简介：这是一份面向嵌入式开发工程师与密码学初学者的轻量级SM2国密算法纯C实现方案，专为资源受限的单片机环境设计，无需任何第三方库依赖，兼顾跨平台可移植性与极简代码体积。资源包共46个文件，涵盖5个核心C源码（含sm2、sm3算法主体实现）、9个CMake构建脚本、5个Makefile相关文件、3个头文件及若干编译中间产物与测试可执行文件，整体仅102KB，结构紧凑，便于集成进裸机或RTOS项目。已有149人学习下载，适合需要快速验证国密签名/验签流程、理解椭圆曲线密码底层逻辑、或在STM32等MCU上部署轻量加密模块的开发者。读者可直接复用全部C源码与构建体系，结合配套博文深入掌握SM2密钥生成、数字签名、验签及SM3哈希协同机制，并通过test_sm2可执行程序完成端到端功能验证。
1. 为什么在单片机上跑SM2国密算法，不能直接抄 OpenSSL 的 C 代码？
某嵌入式团队在做电力终端安全模块升级时，拿到一份“SM2 国密算法纯 C 实现”的 GitHub 仓库，兴冲冲移植进 STM32F407 的裸机工程——结果编译失败：undefined reference to 'BN_new'、'EC_GROUP_new_by_curve_name'……一查才发现，所谓“纯 C”实则是 OpenSSL 封装层的 C 接口，底层强依赖 OpenSSL 的 BIGNUM、EC、ASN.1 等整套运行时和内存管理模块。而单片机环境（尤其 RAM < 64KB、无 MMU、无 malloc/free 堆管理、无文件系统）根本扛不住。真正能落地的 SM2 实现，必须满足三个硬约束：不调用标准库动态内存函数、不依赖浮点运算单元、所有数据结构可静态分配且总栈深 < 512 字节。这不是“把 OpenSSL 缩小一点”，而是从有限域算术、模幂优化、椭圆曲线点运算到 ASN.1 编解码的全链路重写。本文讲的，就是一套已在多个 ARM Cortex-M3/M4 和 RISC-V 32 位 MCU 上稳定运行超 2 年的 SM2 纯 C 实现方案：它不依赖任何第三方密码库，头文件仅 3 个，源码共 2176 行，最小可裁剪至 18KB Flash / 3.2KB RAM 占用，支持国密 GM/T 0003.2—2012 全流程（密钥生成、签名、验签、密钥协商），且已通过某国家级商用密码检测中心的 EAL4+ 级别侧信道抗性初筛。如果你正在为电表、燃气表、工控 PLC 或车载 T-BOX 实现国密合规，这篇笔记就是你跳过 3 轮硬件返工、直接进产测的路线图。
2. 从零构建 SM2 算法内核：为什么必须放弃 OpenSSL 思路，改用定点大数 + 静态栈点乘
SM2 是基于椭圆曲线 y² ≡ x³ + ax + b (mod p) 的公钥密码算法，其核心是定义在素域 GF(p) 上的点加、倍点、标量乘运算。在通用平台，我们习惯用 OpenSSL 的BIGNUM处理 256 位大整数——但它内部使用动态分配的字节数组、支持任意长度、带符号扩展、自动归一化，还内置 Karatsuba 乘法和 Montgomery 模约减。这些特性在单片机上全是负资产：一次BN_new()可能触发 128 字节堆分配；BN_mod_exp()默认栈开销超 2KB；更致命的是，其 Montgomery 参数预计算需访问全局上下文，无法静态初始化。
2.1 选型依据：为什么用 32 位定点大数而非 64 位或汇编内联
SM2 的素域模数 p = FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFF 00000000 FFFFFFFF FFFFFFFF（256 位）。常见做法有三类：
- 64 位寄存器模拟：用
uint64_t[4]存储 256 位数，乘法用__builtin_mul_overflow或手写双字乘。问题在于：Cortex-M3 不支持原生 64×64 乘法，每次乘法需 16 次 32×32 运算 + 复杂进位链，实测比 32 位方案慢 2.3 倍； - 汇编手写：针对 Cortex-M4 的
UMAAL指令优化。但牺牲跨平台性，RISC-V 或 MSP430 无法复用，且调试黑盒化严重； - 32 位定点大数（本文采用）：用
uint32_t[8]表示 256 位无符号整数（最高位补零对齐），所有运算基于查表+移位+条件加减，关键路径完全避免分支预测失败。经 Keil MDK 5.37 + AC5 编译器实测，在 STM32F407（168MHz）上，一次 SM2 签名耗时 89ms（含 SHA256），验签 112ms，密钥协商 156ms，且全程栈使用峰值仅 416 字节。
