2. HSM SDK 概述：常见架构与核心API分类
好，咱们开始第二课。这一课，我带你看清几个主流HSM SDK的底牌。
做压力测试，最怕什么？是压测脚本写得不好吗？不是。最怕的是你用错了API，根本就没打到HSM的瓶颈上。你想想看，如果连SDK的架构都没摸透，你怎么知道该怎么压？
2.1 主流HSM SDK的架构差异
先说个大实话：不同厂商的SDK，虽然都叫HSM SDK，但内部结构差很多。我最早做压测时，以为所有SDK都是发个指令等结果，后来被坑惨了。嗯，这里要注意。
Thales Luna HSM SDK，它是目前市场占有率最高的。它的架构核心是两套API：一套是标准的PKCS#11，另一套是JCA/JCE Provider。我个人习惯用PKCS#11做底层压测，因为走的是C接口，延迟最低。
Luna SDK的架构特点是有一个叫Chrystoki的中间层。它负责把客户的API调用转成网络协议发给HSM。我建议你记住这个东西，因为压测时经常因为它配置不对导致性能上不去。
Gemalto（现Thales旗下）的Luna SA，走的其实是类似架构。但它的SDK更多强调Java集成。我记得有一次，客户说他们的Java应用签名特别慢，后来发现是线程争抢Session导致的问题。说白了，SDK没给足并行能力。
IBM CCA SDK是个特例。它服务于IBM自家的HSM，比如4767、4768系列。它的API集成了IBM的密钥管理协议，如果你在用IBM的系统，这套SDK确实省心，但移植性差。我在项目中遇到过，有人想把IBM的HSM换掉，结果发现应用层代码几乎要重写。
架构核心差异一览
- Thales Luna：双API模式（PKCS#11 + JCA），依赖Chrystoki中间件
- Gemalto：侧重Java集成，Session管理是性能关键
- IBM CCA：深度绑定IBM系统，密钥管理协议高度定制
那到底怎么选？我的建议是，如果你要搞通用压测，认准PKCS#11接口就行了。它跨平台、跨厂商，是压测的通用语言。
2.2 我把架构画出来了
光说不好理解，我画了张图，展示从业务应用到HSM硬件之间的调用链路。
2.3 核心API分类
搞懂了架构，再来看看SDK到底给了我们哪些API。说白了，就是你能调什么函数来做密码运算。
| API 类别 | 驱动库 / 标准 | 主要场景 | 我的使用体验 |
|---|---|---|---|
| PKCS#11 | libcryptoki.so / dll | 签名、加解密、密钥管理、随机数 | 压测首选，C接口延迟极低 |
| JCA/JCE | Provider jar | Java应用集成 | 方便但GC开销大，需调优 |
| Microsoft CNG | ncrypt.dll | Windows生态 | 我遇到过一次DLL版本冲突的问题 |
| OpenSSL Engine | 动态引擎 | 与OpenSSL结合 | 适合现有项目快速对接 |
| 厂商自定义API | 专有库 | 高级管理功能 | 一般不暴露给业务应用 |
我的小经验： 如果你要做压测，先确定好API类型。PKCS#11的延迟最可控，Java的JCE会受GC影响，导致压测曲线有毛刺。
2.4 每个分类的典型函数
光看表不行，得具体到函数名。我挑几个常用的，列出来给你们。
- PKCS#11（C_ 前缀）：
C_Initialize / C_Finalize— 初始化与关闭C_OpenSession / C_CloseSession— Session管理C_SignInit / C_Sign / C_Verify— 签名验证C_EncryptInit / C_Encrypt / C_Decrypt— 加解密C_GenerateKey / C_GenerateKeyPair— 密钥生成
- JCA/JCE（Java 标准接口）：
KeyStore.getInstance("Luna")— 获取KeyStoreSignature.getInstance("SHA256WithRSA", "LunaProvider")— 签名对象Cipher.getInstance("RSA/ECB/PKCS1Padding", "LunaProvider")— 加密
- IBM CCA：
CSNDK00 / CSNDRSV / CSNDPKB— 数字签名、验证、密钥生成
避坑指南： 我曾经在一个跨国项目里，调用 C_SignInit 时没有检查返回的 session 是否有效，导致压测跑到一半全部报错。原因是 Session 被其他线程抢占了。记住：PKCS#11 的 Session 不是线程安全的！
2.5 密钥管理API的特殊地位
很多人只关注签名和加密API，忽略了密钥管理。我告诉你，压测时密钥管理出问题的频率不低。
为什么？因为密钥一旦生成，就要持久化到HSM内部。每次压测前你得准备好测试密钥。如果没有用对API生成密钥，后续调用全白搭。
- C_CreateObject — 导入外部密钥
- C_GenerateKey — 在HSM内部生成对称密钥
- C_GenerateKeyPair — 生成非对称密钥对
- C_WrapKey / C_UnwrapKey — 密钥打包与解包（用于备份或迁移）
我印象很深，有一次压测场景要用AES-256加解密。但我们生成的是AES-128密钥，直接导致后续调用返回模板不匹配。嗯，这就是密钥管理API没选对。
2.6 小结一下
这一章你至少应该带走三点认识：
- HSM SDK不是统一的，Thales、Gemalto、IBM各有各的架构特点。
- API分几大类：PKCS#11、JCA、CNG、OpenSSL Engine、厂商自定义。
- 密钥管理API常被忽略，但它是压测能否跑起来的前提。
下一轮我们就会讲怎么安装配置这些SDK。到时候我会详细说每个版本容易踩的坑。