2. Go 语言国密生态：主流 SDK 介绍

做国密开发，第一步就是选 SDK。你可能会想，都是国密算法，能有多大差别？

嗯，我刚开始也这么想的。结果一上手就发现，各个库的 API 风格、性能表现、甚至算法的默认参数都不太一样。今天我们就来捋一捋 Go 语言里几个主流的国密 SDK。

2.1 四巨头：谁在支撑 Go 国密？

目前 Go 语言里的国密实现，主要就四个方向。我每次做技术选型，都会先看这四家的情况。

2.2 GmSSL：江湖地位最老

GmSSL 算是目前 Go 语言国密 SDK 里最活跃的一个。它的设计思想很简单——模仿 OpenSSL 的风格。

你用过 OpenSSL 的 EVP 接口吗？GmSSL 的 EVP 接口几乎就是复刻版。这对于有 OpenSSL 背景的开发者来说是个好消息，学习成本极低。

为什么我说它“坑踩完了”？因为 GmSSL 项目历史长，社区反馈多，常见问题基本都有解决方案。

举个例子，我曾在项目中用 GmSSL 做 SM2 签名。当时发现它默认使用 ASN.1 编码格式，而下游系统用的是原始字节拼接。这个差异导致联调花了整整一天才定位到。

// GmSSL 默认 ASN.1 编码
// r||s 是 DER 编码后的结果
sig, _ := sm2.Sign(rand.Reader, privKey, hash)

// 如果需要原始 r||s 拼接，需要手动解码
// 这个细节很容易被忽略

2.3 tj-utils：让我用得最舒服的一个

我个人更推荐 tj-utils。怎么说呢，它就是那种“你不需要看文档就能写对”的库。

天翼云开源的这套工具，最大的特点就是纯 Go 实现。什么意思？就是不依赖 CGO，没有 C 库的编译烦恼。

我经历过那种场景——在 Windows 上配 CGO 环境，一天的心情都毁了。所以后来能用纯 Go 解决的问题，我尽量不用 CGO。

package main

import (
    "fmt"
    "github.com/tjfoc/gmsm/sm2"
    "github.com/tjfoc/gmsm/sm3"
    "github.com/tjfoc/gmsm/sm4"
)

func main() {
    // SM2 密钥生成
    privKey, _ := sm2.GenerateKey(nil)
    pubKey := &privKey.PublicKey
    fmt.Printf("SM2 Private Key: %x\n", privKey.D.Bytes())

    // SM3 哈希
    data := []byte("hello, gmssl")
    hash := sm3.Sm3Sum(data)
    fmt.Printf("SM3 Hash: %x\n", hash)

    // SM4 CBC 加密
    key := []byte("1234567812345678")
    iv := []byte("1234567812345678")
    plaintext := []byte("Hello, SM4!")
    ciphertext, _ := sm4.Sm4Cbc(key, iv, plaintext, true)
    fmt.Printf("SM4 Ciphertext: %x\n", ciphertext)
}

你看，这个 API 设计得很直观。生成密钥就是一个函数调用，加密也很自然。

2.4 TJfoc：性能怪兽

说到 TJfoc（腾讯开源），它有个特点——非常注重性能。尤其是 SM4 的实现，使用了 AVX 指令集加速。

我记得有一次做 PCI-DSS 的国密改造，对方要求 SM4 的加解密吞吐量必须达到 1 Gbps。用 tj-utils 跑了一下，性能就差一点。换上 TJfoc 的优化版本，直接飙到 1.5 Gbps。

TJfoc 还有一个特点——它里面集成了国密 SSL 协议。你可以直接用它的 tls 包，不需要自己搭国密 TLS 握手。这个对于做国密代理、国密网关的团队来说，真的是开箱即用。

2.5 官方库：当标准库开始支持国密

Go 1.20 之后，官方库开始实验性地加入国密支持。说实话，这是一个好信号，但现阶段还不能当主力用。

我去年在一个小工具里试过官方库的 SM2。结果发现它只实现了基本签名验签，加密接口还没出来。SM4 的 GCM 模式支持也还在策划中。

所以我的建议是：除非你做的是不需要商密资质的内部工具，否则目前别把官方库放进生产环境。

2.6 选型建议：我自己的决策矩阵

说了这么多，到底怎么选？我列一个表格，方便你快速决策。

总之，选哪个 SDK 取决于你的具体场景。没有的“最好”，只有“最合适”。

这一章我们把主流 SDK 梳理了一遍。下几章，我会深入每个库的 API 调用细节，带你看看底层到底藏着什么差异。