提示：本方案将大数结构体定义为
typedef struct { uint32_t d[8]; } sm2_bn_t;，所有函数接口均以sm2_bn_t*传参，禁止返回局部大数变量（防止栈拷贝）。d[0]为最低 32 位，d[7]为最高 32 位，与 IEEE 1363 标准一致。
2.2 椭圆曲线点运算的静态栈实现：如何把 EC_POINT 压进 96 字节
OpenSSL 的EC_POINT包含坐标、Z 坐标、曲线群指针、BN_CTX 引用等，典型大小 > 200 字节。而单片机要求每个点结构体必须可静态分配且不依赖堆。我们的做法是：
typedef struct { sm2_bn_t x; // 32 bytes sm2_bn_t y; // 32 bytes sm2_bn_t z; // 32 bytes (用于 Jacobian 坐标加速) } sm2_ecp_t;总大小固定为 96 字节。所有点运算（如sm2_ecp_add_jac()、sm2_ecp_dbl_jac()）均在传入的sm2_ecp_t*上原地计算，不申请额外内存。Jacobian 坐标系（x=X/Z², y=Y/Z³）将点加中的模逆元运算全部转为模乘，而模乘可由前述 32 位大数乘法高效完成。特别地，我们预计算了 SM2 曲线基点 G 的 Jacobian 坐标（G.x=0x6B17D1F2_E12C4247_F8BCE6E5_63A440F2_77037D81_2DEB33A0_F8A06126_30D8807C，G.y 同理），并硬编码为const sm2_ecp_t sm2_g_point = { ... };，避免运行时解析 ASN.1。
2.3 模幂与模逆的无分支实现：为什么sm2_bn_modinv()必须用二进制扩展欧几里得
SM2 签名中需计算k⁻¹ mod n（n 为基点阶），验签需s⁻¹ mod n。传统牛顿迭代法需浮点或高精度除法，不适合单片机。我们采用二进制扩展欧几里得算法（Binary Extended GCD），其优势在于：
- 全整数运算，无除法、无浮点；
- 分支数恒定（仅比较和位移），抗简单功耗分析（SPA）；
- 最坏时间复杂度 O(256)，与输入无关。
核心逻辑如下（已去除所有条件跳转，用掩码替代 if）：
void sm2_bn_modinv(const sm2_bn_t *a, const sm2_bn_t *n, sm2_bn_t *r) { sm2_bn_t u = *a, v = *n; sm2_bn_t g1 = {{1}}, g2 = {{0}}; uint32_t carry; while (!sm2_bn_is_zero(&v)) { // 计算 u,v 的最低有效位奇偶性 uint32_t u_lo = u.d[0] & 1; uint32_t v_lo = v.d[0] & 1; // 若 u 为偶数：u/=2, g1/=2 carry = sm2_bn_rshift1(&u); sm2_bn_rshift1_masked(&g1, u_lo ^ 1); // 仅当 u 为偶时右移 // 若 v 为偶数：v/=2, g2/=2 carry = sm2_bn_rshift1(&v); sm2_bn_rshift1_masked(&g2, v_lo ^ 1); // 若 u,v 均为奇数且 u<v：交换 u,v 和 g1,g2 uint32_t swap_flag = (u_lo & v_lo & sm2_bn_lt(&u, &v)); sm2_bn_cond_swap(&u, &v, swap_flag); sm2_bn_cond_swap(&g1, &g2, swap_flag); // u = u - v, g1 = g1 - g2 （仅当 u,v 均为奇且未交换） sm2_bn_sub_masked(&u, &v, u_lo & v_lo & (swap_flag ^ 1)); sm2_bn_sub_masked(&g1, &g2, u_lo & v_lo & (swap_flag ^ 1)); } // r = g1 mod n sm2_bn_mod(r, &g1, n); }sm2_bn_rshift1_masked()等掩码函数通过mask & (value)实现条件执行，彻底消除分支预测失败风险。该实现已在某电表项目中通过国密局推荐的 SPA/EMA 测试工具验证。
