 版本兼容性好：JCE（Java Cryptography Extension）标准接口，老版本也能用
我做过一个Android端的PKI模块，当时选了Bouncy Castle。
Android自己内置了Bouncy Castle的部分实现，但它删减了一些功能，版本也比较旧。
我的做法是：把最新的BC打包成dex，然后通过自定义类加载器隔离，避免跟系统库冲突。
升级版本时要注意——BC从1.46升到1.50，改了不少类名和包名。
比如org.bouncycastle.x509.X509V3CertificateGenerator被移除了，换成了新的builder模式。
如果不注意，升级后直接编译不过。
小技巧：如果项目同时用Spring和BC，建议把BC的provider优先级调高：Security.insertProviderAt(new BouncyCastleProvider(), 1)。这样系统在选密码学提供者时，会优先用BC。
2.3 MSCrypto：Windows的“亲儿子”
MSCrypto（Microsoft Cryptography API）是Windows平台上自带的密码学接口。
它分两代：老一代的CryptoAPI（也叫CAPI）和较新的Cryptography API: Next Generation（CNG）。
核心特点：
- 原生系统集成：支持硬件安全模块（HSM）、智能卡、TPM
- 密钥管理：密钥存储在系统密钥库中，安全性高
- 接口变化大：CAPI和CNG的接口完全不同，迁移挺费劲
我曾经把一个用MSCrypto的Windows桌面应用改成跨平台。
那叫一个头疼。MSCrypto不依赖任何第三方库，但接口全是Windows API风格——C语言、返回值是HRESULT、参数里一堆DWORD标志位。
换成OpenSSL后，代码量少了三分之一，但调试却花了两周——因为OpenSSL的X.509解析方式和MSCrypto有一些微妙差异。
关键差异：MSCrypto用证书存储区（Certificate Store）概念，而OpenSSL用文件+内存管理证书。跨平台改造时，需要抽象一个“证书源”接口，屏蔽这两种差异。
2.4 其他值得关注的PKI库
除了上面三个主流库，还有几个要提一下：
- NSS（Network Security Services）：Mozilla出品，C语言写，Firefox和Chrome都在用。API设计比较现代，但文档少得可怜。
- WolfSSL：轻量级C库，专门针对嵌入式环境。我见过一些物联网项目用WolfSSL做TLS，内存占用比OpenSSL低不少。
- GnuTLS：GNU项目，原生支持TLS和DTLS。如果你做的是Linux上原生应用，它可以作为OpenSSL的替代品。
快速对比一览
下面这个表格，我总结了几大库的核心参数对比，方便你快速选型：
| SDK名称 | 发行语言 | 主要语言 | 跨平台 | 特点 |
|---|---|---|---|---|
| OpenSSL | C | C / C++ / Python等 | 是 | 高性能，生态完整，但API版本兼容性差 |
| Bouncy Castle | Java | Java / C# | 是 | 纯Java，接口清晰，适合企业级应用 |
| MSCrypto | C（Win32 API） | C++ / .NET | 仅Windows | 系统原生，HSM兼容，但只能跑在Windows上 |
| NSS | C | C / C++ | 是 | 现代API设计，但文档少 |
| WolfSSL | C | C | 是 | 轻量级，适合嵌入式/IoT |
| GnuTLS | C | C | 是 | GNU生态，TLS/DTLS优先 |
本章知识结构图
我把这几个PKI库的关系和适用场景梳理成了一张图：
记住，选哪个库取决于你的目标平台、性能要求、团队技术栈。
没有银弹，只有最适合你项目本身的那一个。
搞懂了这些主流库的脾气，后面的跨平台改造，心里就有底了。