4. SM2签名验签开发环境搭建

说实话，环境搭建这事儿，看着简单，但坑不少。我见过太多人卡在编译这一步，一卡就是半天。今天我把四种主流环境怎么配，一次性说清楚。

4.1 OpenSSL 1.1.1+ 编译与集成

OpenSSL从1.1.1版本开始，正式把SM2、SM3、SM4纳入了主线代码。这意味着你不用打补丁，直接编译就能用。我个人习惯用1.1.1l，这个版本比较稳定。

编译步骤其实不复杂，但有几个细节容易翻车：

# 下载源码
wget https://www.openssl.org/source/openssl-1.1.1l.tar.gz
tar -xzf openssl-1.1.1l.tar.gz
cd openssl-1.1.1l

# 配置编译选项
./config --prefix=/usr/local/openssl-1.1.1 \
         --openssldir=/usr/local/openssl-1.1.1/ssl \
         enable-ec_nistp_64_gcc_128 \
         linux-x86_64

# 编译 & 安装
make -j$(nproc)
sudo make install

# 验证SM2支持
/usr/local/openssl-1.1.1/bin/openssl ecparam -list_curves | grep SM2

编译完成后，记得把动态库路径加到系统里：

echo "/usr/local/openssl-1.1.1/lib" | sudo tee /etc/ld.so.conf.d/openssl-1.1.1.conf
sudo ldconfig

验证一下库能不能正常加载：

ldconfig -p | grep libcrypto
# 应该能看到 /usr/local/openssl-1.1.1/lib/libcrypto.so.1.1

4.2 GmSSL库集成

GmSSL是OpenSSL的一个国密分支，由北京大学开发。它比主线OpenSSL多了一些国密特有的功能，比如SM9。如果你只做SM2签名验签，用主线OpenSSL就够了。但如果你要搞SM9或者更复杂的国密协议，GmSSL是更好的选择。

GmSSL的编译和OpenSSL几乎一样：

git clone https://github.com/guanzhi/GmSSL.git
cd GmSSL
./config --prefix=/usr/local/gmssl
make -j$(nproc)
sudo make install

这里有个小坑——GmSSL默认不生成动态库。如果你需要.so文件，编译前要改一下配置：

./config shared --prefix=/usr/local/gmssl

4.3 Python环境配置（gmssl库）

Python的gmssl库是对OpenSSL的SM2/SM3/SM4功能的封装。安装很简单，但底层依赖OpenSSL的运行时库。

# 安装gmssl库
pip install gmssl

# 验证安装
python -c "from gmssl import sm2; print('SM2 module loaded')"

如果你用的是我们刚才编译的OpenSSL 1.1.1，需要确保Python能找到对应的动态库。我遇到过一个问题——系统自带的OpenSSL版本太旧，gmssl库加载时报错：

# 设置环境变量，指向新编译的OpenSSL
export LD_LIBRARY_PATH=/usr/local/openssl-1.1.1/lib:$LD_LIBRARY_PATH
python -c "from gmssl import sm2; print('OK')"

你想想看，如果每次都要手动设环境变量，多麻烦。我一般直接写到~/.bashrc里：

echo 'export LD_LIBRARY_PATH=/usr/local/openssl-1.1.1/lib:$LD_LIBRARY_PATH' >> ~/.bashrc
source ~/.bashrc

4.4 Java环境配置（BC库）

Java这边，Bouncy Castle（BC库）从1.60版本开始支持SM2。目前最新的1.72版本已经非常成熟了。

Maven项目的话，在pom.xml里加依赖：

<dependency>
    <groupId>org.bouncycastle</groupId>
    <artifactId>bcprov-jdk15on</artifactId>
    <version>1.72</version>
</dependency>
<dependency>
    <groupId>org.bouncycastle</groupId>
    <artifactId>bcpkix-jdk15on</artifactId>
    <version>1.72</version>
</dependency>

非Maven项目，直接下载jar包扔到classpath里也行。BC库的jar包可以从官网或者Maven中央仓库下载。

配置好之后，写个简单的测试代码验证一下：

import org.bouncycastle.jce.provider.BouncyCastleProvider;
import java.security.Security;

public class SM2Test {
    public static void main(String[] args) throws Exception {
        Security.addProvider(new BouncyCastleProvider());
        System.out.println("BC provider version: " +
            Security.getProvider("BC").getVersion());
    }
}

4.5 四种环境对比

我把这四种环境的特点整理了一下，方便你根据项目需求选择：

环境	底层依赖	SM2支持版本	适用场景	配置难度
OpenSSL 1.1.1+	无	1.1.1+	C/C++项目、服务端	中等
GmSSL	无	全部版本	国密专用项目、SM9	中等
Python gmssl	OpenSSL	0.4.0+	快速原型、测试	简单
Java BC库	无	1.60+	企业级应用、Android	简单

4.6 环境验证与常见问题

环境搭好了，怎么确认它真的能用？我一般用SM2密钥生成来验证：

OpenSSL验证：

# 生成SM2私钥
openssl ecparam -genkey -name SM2 -out sm2_private.pem
# 提取公钥
openssl ec -in sm2_private.pem -pubout -out sm2_public.pem
# 查看密钥信息
openssl ec -in sm2_private.pem -text -noout

Python验证：

from gmssl import sm2

# 生成密钥对
private_key = sm2.SM2PrivateKey()
public_key = private_key.public_key()

print("Private key:", private_key.to_pem())
print("Public key:", public_key.to_pem())

Java验证：

import org.bouncycastle.jce.provider.BouncyCastleProvider;
import java.security.*;
import org.bouncycastle.jce.ECNamedCurveTable;
import org.bouncycastle.jce.spec.ECParameterSpec;

Security.addProvider(new BouncyCastleProvider());
ECParameterSpec ecSpec = ECNamedCurveTable.getParameterSpec("SM2");
KeyPairGenerator g = KeyPairGenerator.getInstance("EC", "BC");
g.initialize(ecSpec, new SecureRandom());
KeyPair pair = g.generateKeyPair();
System.out.println("SM2 key pair generated successfully");

嗯，环境搭建这部分就这些。四种环境各有优劣，但核心逻辑是一样的——底层都是椭圆曲线密码学，SM2只是其中一条特定的曲线。环境搭好了，后面签名验签的代码才能跑起来。