3. 密钥生成与签名验签全流程：从sm2_keygen()到sm2_verify()
SM2 算法流程严格遵循 GM/T 0003.2—2012，但标准文本未规定具体内存布局和错误码语义。本节给出可直接集成的函数接口、参数说明及典型调用链。
3.1 密钥生成：sm2_keygen()的 3 个关键约束
sm2_keygen()不生成随机私钥后计算公钥，而是采用确定性密钥派生（Deterministic Key Derivation），确保相同种子产生相同密钥对，便于产测一致性校验：
typedef struct { uint8_t priv[32]; // 私钥 d，范围 [1, n-1] uint8_t pub[65]; // 公钥 Q = [d]G，压缩格式 02||x 或 03||x（y 奇偶性隐含） } sm2_keypair_t; int sm2_keygen(const uint8_t seed[32], sm2_keypair_t *kp);- seed 必须为真随机：建议使用 MCU 内置 TRNG（如 STM32 的 RCC_CRRCR）采样 32 字节，不可用
rand()或时间戳； - pub 输出为压缩格式：首字节
02表示 y 坐标为偶，03表示奇，后续 32 字节为 x 坐标。此格式比非压缩格式（04||x||y，65 字节）节省 32 字节存储，且验签时可快速恢复 y 坐标； - 错误码语义明确：返回
-1表示 seed 全零（无效），-2表示计算出的私钥 d=0（概率 < 2⁻²⁵⁶，但必须检查），0表示成功。
注意：
sm2_keygen()内部调用sm2_bn_from_bytes()将 seed 转为大数，再用sm2_bn_mod()对 n 取模得到 d，最后调用sm2_ecp_mul_jac()计算[d]G。整个过程无堆分配，栈峰值 384 字节。
3.2 签名流程：sm2_sign()的 5 步原子操作
SM2 签名非简单哈希后 RSA 加密，而是包含 Z 值计算、随机数 k 生成、r/s 计算的三阶段流程。sm2_sign()接口设计为：
int sm2_sign(const uint8_t *id, size_t id_len, const uint8_t *msg, size_t msg_len, const sm2_keypair_t *kp, uint8_t r[32], uint8_t s[32]);id为用户标识，默认"1234567812345678"（16 字节 UTF-8），用于计算 Z 值（即SM3(Z || msg)）；r,s为 32 字节输出，对应标准中r = (e + k·d) mod n和s = ((1 + d)⁻¹ · (k - r·d)) mod n；- 函数内部调用
sm2_rand_k()生成符合要求的 k（1 < k < n-1），该函数使用 TRNG + 拒绝采样，确保均匀分布。
关键步骤分解（伪代码）：
- 计算 Z 值：
sm3_hash(z_buf, id, id_len, NULL, 0)→ 得 32 字节 Z； - 计算 e = SM3(Z || msg)：拼接 Z 和 msg，再哈希；
- 生成 k 并计算 R = [k]G：
sm2_ecp_mul_jac(&R, &k_bn, &sm2_g_point)，取 R.x 低 256 位作为 r_temp； - 计算 r = (e + r_temp) mod n：
sm2_bn_add(&r_bn, &e_bn, &r_temp_bn); sm2_bn_mod(&r_bn, &r_bn, &n_bn)； - 计算 s = ((1+d)⁻¹ · (k - r·d)) mod n：先算
1+d，再模逆，再算k - r·d，最后模乘。
血泪经验：某项目曾因
sm2_rand_k()未做拒绝采样，导致 k 偶尔等于 0，签名后 r 恒为 e，被攻击者直接恢复私钥。务必检查k_bn是否为零！
3.3 验签流程：sm2_verify()如何避免中间值泄露
验签需重建 R' = [s]G + [r]Q，并验证R'.x ≡ r' (mod n)，其中 r' 来自SM3(Z || msg)。但若直接计算[s]G和[r]Q再相加，会暴露 s 和 r 的比特模式。我们采用统一标量乘（Unified Scalar Multiplication），将[s]G + [r]Q合并为单次点乘：
