SM3 哈希算法概述：背景、应用与对比
聊到国密算法，SM3 是个绕不开的角色。它由中国国家密码管理局发布，属于密码杂凑算法。说白了，就是给任意长度的数据算出一个固定长度的“指纹”。这个指纹是 256 位，也就是 32 个字节。
我记得刚接触 SM3 那会儿，很多同行都不太在意。大家普遍觉得 SHA-256 够用了，何必再折腾一个新的。直到后来我在对接某政务系统时，对方明确要求必须使用 SM3，否则不能通过等保测评。嗯，从那以后我意识到，这东西不是备胎，而是硬门槛。
产生背景与标准定位
SM3 的出现，说白了就是为了给国产密码体系补短板。在金融、政务、通信这些关键领域，光靠国外的算法不踏实。尤其是一些核心系统，必须从头到尾用国密标准来设计。
2010 年，国家密码管理局发布了 SM3 标准（GM/T 0004-2012）。之后它迅速成为国家密码行业标准，并且在 2018 年被纳入了 ISO/IEC 国际标准（ISO/IEC 10118-3:2018）。这个转折点很关键，意味着 SM3 不再是自娱自乐，而是有了国际通行证。
为什么需要自研哈希算法？ 我个人认为至少有三层考量：一是安全自主可控，避免后门风险；二是符合国内合规要求，尤其是在等保 2.0 和密评体系中，SM3 几乎是必选项；三是在部分场景下，算法结构更适合国内软硬件生态。
典型应用场景
这些年我参与过的项目中，SM3 最常见的几个落脚点是这样的：
- 数字签名与验证：配合 SM2 公钥密码算法，构成国密签名方案。我在对接某电子合同平台时，就是拿 SM3 算摘要，再用 SM2 签上去。
- 消息完整性校验：文件传输、日志审计、数据备份，算一下 SM3 值就能知道有没有被篡改。简单粗暴，但很有效。
- 身份认证与口令保护：很多系统不再明文存密码，而是存 SM3 加盐之后的哈希值。这个做法我建议所有生产环境都加上。
- 区块链与分布式记账：联盟链里要求用国密算法的场景越来越多，SM3 替代 SHA-256 是必然趋势。我参与过一条存证链，底层就是 SM3 + SM2 的组合。
- VPN 与 SSL/TLS 国密套件：国密 SSL 握手协议中的哈希部分用的就是 SM3。如果你做过国密网关配置，应该不陌生。
踩过的坑：我曾经在一个项目中直接用 SM3 做密钥派生，没加盐也没用迭代，结果被人提醒不符合商用密码安全性评估要求。哈希算法不直接当密钥派生函数用，这点一定要注意。
与 SHA-256 的核心对比
既然 SHA-256 已经是全球通用的哈希算法，SM3 凭什么值得学？我整理了一张对比表，看完你就明白了。
| 对比维度 | SM3 | SHA-256 |
|---|---|---|
| 输出长度 | 256 位 | 256 位 |
| 消息分组 | 512 位 | 512 位 |
| 字长 | 32 位 | 32 位 |
| 轮数 | 64 轮 (消息扩展 + 压缩) | 64 轮 (消息调度 + 压缩) |
| 压缩函数结构 | 类 Davies-Meyer / 自定义非线性 | 类 Davies-Meyer |
| 算法公开性 | 国家标准 / ISO/IEC 国际标准 | 公开 / FIPS 标准 |
| 合规要求 | 国内等保 / 密评 / 国密改造 必选 | 可选，但部分场景被限制 |
| 性能对比 (纯软件) | 略慢于 SHA-256 (约 10–20%) | 更快，但差异不大 |
| 生态成熟度 | 国内生态完善；国际支持增长中 | 全球通用，生态最成熟 |
个人感受：论数学强度，SM3 和 SHA-256 旗鼓相当。但 SM3 在消息扩展部分用的 16 字异或与循环移位，跟 SHA-256 的 σ 函数略有差异。你在做软硬件优化时，要注意这个细节——指令级向量化的时候，两者的饱和程度不一样。
本章知识脉络
我画了一张框架图，帮你把 SM3 的定位、核心价值、应用场景和与 SHA-256 的关系理清楚。你扫一眼就能知道本章在讲什么。
本章核心要点
- 定位：SM3 是国密标准的密码杂凑算法，输出 256 位摘要，用于完整性、认证、签名等场景。
- 合规价值：国内等保 2.0、密评、国密改造项目，SM3 是硬性要求。不要觉得能用 SHA-256 就绕过去，审计的时候会卡住。
- 对比结论：SM3 和 SHA-256 安全强度相当，但结构有差异。工程选型时优先看合规需求，其次再考虑性能。
- 学习路径：先理解算法整体面貌，再深入消息扩展和压缩函数，最后看代码实现和接口封装。
一点建议：如果你第一次接触 SM3，别急着死磕数学推导。先跑通一个能算摘要的 Demo，看到 64 字节的十六进制输出，你就有体感了。后面再逐笔追代码，会更顺手。