4. SM2 加密与解密实现归纳总结

4.1 加密流程：这个椭圆曲线怎么玩的？

SM2 加密本质上是混合加密——公钥只用来加密一个临时对称密钥，真正数据用对称算法（SM4）加密。你想想看，直接拿椭圆曲线算数据，性能扛不住，所以它走了 ECIES 这条路。

加密端拿到接收方公钥 P_B，先产生临时密钥对 (d_k, R)，其中 R = d_k * G。然后计算共享点 S = d_k * P_B。S 的 x 坐标就是关键，用它派生出对称密钥和 MAC 密钥。我习惯把这步叫做「密钥协商 + 封装」。

这里 C₁ 是临时公钥 R 的字节表示（通常 04 || x || y，共 65 字节）。C₃ 是 32 字节的 SM3 摘要。C₂ 是对称加密的密文。说起来简单，但实际编码时你会遇到不少坑，咱们后边慢慢聊。

4.2 解密流程：对侧密钥恢复

解密端看到密文 C，先拆出前 65 字节为 C₁，接着 32 字节为 C₃，剩下的就是 C₂。然后用自己的私钥 d_B 计算共享点 S = d_B * C₁。你想想看，因为 C₁ = R = d_k*G，所以 d_B*R = d_B*d_k*G = d_k*P_B，和加密端共享点一样。

拿到 S.x 后用同样的 KDF 导出对称密钥，解出明文 M'，再重新计算 C₃' 比对。不一致？说明要么密钥错了，要么数据被篡改。

4.3 密钥格式与编码：别在 bytes 上翻车

SM2 公钥一般用 PEM 或 ASN.1 打包。私钥又分原始私钥（32 字节）和 PKCS#8 格式。我建议你在 Java 里直接用 Bouncy Castle 的 ECPrivateKey 和 ECPublicKey 包装，别手动拼字节，容易出错。

密文格式各 SDK 不统一。有的把 C₁ 用 DER 编码，有的直接拼 04||x||y。你要对接时一定先看对方标准。举个例子，华为安全组件里密文就是纯字节拼接，而某些国密支持库套了 ASN.1 结构，不兼容。

4.4 代码示例：纯 Java 实现片段（Bouncy Castle）

// 加密：使用 BC 引擎
SM2Engine engine = new SM2Engine("SM2");
engine.init(true, new ParametersWithRandom(publicKey, new SecureRandom()));
byte[] ciphertext = engine.processBlock(plaintext, 0, plaintext.length);

// 解密
SM2Engine engineDec = new SM2Engine("SM2");
engineDec.init(false, privateKey);
byte[] recovered = engineDec.processBlock(ciphertext, 0, ciphertext.length);

注意 BC 的 SM2Engine 默认使用 C1C3C2 顺序，与国标一致。但有的库用 C1C2C3，你一定要检验后再用。另外引擎内部的 KDF 和 SM3 杂凑顺序都有讲究，别自己重写，用官方 API 最稳妥。

4.5 整体流程视图

下面这张 SVG 图帮你理清加密和解密的对称关系。我把核心节点和箭头画出来，你就知道哪步最关键了。