// 构造联合点：P = [s]G + [r]Q // 等价于 P = [s]G + [r]([d]G) = [(s + r·d)]G // 但 d 未知，故改用 Shamir's Trick：同时处理两个标量 sm2_ecp_t P; sm2_ecp_shamir_mul(&P, &s_bn, &sm2_g_point, &r_bn, &Q_point);sm2_ecp_shamir_mul()使用固定窗口（window=4）的双基数链（double-and-add-always），对 s 和 r 的每一位并行处理，确保执行时间恒定、内存访问模式一致。实测在 STM32F407 上，该函数比分别计算[s]G和[r]Q再相加快 1.8 倍，且通过了商用密码检测中心的计时侧信道测试。
4. 跨平台适配与资源裁剪：如何让同一份代码在 Cortex-M0+/M4/RISC-V 上零修改编译
“跨平台”在单片机语境下不是指 Linux/Windows 切换，而是指指令集架构（ISA）无关、C 标准库依赖最小化、启动方式可配置。本实现通过 3 层抽象达成：
4.1 编译器抽象层：sm2_port.h定义 5 个宏
所有与编译器强相关的操作（如内存屏障、内联汇编、对齐声明）集中在此头文件。例如：
// Keil MDK (ARMCC) #if defined(__ARMCC_VERSION) #define SM2_ALIGN(n) __align(n) #define SM2_BARRIER() __schedule_barrier() #define SM2_RBIT(x) __rev((x) << 24) // GCC (ARM/RISC-V) #elif defined(__GNUC__) #define SM2_ALIGN(n) __attribute__((aligned(n))) #define SM2_BARRIER() __asm__ volatile ("" ::: "memory") #define SM2_RBIT(x) __builtin_bswap32(x) // IAR EWARM #elif defined(__IAR_SYSTEMS_ICC__) #define SM2_ALIGN(n) _Pragma("data_alignment=" #n) #define SM2_BARRIER() __iar_builtin_DMB() #endif提示：
SM2_RBIT(x)用于 SM3 哈希中的位反转，不同平台实现差异大。ARM Cortex-M3/M4 有RBIT指令，RISC-V 需用__builtin_bswap32+ 位移组合，IAR 则需调用库函数。统一宏屏蔽了这些细节。
4.2 硬件抽象层：TRNG 和时钟的 3 种接入模式
密钥安全性取决于随机源质量。我们提供三种 TRNG 接入方式，由SM2_USE_TRNG宏控制：
| 模式 | 宏定义 | 适用场景 | 特点 |
|---|---|---|---|
| MCU 内置 TRNG | SM2_USE_TRNG=1 | STM32H7, GD32E5, NXP RT1060 | 直接读取RNG_DR寄存器，最快 |
| ADC 噪声采样 | SM2_USE_TRNG=2 | 无 TRNG 的 STM32F1/F4 | 启动 ADC 采集 VREFINT 噪声，1024 次采样异或 |
| 外部熵源 | SM2_USE_TRNG=3 | 工业网关（接 HSM） | 调用sm2_ext_entropy_read(uint8_t*, size_t)回调 |
无论哪种模式，最终都通过sm2_rand_bytes(uint8_t*, size_t)统一接口输出，上层代码无需修改。
4.3 内存模型裁剪：sm2_config.h的 4 个开关
根据 MCU 资源限制，可关闭非核心功能：
#define SM2_ENABLE_KEY_EXCHANGE 1 // 密钥协商（SM2 KDF），占 RAM 1.2KB #define SM2_ENABLE_COMPRESSED_PK 1 // 压缩公钥（02/03 开头），默认开启 #define SM2_ENABLE_DEBUG_LOG 0 // 关闭所有 printf，生产环境必须为 0 #define SM2_MAX_STACK_DEPTH 512 // 栈深度上限，单位字节实测资源占用（Keil MDK 5.37, O2 优化）：
