SM3哈希算法原理：从结构到实战

SM3哈希算法，说白了就是国密体系里的"数字指纹"生成器。我最早接触它是在做某政务系统的数据完整性校验时，当时第一反应是——这玩意儿跟SHA-256长得真像。但用着用着就发现，细节上差别还挺大。

今天咱们就把它拆开揉碎了讲。你跟着我走一遍，保证能搞懂SM3到底怎么把任意长度的消息"压缩"成那256位的摘要。

SM3算法整体结构

SM3的处理流程，我习惯分成三大块：

1. 消息填充——把原始数据补成512位的整数倍
2. 消息扩展——把16个字扩展成132个字
3. 迭代压缩——64轮循环，最终输出256位摘要

嗯，这个套路其实跟SHA-256很像。但别急，后面我会告诉你它们到底差在哪。

消息填充：补位有讲究

我在项目中遇到过一个问题：用户传了一段刚好是512位整数倍的数据，结果程序报错了。后来一查，原来是填充规则没搞对。

SM3的填充规则是这样的：

• 先在消息末尾补一个"1"
• 然后补若干个"0"，直到长度满足 (原始长度 + 1 + 填充0 + 64) 是512的倍数
• 最后64位用来记录原始消息的长度（单位是比特）

举个例子：假设原始消息是"abc"（24比特）。

• 补1：变成25比特
• 补0：需要补到 512 - 64 - 25 = 423个0
• 最后64位：写入24的二进制表示

注意：即使原始消息已经是512的倍数，也必须填充。这是强制要求，没得商量。

消息扩展：从16到132

填充完的消息被分成512位的块，每块再分成16个32位的字（W0到W15）。接下来就是扩展环节——把这16个字变成132个字。

扩展分两步：

1. W扩展：从W16到W67，共52个字
2. W'扩展：从W'0到W'63，共64个字

W的生成公式我直接给你：

W[j] = P1(W[j-16] ⊕ W[j-9] ⊕ ROTL15(W[j-3])) 
       ⊕ ROTL7(W[j-13]) ⊕ W[j-6]

其中 P1(X) = X ⊕ ROTL15(X) ⊕ ROTL23(X)
ROTLn表示循环左移n位

W'就更简单了：

W'[j] = W[j] ⊕ W[j+4]

你想想看，为什么需要扩展？说白了就是为了让每一轮的输入都跟原始消息的多个比特产生关联，增强雪崩效应。

迭代压缩：64轮的核心战场

这是SM3最核心的部分。我习惯把它想象成一个"绞肉机"——每轮把8个32位的寄存器（A、B、C、D、E、F、G、H）搅和一遍。

初始值IV是固定的：

IV = 0x7380166F, 0x4914B2B9, 0x172442D7, 0xDA8A0600,
     0xA96F30BC, 0x163138AA, 0xE38DEE4D, 0xB0FB0E4E

每一轮做的事情：

• 计算SS1、SS2两个中间变量
• 更新TT1、TT2
• 把8个寄存器滚动移位

具体的轮函数分两种：

• 前16轮：使用布尔函数 FF0 和 GG0
• 后48轮：使用布尔函数 FF1 和 GG1

我直接给你看代码实现，这样更直观：

// 第j轮压缩（0 ≤ j ≤ 63）
SS1 = ROTL7((ROTL12(A) + E + ROTLj(T[j])) & 0xFFFFFFFF)
SS2 = SS1 ⊕ ROTL12(A)
TT1 = (FFj(A, B, C) + D + SS2 + W'[j]) & 0xFFFFFFFF
TT2 = (GGj(E, F, G) + H + SS1 + W[j]) & 0xFFFFFFFF
D = C
C = ROTL9(B)
B = A
A = TT1
H = G
G = ROTL19(F)
F = E
E = P0(TT2)

// 其中P0(X) = X ⊕ ROTL9(X) ⊕ ROTL17(X)

64轮跑完后，把结果跟初始值相加，就得到这一块的压缩结果。然后作为下一块的初始值继续跑。

SM3 vs SHA-256：同与不同

很多人问我：SM3是不是就是SHA-256的翻版？我的回答是：形似神不似。

对比项	SM3	SHA-256
输出长度	256位	256位
消息分组	512位	512位
轮数	64轮	64轮
字长	32位	32位
布尔函数	FF0/FF1, GG0/GG1	Ch, Maj
移位操作	循环左移（ROTL）	右移（SHR）+ 循环右移（ROTR）
消息扩展	16→132字	16→64字
压缩函数	含P0/P1置换	无额外置换

你看，虽然框架一样，但细节上SM3做了不少"加固"：

• 消息扩展更充分（132 vs 64），扩散性更强
• 布尔函数更复杂，抗碰撞能力理论上更强
• 多了P0/P1置换，增加了攻击难度

我个人觉得，SM3在设计上确实比SHA-256更保守一些，安全冗余更大。当然，SHA-256经过这么多年考验，也没出过实质性问题。

一张图看懂SM3全流程

下面这张SVG图，把SM3从消息输入到摘要输出的完整路径画出来了。你对照着看，应该能一目了然。

实际项目中的避坑指南

最后，我分享几个实战中容易踩的坑：

• 填充时机：一定要在所有数据收齐后再做填充，不能边收边填
• 大端小端：SM3全程用大端序，如果你的平台是小端（比如x86），记得做转换
• 溢出处理：32位加法要 & 0xFFFFFFFF，不然C语言会帮你自动溢出
• 性能优化：如果追求速度，可以把64轮循环展开，减少分支预测失败