前后端数据安全传输的实现：Spring Boot 与国密算法的结合实践

在前后端通信中，确保数据的安全性和完整性是一项关键任务。通过使用 加解密 和 数字签名 技术，可以有效保护数据免受窃取和篡改。而在中国的安全合规要求中，采用国密算法（SM算法）是推荐的方式。

本篇博客将结合 Spring Boot 和国密算法（SM2、SM3、SM4），实现一个完整的前后端数据安全交互方案，包括加解密、加签验签，以及密钥对生成。

---

一、国密算法概述

国密算法（SM算法）是中国国家密码管理局制定的密码标准，包括：

• SM2：基于椭圆曲线的公钥密码算法，替代 RSA。
• SM3：哈希算法，替代 SHA 系列。
• SM4：对称分组加密算法，替代 AES。

这些算法在金融、政府等高安全性领域被广泛采用。

---

二、实现前后端数据安全交互

1. 使用场景与流程

1.1 数据加解密

• 场景：保护敏感数据（如用户密码）在传输中的隐私。
• 实现：
  • 前端使用后端提供的公钥加密敏感数据。
  • 后端使用私钥解密数据。

1.2 数据签名验签

• 场景：确保数据未被篡改，验证数据来源的合法性。
• 实现：
  • 后端用私钥对响应数据签名。
  • 前端用公钥验证签名。

1.3 对称加密

• 场景：高效加密大量数据。
• 实现：
  • 双方约定密钥，使用 SM4 加解密。

---

2. 后端实现（基于 Spring Boot）

2.1 引入依赖

国密算法可以通过 BouncyCastle 提供支持。在 pom.xml 中添加依赖：

<dependency>
    <groupId>org.bouncycastle</groupId>
    <artifactId>bcprov-jdk15on</artifactId>
    <version>1.70</version>
</dependency>

2.2 实现 SM2 加解密

import org.bouncycastle.jce.provider.BouncyCastleProvider;
import java.security.*;
import java.security.spec.ECGenParameterSpec;
import javax.crypto.Cipher;
import java.util.Base64;

@Service
public class SM2Service {

    static {
        Security.addProvider(new BouncyCastleProvider());
    }

    // 生成密钥对
    public KeyPair generateKeyPair() throws Exception {
        KeyPairGenerator keyPairGenerator = KeyPairGenerator.getInstance("EC", "BC");
        keyPairGenerator.initialize(new ECGenParameterSpec("sm2p256v1"));
        return keyPairGenerator.generateKeyPair();
    }

    // 加密
    public String encrypt(String data, PublicKey publicKey) throws Exception {
        Cipher cipher = Cipher.getInstance("ECIES", "BC");
        cipher.init(Cipher.ENCRYPT_MODE, publicKey);
        return Base64.getEncoder().encodeToString(cipher.doFinal(data.getBytes()));
    }

    // 解密
    public String decrypt(String encryptedData, PrivateKey privateKey) throws Exception {
        Cipher cipher = Cipher.getInstance("ECIES", "BC");
        cipher.init(Cipher.DECRYPT_MODE, privateKey);
        return new String(cipher.doFinal(Base64.getDecoder().decode(encryptedData)));
    }
}

2.3 实现 SM2 签名验签

@Service
public class SM2SignService {

    // 签名
    public String sign(String data, PrivateKey privateKey) throws Exception {
        Signature signature = Signature.getInstance("SM3withSM2", "BC");
        signature.initSign(privateKey);
        signature.update(data.getBytes());
        return Base64.getEncoder().encodeToString(signature.sign());
    }

    // 验签
    public boolean verify(String data, String signatureStr, PublicKey publicKey) throws Exception {
        Signature signature = Signature.getInstance("SM3withSM2", "BC");
        signature.initVerify(publicKey);
        signature.update(data.getBytes());
        return signature.verify(Base64.getDecoder().decode(signatureStr));
    }
}

2.4 SM4 对称加解密

@Service
public class SM4Service {

    // 生成密钥
    public String generateKey() throws Exception {
        KeyGenerator keyGenerator = KeyGenerator.getInstance("SM4", "BC");
        keyGenerator.init(128);
        return Base64.getEncoder().encodeToString(keyGenerator.generateKey().getEncoded());
    }

    // 加密
    public String encrypt(String data, String key) throws Exception {
        Cipher cipher = Cipher.getInstance("SM4", "BC");
        cipher.init(Cipher.ENCRYPT_MODE, new SecretKeySpec(Base64.getDecoder().decode(key), "SM4"));
        return Base64.getEncoder().encodeToString(cipher.doFinal(data.getBytes()));
    }

    // 解密
    public String decrypt(String encryptedData, String key) throws Exception {
        Cipher cipher = Cipher.getInstance("SM4", "BC");
        cipher.init(Cipher.DECRYPT_MODE, new SecretKeySpec(Base64.getDecoder().decode(key), "SM4"));
        return new String(cipher.doFinal(Base64.getDecoder().decode(encryptedData)));
    }
}

---

3. 前端实现

前端可以使用 JavaScript 库 sm-crypto 实现国密算法。

3.1 安装依赖

npm install sm-crypto

3.2 实现加解密

import sm2 from 'sm-crypto';

// 使用后端提供的公钥加密
const encrypt = (data, publicKey) => sm2.doEncrypt(data, publicKey);

// 使用私钥解密（仅测试用）
const decrypt = (encryptedData, privateKey) => sm2.doDecrypt(encryptedData, privateKey);

3.3 实现签名验签

import sm2 from 'sm-crypto';

// 签名
const sign = (data, privateKey) => sm2.doSignature(data, privateKey);

// 验签
const verify = (data, signature, publicKey) => sm2.doVerifySignature(data, signature, publicKey);

---

4. 前后端交互流程

4.1 加密传输

1. 前端：将敏感数据通过 SM2 公钥加密。
2. 后端：接收加密数据并用私钥解密。

4.2 数据签名验签

1. 后端：用 SM2 私钥对响应数据签名。
2. 前端：用公钥验证签名。

4.3 对称加密

1. 后端：生成 SM4 密钥并共享给前端。
2. 双方使用 SM4 密钥进行数据加解密。

---

五、总结

本篇博客通过 Spring Boot 和国密算法实现了前后端数据安全交互的完整流程。以下是使用场景和对应的算法：

场景	算法	实现
数据加密传输	SM2	公钥加密，私钥解密
签名与验签	SM2 + SM3	后端签名，前端验签
批量数据加密	SM4	对称加密，适用于大数据量传输
数据完整性校验	SM3（摘要算法）	数据摘要生成与对比

通过合理组合这些国密算法，能够有效满足高安全性场景下的需求，同时符合国内的安全合规要求。在实际项目中，可根据业务需求灵活调整实现方式，例如增加密钥协商协议或引入 HSM（硬件安全模块）提升安全性。