Nginx 原生不支持 SM2/SM3/SM4，需基于 GMSSL 或 OpenSSL 3.0+ 国密 Provider 定制编译，并严格按 GB/T 39786-2021 配置 GMv1 协议、ECC-SM2-WITH-SM4-SM3 套件，结合合规密钥管理与业务层协同实现金融级国密闭环。
直接用 Nginx 原生模块无法支持 SM2/SM3/SM4。Nginx 本身不内置国密算法，必须依赖外部密码库（如 GMSSL 或 OpenSSL 3.0+ 国密 Provider）并配合定制编译或第三方模块才能启用国密能力。金融级 Web 网关的合规化不是“加个配置就行”，而是从证书、协议栈、密钥管理到日志审计的全链路闭环。
一、底层密码引擎选型与编译准备
金融场景要求算法实现通过商用密码检测中心认证，不可自行拼凑或调用未认证的开源实现。
- 推荐使用 GMSSL（国密版 OpenSSL）：已通过国家密码管理局商用密码产品认证，完整支持 SM2/SM3/SM4，并提供 Nginx 兼容的
ngx_http_ssl_module补丁 - 或选用 OpenSSL 3.0+ + 国密 Provider：需确认所用 Provider 已获《商用密码产品认证证书》，例如阿里云、江南天安等厂商提供的合规 Provider 动态库
- Nginx 必须源码编译，禁用系统默认 OpenSSL；编译时指定
--with-openssl=指向 GMSSL 源码路径，并启用--with-http_ssl_module
二、国密 SSL/TLS 协议栈配置（GMv1）
仅开启 SM2 证书不等于支持国密通信——协议版本、密钥交换机制、密码套件三者必须严格匹配 GB/T 39786-2021 和 TLS 国密扩展规范 GMT 0024。
- 在 server 块中强制启用国密协议：
ssl_protocols GMv1;（非TLSv1.2或TLSv1.3） - 密码套件必须为标准国密组合：
ssl_ciphers ECC-SM2-WITH-SM4-SM3;（注意大小写与连字符，不可写作sm2-sm4-sm3） - 若需双向认证（金融网关常见），必须加载 CA 证书链并启用：
ssl_verify_client on;+ssl_client_certificate指向国密根/中间 CA 证书 - 禁用所有国际套件（如
ECDHE-RSA-AES128-GCM-SHA256），避免协商降级风险
三、密钥与证书的合规生成与部署
证书合规 ≠ 算法合规。密钥生成方式、存储介质、生命周期管理均影响密评结果。
- SM2 密钥对必须由合规密码设备（如 USBKEY、服务器密码机）生成，禁止软生成后硬编码或 Base64 存入配置文件
- 证书申请时，Subject 中的
UID字段应填入符合《GMT 0015》要求的实体标识（如金融机构代码），而非通用域名 - 私钥文件（
.key）权限必须设为600，且所属用户应为专用运行账户（如nginx-gm），不得是 root - 建议将私钥托管至 HSM 或 KMS，Nginx 通过 PKCS#11 接口调用，彻底规避明文密钥落地
四、协同加密与业务层适配要点
Web 网关不能只管通道加密。金融业务常需字段级国密保护（如身份证号、卡号），这需应用层配合，Nginx 可通过模块做轻量预处理。
- 对请求体中指定字段（如
idCard），可用 ngx_http_sm4_module（第三方模块）进行 SM4-CBC 在线加解密，但仅限低频、小数据量场景 - 更稳妥做法是：Nginx 终止国密 HTTPS，将明文请求转发至上游服务；由上游 Java/Go 服务调用国密 SDK（如 BouncyCastle 国密版、GmSSL-JNI）完成 SM3 摘要、SM2 签名、SM4 加密
- 所有国密运算操作必须记录完整审计日志：包括算法类型、密钥 ID、输入摘要、执行时间戳，日志需防篡改并留存 ≥180 天
