统信UOS系统须用原生SM4驱动层透明加密满足等保三级等合规要求；需确认CPU架构、系统版本、安装信创终端安全软件并启用国密模块；支持图形拖拽、命令行及策略自动三种SM4加密方式；验证需通过file/hexdump检测密文特征，并在授权终端内透明解密可用。
在统信UOS系统中对敏感文档、合同、图纸等文件实施国密算法加密，是满足等保三级、密评及信创合规的刚性要求。不依赖Windows生态的第三方工具，必须使用原生适配SM4算法且具备驱动层透明加密能力的信创终端安全管理软件。
确认系统与软件环境是否达标
打开终端，执行：uname -m 确认CPU架构为aarch64（鲲鹏/飞腾）、loongarch64（龙芯）或x86_64（兆芯/海光）；执行：cat /etc/os-version | grep -E "(Version|Major)" 验证系统版本不低于UOS 20 SP1（即内核≥5.10，glibc≥2.31）。
检查是否已部署信创终端安全管理软件：运行ps aux | grep -i "secclient\|tms"，若返回含/opt/uniontech/secclient路径的进程，则已安装；未安装需联系管理员获取国产化签名包，使用sudo dpkg -i secclient-uos-v3.2.1-sm4-amd64.deb安装（ARM版包名为-arm64.deb）。
【必须确保软件已启用国密模块】：默认安装后国密功能处于关闭状态，需进入软件主界面→右上角齿轮图标→「加密策略」→勾选「启用SM4透明加密」并点击「立即生效」，否则后续所有操作均无效。
对单个文件或文件夹启用SM4自动加密
方法一：图形界面拖拽启用（适合临时加密）
打开文件管理器，定位到目标文件或文件夹→右键→选择「加入加密保护」→在弹出窗口中选择「国密SM4（256位）」→点击「确定」。该操作会立即触发驱动层加密封装，文件图标右下角出现蓝色盾牌标识。
方法二：命令行批量启用（适合运维批量处理）
进入终端，切换至目标目录，执行：sudo /opt/uniontech/secclient/bin/secctl encrypt --sm4 --path /home/user/docs/report.docx。注意：路径必须为绝对路径，且用户需在secadmin用户组中（用groups命令验证）。
方法三：按策略自动加密（推荐生产环境长期使用）
进入信创终端安全管理软件→「策略中心」→「文件加密策略」→新建策略→设置「触发条件」为「路径包含 /home/user/contracts/」、「加密算法」选SM4、「密钥有效期」设为90天→保存后策略即时生效。此后在此路径下创建或保存的任何文件，保存瞬间即完成SM4加密，用户无感知。
验证加密结果与解密操作
第一步：确认文件已被SM4加密
在终端中执行：file /home/user/docs/report.docx，若返回内容含data而非Microsoft Word等明文标识，说明已加密；再执行：hexdump -C /home/user/docs/report.docx | head -n 2，前16字节应为乱码（非DOCX标准头50 4B 03 04），这是SM4加密的典型特征。
第二步：在授权终端内正常打开
双击该文件，信创终端安全管理软件后台自动调用SM4密钥解密并透传给WPS或LibreOffice，用户看到的是完整可编辑内容——这说明透明加密机制工作正常。
第三步：验证脱离环境不可读
将该文件拷贝至未安装该软件的UOS裸机或Windows电脑，用任意文本编辑器打开，内容全为不可读字节流；尝试用OpenSSL命令openssl sm4 -d -in report.docx -k <key> -pbkdf2</key>也无法解密——因为密钥由终端安全管理软件的国密加密芯片（如华大半导体HiHope SE）硬件托管，不落盘、不导出。