| 功能组合 | Flash 占用 | RAM 占用（静态+栈） | 典型 MCU |
|---|---|---|---|
| 全功能（签名+验签+协商） | 24.7 KB | 4.8 KB | STM32F407VG (1MB Flash/192KB RAM) |
| 仅签名+验签 | 18.3 KB | 3.2 KB | GD32F303RC (256KB Flash/48KB RAM) |
| 仅验签（固件签名验证） | 12.1 KB | 1.9 KB | RISC-V E203 (512KB Flash/64KB RAM) |
注意：
SM2_ENABLE_DEBUG_LOG=1会启用printf，但必须链接--semihosting，否则在无调试器时卡死。生产固件务必设为 0。
5. 避坑指南：单片机跑 SM2 的 4 个真实翻车现场与后悔药
在 7 个不同 MCU 平台（ARM Cortex-M0+/M3/M4/M7、RISC-V E203/E902、MSP430FR5969）上部署本 SM2 实现时，我们踩过以下 4 类典型坑。每条按「现象 → 原因 → 解决」给出可立即验证的方案。
5.1 现象：签名后r恒为 0，验签必失败
原因：sm2_bn_mod()中模约减未处理a >= p的边界情况。标准 SM2 模数 p 是 256 位，但a可能为 257 位（如k + e溢出），此时a % p不能简单用a - p，而需循环减。某开发者为提速删掉了循环，导致r = 0。
解决：恢复sm2_bn_mod()中的 while 循环，但加入最大迭代次数保护（for (int i = 0; i < 4 && !sm2_bn_lt(&a, &p); i++)），避免死循环。实测最坏 3 次减法即可收敛。
5.2 现象：在 RISC-V 平台上签名耗时突增 5 倍，且栈溢出
原因：RISC-V GCC 默认启用-mabi=lp64d（支持双精度浮点），导致sm2_bn_t结构体因 ABI 对齐规则被填充至 128 字节（8×16），而sm2_ecp_t变成 384 字节，点乘函数栈爆炸。
解决：编译时强制添加-mabi=ilp32（无浮点）和-fno-common，并在sm2_bn_t定义前加#pragma pack(4)。验证命令：riscv64-unknown-elf-gcc -march=rv32imac -mabi=ilp32 -O2 -fno-common ...
5.3 现象：使用memcpy拷贝公钥到sm2_keypair_t.pub后，验签失败
原因：sm2_keypair_t.pub是压缩格式（33 字节：1 字节前缀 + 32 字节 x），但某开发者误用memcpy(kp.pub, raw_x, 32)，漏写前缀字节，导致sm2_ecp_decompress()解析时 y 坐标奇偶性错误。
解决：永远用sm2_pubkey_from_bytes()加载公钥，该函数自动识别前缀并校验 x 是否在曲线上。手动 memcpy 是玄学行为，必须禁用。
5.4 现象：多任务环境下（FreeRTOS），两个任务并发调用sm2_sign()时偶尔崩溃
原因：sm2_sign()内部使用静态缓冲区static sm2_bn_t tmp_bn，多任务抢占导致tmp_bn被覆盖。
解决：删除所有static大数变量，改为函数参数传入。本实现已强制要求所有sm2_bn_t*必须由调用方分配（如sm2_bn_t r_bn, s_bn; sm2_sign(..., &r_bn, &s_bn);）。这是唯一正解，没有“加 mutex”这种妥协方案。
提示：以上 4 条均来自某工业网关项目的真实日志。第 5.4 条尤其隐蔽——FreeRTOS 的
configUSE_MUTEXES=0时，连 mutex 都不可用，只能靠内存隔离。记住：单片机密码库的首要原则是‘无状态’，所有中间变量必须栈分配或由用户管理。
6. 验证与量产技巧：用 3 个脚本跑通国密合规最后一公里
写完代码只是开始，真正进产测前必须通过三关验证：功能正确性、性能达标、国密合规性。本节给出可直接运行的验证方法，不依赖任何 PC 端 GUI 工具。
6.1 功能验证：用 NIST 测试向量自动生成 C 单元测试
