第二章 Go语言国密库选择：gmssl、tjfoc、miracl 对比

做国密开发，第一步就是选库。这个选择挺关键的，选错了后面全是坑。

目前 Go 语言国密生态里，三个库经常被拿来对比：gmssl、tjfoc、miracl。它们各有来头，也各有脾气。我刚开始做项目时，每个库都踩过一遍，今天把真实体验摊开来聊聊。

gmssl：开源社区首选

gmssl 是目前 Go 国密生态里最成熟的库。它起源于 OpenSSL 的国密分支，后来独立发展成了一个纯 Golang 实现。

优点：

• 纯 Go 实现，跨平台无依赖。你在 Mac 上开发完，扔到 Linux 服务器直接跑，不需要装任何 C 库。
• API 设计贴近 Go 标准库 crypto 包。用起来顺手，学习成本低。
• 社区活跃，issue 回复快。我记得有个 bug 我提了 issue，两天就有人回复了。

缺点：

• 性能不如 C 实现。高并发场景下，纯 Go 的 SM2 签名速度大概只有 OpenSSL C 版本的 60%。不过大部分业务够用。
• SM3 和 SM4 的硬件加速支持有限。如果你在国产 CPU 上跑，tjfoc 可能更合适。

// gmssl 基本用法示例
import (
    "github.com/gmssl/gmssl/go"
)

func main() {
    // SM4 加密
    key := []byte("1234567890abcdef")
    plaintext := []byte("Hello 国密")
    
    cipher, _ := gmssl.NewCipher(key)
    ciphertext := cipher.Encrypt(plaintext)
    
    // 解密
    decrypted := cipher.Decrypt(ciphertext)
    println(string(decrypted))
}

tjfoc：国产硬件适配王

tjfoc 全称是 "天津金融认证中心"，它背后有国家密码管理局的背景。这个库最大的特点是——它把目光放在了国产密码卡和加密芯片上。

我在一个金融项目中用过 tjfoc。当时客户要求必须用某国产密码卡做 SM2 签名，gmssl 调用硬件时各种报错。换成 tjfoc 后，一行配置就搞定了。这个事情让我印象很深，所以后来只要涉及国产硬件，我都会先看 tjfoc 是否支持。

优点：

• 深度适配国产密码硬件（飞天诚信、三未信安等）。
• 严格遵循 GM/T 标准，适合等保、密评场景。
• 支持 PKCS#11、HSM 等规范。

缺点：

• 纯软件环境下性能比 gmssl 略差。
• 文档偏少，遇到问题要自己翻代码。我曾在某个版本里发现 SM4 CCM 模式有 panic，后来自己修了 PR 才合进去。

miracl：密码学算法库的瑞士军刀

miracl（现在叫 MIRACL Core）是一套 C 实现的密码学算法集，支持国密 SM2/SM3/SM9 等。Go 语言的绑定是通过 CGO 调用底层库。

说实话，miracl 在国密场景用得不多。它更适合做密码学协议研究、隐私计算、区块链底层等场景。举个例子，它支持 SM9 标识密码和双线性对运算，这在普通业务里根本用不上。

优点：

• 算法全面，覆盖 SM9、双线性对等高级密码学原语。
• 性能稳定，纯 C 实现，跑分比纯 Go 高很多。
• 跨平台支持好，ARM、x86、RISC-V 都能跑。

缺点：

• CGO 依赖，部署时要带动态库。你想想看，一个微服务要额外挂 .so 文件，运维同学会找你聊天的。
• 社区活跃度一般，文档偏学术风格，不适合入门。
• 国密接口封装不够完善，需要自己封装一层。

选型对比一览表

我选库的原则

说了这么多，到底怎么选？我一般按这个思路来：

1. 先看场景：通用业务 = gmssl；国产硬件 = tjfoc；学术原型 = miracl。
2. 再看团队：如果团队里没人搞过 CGO，别碰 miracl，坑太多。
3. 最后看时间：gmssl 上手最快，两天就能集成。tjfoc 适配硬件可能要两周。miracl 封装得好也要一周。