4. 主流对称加密算法工程选型
对称加密算法的工程选型，从来不是“哪个算法最强”的单选题，而是“在给定合规边界、硬件条件、数据形态和性能预算下，哪个算法最合适”的约束求解。企业数据保护工程中，AES、SM4、ChaCha20 是当前最主流的三条技术路线，它们分别代表了国际通用标准、中国商用密码标准和无硬件加速依赖的软件友好型流密码。理解三者的特性差异，是做出正确选型决策的前提。
一、三种算法的核心特性对比
AES（Advanced Encryption Standard）是分组密码，分组长度固定为 128 位，密钥长度支持 128、192、256 位，工程中最常用的是 AES-128-GCM 和 AES-256-GCM。AES 的硬件加速支持极为广泛，Intel AES-NI、ARMv8 Crypto Extensions 都能将 AES 的吞吐量提升到数 GB/s 级别，因此在服务器、PC 和现代移动设备上，AES 通常是性能最优的选择。
SM4 是中国国家密码管理局发布的商用分组密码标准，分组长度 128 位，密钥长度固定 128 位。SM4 在软件实现上性能与 AES 接近，但硬件加速生态不如 AES 成熟。它的核心价值在于合规性：在中国境内涉及政务、金融、能源等关键信息基础设施的数据保护场景中，使用 SM4 往往是满足《密码法》和商用密码应用安全性评估要求的必要条件。
ChaCha20 是流密码，由 Daniel J. Bernstein 设计，密钥长度 256 位，通常与 Poly1305 认证器组合为 ChaCha20-Poly1305。ChaCha20 的最大优势在于不依赖硬件加速即可获得很高的软件性能，且对侧信道攻击的抵抗性优于 AES 的软件实现。在移动端、IoT 设备以及缺乏 AES 硬件加速的旧平台上，ChaCha20 往往是更优选择。
二、性能差异的工程含义
性能对比不能只看理论吞吐量，必须结合具体部署环境。在支持 AES-NI 的 x86 服务器上，AES-128-GCM 的吞吐量通常可以达到 3–8 GB/s，而 ChaCha20-Poly1305 在同一平台上的软件实现约为 1–3 GB/s。但在没有 AES 硬件加速的 ARM Cortex-A7 或 RISC-V 平台上，AES 的软件实现可能只有 100–300 MB/s，而 ChaCha20 仍能保持 500 MB/s 以上。这意味着，在移动端和 IoT 场景中，ChaCha20 的实际性能优势可能比 AES 高出数倍。
SM4 的性能表现介于两者之间。在支持 SM4 硬件指令的国产 CPU（如飞腾、鲲鹏）上，SM4 可以达到与 AES 相当的吞吐量；但在通用 x86 平台上，SM4 只能依赖软件实现，性能约为 AES 软件实现的 60%–80%。因此，如果业务系统部署在国产化硬件平台上，SM4 的性能劣势并不明显；但如果部署在通用 x86 平台上且没有合规强制要求，AES 通常是更务实的选择。
三、合规性约束下的选型逻辑
合规性是选型的第一约束。在中国境内，涉及国家秘密、政务数据、金融交易、能源交通等关键信息基础设施的数据保护，必须使用国家密码管理局认可的商用密码算法，SM4 是分组加密的首选。如果业务系统需要同时满足国内合规和国际化部署，可以采用“双算法”策略：在国内节点使用 SM4，在海外节点使用 AES，通过统一的密钥管理服务实现算法标识与密钥的绑定。
对于没有强制国密要求的普通商业场景，AES-256-GCM 是国际通用性最好的选择，几乎所有主流编程语言、加密库和硬件平台都提供原生支持。ChaCha20-Poly1305 则更适合对侧信道攻击敏感、或运行在缺乏 AES 硬件加速环境中的场景，例如移动 App 的本地数据加密、IoT 设备与云端之间的通信加密。
四、选型决策的实操框架
在实际工程中，建议按以下顺序逐层收敛：第一步，确认合规边界，判断是否必须使用 SM4；第二步，评估部署环境的硬件加速能力，确认 AES 是否有硬件支持；第三步，分析数据形态，是块状数据（适合分组密码）还是流式数据（适合流密码）；第四步，结合性能预算和开发成本，在候选算法中做出最终选择。
选型速查示例：某金融企业需要为移动端 App 的本地数据库加密选型。合规方面，该场景不涉及关基设施，无强制国密要求；硬件方面，目标设备覆盖 Android 8–14，部分低端机型无 AES 硬件加速；数据形态为本地文件块加密。综合判断：优先选择 ChaCha20-Poly1305，在低端机型上性能稳定，且 Poly1305 提供完整性认证；若后续需要满足国密合规，可平滑切换为 SM4-GCM 模式。
工程提示：无论选择哪种算法，都必须使用认证加密模式（GCM 或 Poly1305），避免使用 ECB 等不提供完整性保护的裸加密模式。密钥管理、随机数生成和 IV 管理的重要性，往往超过算法本身的选择。
五、常见误区与排障要点
第一个误区是“AES-256 一定比 AES-128 更安全”。在工程实践中，AES-128 已经提供了足够的安全强度，AES-256 的主要价值在于满足某些合规要求或应对量子计算威胁的长期储备。在性能敏感场景中，AES-128-GCM 往往是更优的工程选择。
第二个误区是“SM4 性能差，不适合高吞吐场景”。实际上，在国产化硬件平台上，SM4 的性能与 AES 相当；只有在通用 x86 平台上，SM4 的软件实现才会显现出性能差距。选型时应以实际部署环境为准，而非笼统判断。
第三个误区是“ChaCha20 只能用于移动端”。ChaCha20-Poly1305 已被 TLS 1.3 列为标准加密套件，在服务器端同样有广泛应用。当服务器缺乏 AES-NI 或需要抵抗缓存时序攻击时，ChaCha20 是合理的选择。
排障时，如果发现加密吞吐量远低于预期，应优先检查：是否使用了硬件加速指令、是否误用了 ECB 模式、是否在每次加密时重复生成密钥、是否使用了低效的随机数生成器。这些因素对性能的影响，往往比算法本身的差异更大。