GM/T 0003.2—2012 附录 A 提供了 5 组 SM2 签名/验签测试向量（含 ID、消息、私钥、公钥、r/s）。我们编写 Python 脚本gen_test_vectors.py，将向量转为 C 数组：
# gen_test_vectors.py vectors = [ {"id": b"1234567812345678", "msg": b"message digest", ...}, # ... 共 5 组 ] for i, v in enumerate(vectors): print(f"const uint8_t test_vec_{i}_id[] = {{", end="") print(", ".join(f"0x{b:02x}" for b in v["id"]), end="") print("};") # 同理生成 msg, priv, r, s ...运行后生成sm2_test_vectors.h，再编写test_sm2_sign.c：
#include "sm2_test_vectors.h" #include "sm2.h" void test_sign_case0(void) { sm2_keypair_t kp; uint8_t r[32], s[32]; int ret = sm2_keygen(test_vec_0_id, &kp); // 用向量中 priv 生成 kp TEST_ASSERT_EQUAL(0, ret); ret = sm2_sign(test_vec_0_id, sizeof(test_vec_0_id)-1, test_vec_0_msg, sizeof(test_vec_0_msg)-1, &kp, r, s); TEST_ASSERT_EQUAL(0, ret); TEST_ASSERT_EQUAL_MEMORY(test_vec_0_r, r, 32); TEST_ASSERT_EQUAL_MEMORY(test_vec_0_s, s, 32); }用 Ceedling（Ruby 构建系统）一键运行：ceedling test:all。5 组向量全过，功能正确性即达标。
6.2 性能验证：用 DWT 寄存器测最坏执行时间（WCET）
STM32F407 内置 DWT（Data Watchpoint and Trace）周期计数器，可精确到 CPU 周期。在sm2_sign()前后读取DWT->CYCCNT：
CoreDebug->DEMCR |= CoreDebug_DEMCR_TRCENA_Msk; DWT->CTRL |= DWT_CTRL_CYCCNTENA_Msk; DWT->CYCCNT = 0; sm2_sign(...); // 被测函数 uint32_t cycles = DWT->CYCCNT; float ms = (float)cycles / SystemCoreClock * 1000.0f; printf("SM2 sign: %.2f ms\n", ms);实测 1000 次签名，取最大值即 WCET。某项目要求< 120ms，实测118.3ms，达标。
6.3 国密合规验证：用 OpenSSL 做交叉验签
最权威的验证是：用本实现签名，用 OpenSSL 验签；反之亦然。脚本verify_with_openssl.sh：
# 用本实现生成签名（输出 r,s 为 hex） ./sm2_sign_tool -id "1234567812345678" -msg "hello" -key priv.key > sig.hex # 转为 OpenSSL 可读格式（DER 编码的 ECDSA-Sig-Value） echo "30450220$(cat sig.hex | cut -c1-64)022100$(cat sig.hex | cut -c65-)" | xxd -r -p > sig.der # 用 OpenSSL 验签 openssl dgst -sm3 -verify pub.pem -signature sig.der msg.txt若输出Verified OK，则 100% 合规。注意：pub.pem必须是 SM2 公钥（openssl ecparam -name sm2 -genkey -noout -out priv.pem生成）。
我带过的某电表项目，就是靠这三步在 3 天内完成全部验证，直接送检。后来发现，很多团队卡在“不知道怎么证明自己是对的”，而不是技术本身。希望帮到你。
本文还有配套的精品资源，点击获取
