2. SM2 非对称算法原理

SM2 国密算法，说白了就是咱们国家自己的椭圆曲线公钥密码体系。我在做金融系统迁移时接触最多就是它——从 RSA 切到 SM2，不只是换套 API，底层数学逻辑完全不同。这一章我把核心原理拆开讲，你理解透了，后面适配迁移才不会踩坑。

2.1 SM2 椭圆曲线参数

SM2 用的是一条特定的椭圆曲线，参数由国家密码管理局定义。我个人习惯把这组参数记成「一套固定的数学环境」——曲线定了，所有运算都在这个框架里跑。

2.2 密钥对生成流程

SM2 密钥对生成，本质上就是「选一个随机数当私钥，用椭圆曲线乘法算出公钥」。流程不复杂，但随机数质量直接决定安全性。

1. 生成随机数 d：d ∈ [1, n-2]，使用密码学安全的随机数发生器。
2. 计算公钥 P：P = d × G，即私钥 d 乘以基点 G，得到椭圆曲线上的另一个点。
3. 输出密钥对：私钥为 d（256 位整数），公钥为 P（包含 x, y 坐标，共 512 位）。

// 伪代码示例：SM2 密钥对生成
function generateSM2KeyPair():
    d = secureRandom(1, n-2)          // 私钥
    P = scalarMultiply(d, G)          // 公钥
    return (d, P)

2.3 数字签名与验签机制

SM2 数字签名用的是 SM2 签名算法（基于椭圆曲线），不是 ECDSA。两者流程相似，但细节不同。我当年做互操作性测试时，就被这个「相似但不兼容」坑过。

签名流程

1. 计算消息摘要 e = SM3(Z || M)，其中 Z 是用户标识和公钥的哈希，M 是原始消息。
2. 生成随机数 k ∈ [1, n-1]。
3. 计算椭圆曲线点 (x₁, y₁) = k × G。
4. 计算 r = (e + x₁) mod n。如果 r = 0 或 r + k = n，回到步骤 2。
5. 计算 s = ((1 + d)⁻¹ × (k - r × d)) mod n。如果 s = 0，回到步骤 2。
6. 输出签名 (r, s)。

验签流程

1. 检查 r, s ∈ [1, n-1]，不通过则验签失败。
2. 计算消息摘要 e' = SM3(Z || M)。
3. 计算 t = (r + s) mod n，如果 t = 0 则验签失败。
4. 计算椭圆曲线点 (x₁', y₁') = s × G + t × P。
5. 计算 R = (e' + x₁') mod n，如果 R = r 则验签通过，否则失败。

2.4 公钥加密与解密原理

SM2 公钥加密用的是混合加密：椭圆曲线密钥交换 + 对称加密。说白了，就是用 SM2 协商一个临时密钥，再用 SM4 加密实际数据。这样做既利用了非对称加密的密钥分发优势，又保留对称加密的高效。

加密流程

1. 生成随机数 k ∈ [1, n-1]。
2. 计算临时公钥 C₁ = k × G。
3. 计算共享点 S = k × P（P 是接收方公钥）。
4. 从 S 的 x, y 坐标派生对称密钥 K = KDF(S_x || S_y, 密钥长度)。
5. 用 K 加密明文 M，得到密文 C₂。
6. 计算哈希 C₃ = SM3(S_x || M || S_y)。
7. 输出密文 C = C₁ || C₂ || C₃。

解密流程

1. 从 C 中提取 C₁，检查 C₁ 是否在曲线上。
2. 计算共享点 S' = d × C₁（d 是接收方私钥）。
3. 从 S' 派生对称密钥 K' = KDF(S'_x || S'_y, 密钥长度)。
4. 用 K' 解密 C₂，得到明文 M'。
5. 计算哈希 C₃' = SM3(S'_x || M' || S'_y)，与 C₃ 比对，一致则解密成功。

2.5 核心逻辑关系图

下面这张图把 SM2 的密钥生成、签名验签、加解密串在一起，你看完应该能理解整个体系是怎么运转的。

2.6 关键对比：SM2 vs ECDSA vs RSA

做迁移时，你肯定要跟团队解释为什么换 SM2。我整理了一张对比表，开会时直接贴出来就行。