概述

随着信息安全法规日益严格，如《网络安全法》《数据安全法》和等保三级的落实，前后端通信中的敏感数据必须在传输层之上再加一层“国产加密”，才能满足合规与防护需求。接下来将以 SM2 与 SM4 为核心，详细剖析前端请求、后端处理及响应加密的全流程，并附示例代码，帮助读者快速落地。

一、背景与法规要求

法规要求：
- 《网络安全法》《数据安全法》强调敏感数据加密存储与传输；
- 等保三级对“重要信息系统”提出应用层加密需求。
国产算法优势：
- SM2/SM4 系列为国家密码算法，已标准化并广泛验证；
- 与通用算法（AES/RSA）兼容，便于渐进式升级。

二、算法选型

算法	类型	作用	备注
SM2	非对称	用于交换对称密钥	安全性强、计算效率适中
SM4	对称	用于加密具体业务数据	性能优异，适合大数据量传输
AES	对称	兼容场景下的通用方案	跨平台生态良好，可做备用或过渡方案

三、核心流程

阶段	前端操作	后端操作
初始化	拉取后端 SM2 公钥	生成 SM2 密钥对，并提供公钥接口
请求发送	1. 生成随机 SM4 密钥 2. 用 SM4 加密业务数据 3. 用 SM2 公钥加密 SM4 密钥 4. 组装请求体	1. 用私钥解密获得 SM4 密钥 2. 用 SM4 解密业务数据 3. 业务处理
响应返回	—	1. 用 SM4 加密响应 JSON 2. 可选：用私钥再 SM2 加密 SM4 密钥 3. 返回密文
前端解析	1. (可选)用 SM2 公钥/私钥解密 SM4 密钥 2. 用 SM4 解密响应体	—

在这里插入图片描述

四、前端实现要点（伪代码）

公钥获取与存储

// 初始化时调用
async function fetchPublicKey() {const { data: { sm2PublicKey } } = await axios.get('/api/crypto/pubkey');// 建议存储在 Pinia 或 context 中store.commit('crypto/setPublicKey', sm2PublicKey);// 如需持久化，可选 localStoragelocalStorage.setItem('sm2PublicKey', sm2PublicKey);
}

一次性 SM4 密钥生成

import SM4 from 'sm-crypto/lib/sm4';function generateSM4Key() {// 16 字节随机密钥return window.crypto.getRandomValues(new Uint8Array(16)).join('');
}

业务数据与密钥加密

import SM2 from 'sm-crypto/lib/sm2';async function encryptRequest(payload) {const sm4Key = generateSM4Key();const sm2Pub = store.state.crypto.sm2PublicKey;const encryptedData = SM4.encrypt(JSON.stringify(payload), sm4Key);const encryptedKey = SM2.doEncrypt(sm4Key, sm2Pub);return { encryptedKey, encryptedData };
}

封装与发送

async function sendSecureRequest(api, payload) {const { encryptedKey, encryptedData } = await encryptRequest(payload);return axios.post(api, { key: encryptedKey, data: encryptedData });
}

五、后端实现要点(伪代码)

以 Spring Boot 为例：

推荐使用Interceptor，这里仅是演示

@RestController
@RequestMapping("/api/secure")
public class SecureController {@Value("${crypto.sm2.private-key}")private String sm2PrivateKey;@PostMapping("/process")public ResponseEntity<?> process(@RequestBody SecurePayload payload) {// 1. 解密 SM4 密钥String sm4Key = SM2.decrypt(payload.getKey(), sm2PrivateKey);// 2. 解密业务数据String json = SM4.decrypt(payload.getData(), sm4Key);BusinessRequest req = objectMapper.readValue(json, BusinessRequest.class);// 3. 业务处理...BusinessResponse resp = service.handle(req);// 4. 加密响应String respJson = objectMapper.writeValueAsString(resp);String encryptedData = SM4.encrypt(respJson, sm4Key);return ResponseEntity.ok(Map.of("data", encryptedData));}
}