必须替换底层密码库为Tongsuo或GMSSL等国密增强版OpenSSL，重新编译Nginx，并配置SM2双证书、TLCP协议及国密套件（如ECDHE-SM4-SM3）方可实现合规国密TLS握手。
要在 Nginx 上实现国密 TLS（即 TLCP 协议），核心不是“打补丁式启用 SM2/SM3/SM4”，而是替换底层密码库并重构 TLS 协议栈。SM9 不在当前主流国密 TLS 实现范围内（截至 2026 年 9 月，Nginx 生态中无成熟 SM9-TLCP 支持），实际落地以 SM2/SM3/SM4 为主。下面分关键环节说明如何改造：
必须用国密版密码库替代 OpenSSL
官方 Nginx 依赖标准 OpenSSL，不识别 SM2 签名、SM3 哈希或 SM4 加密套件。因此第一步是替换为支持国密的密码库分支：
- Tongsuo（铜锁）：蚂蚁集团开源，基于 OpenSSL 1.1.1+ 深度扩展，完整支持 SM2/SM3/SM4 及 TLCP 握手流程，生产环境推荐（如 Tongsuo 8.3.2+）
- GmSSL：历史更久，兼容性好，适合开发测试；GMSSL 3.1+ 已稳定支持 TLS 1.3 国密套件
- 不建议直接魔改 OpenSSL 源码——维护成本高、升级困难、易引入安全风险
编译 Nginx 时绑定国密库路径
配置阶段需显式指定国密库位置，让 Nginx 的 http_ssl_module 调用其 SSL 实现：
- 解压 Nginx 源码后，执行
./configure时加入：--with-openssl=/path/to/tongsuo \--with-cc-opt="-I/path/to/tongsuo/include" \--with-ld-opt="-L/path/to/tongsuo/lib -lcrypto -lssl" - 若遇到
ssl.h: No such file错误，需手动修正nginx/auto/lib/openssl/conf中的头文件与库路径引用 - 成功编译后，运行
nginx -V 2>&1 | grep -i openssl应显示 Tongsuo 或 GmSSL 路径
配置 TLCP 协议与双证书机制
国密 TLS（TLCP）强制要求签名与加密分离，不能复用同一对 SM2 密钥，必须提供两套证书：
-
签名证书（如
server_sign.crt+server_sign.key）：用于服务器身份认证和握手签名 -
加密证书（如
server_enc.crt+server_enc.key）：仅用于密钥交换（如 ECDHE-SM4 中的公钥加密） - Nginx 配置中需分别加载：
ssl_certificate /path/to/server_sign.crt;ssl_certificate_key /path/to/server_sign.key;ssl_certificate /path/to/server_enc.crt;← 注意：部分国密定制版 Nginx 支持ssl_certificate_enc专用指令
启用国密协议与密码套件
协议和套件必须严格匹配 TLCP 规范（GM/T 0024-2014），否则客户端无法协商成功：
- 协议仅启用国密 TLS 版本：
ssl_protocols TLSv1.1 TLSv1.2 TLSv1.3;（TLCP 对应 TLS 1.1/1.2/1.3 的国密语义变体） - 密码套件按优先级从高到低排列，必须包含且首推国密套件：
ssl_ciphers "ECDHE-SM4-SM3:SM4-SM3:TLS_SM4_SM3:TLS_SM4_SHA256"; - 禁用所有国际套件（如
!RSA:!AES:!SHA），避免降级到非国密通道
关于 SM9 的说明
SM9 是基于标识的密码算法（IBC），适用于轻量端或特定 PKI 场景，但当前 Nginx 生态（含 Tongsuo、GmSSL、openHiTLS）均未实现 SM9-TLCP 协议栈。若业务明确需要 SM9，需自行基于国密库开发 TLS 扩展层，或选用支持 SM9 的专用网关（如部分金融行业定制中间件），不建议在 Nginx 上强行集成。
