自定义 Provider 是 Java 安全体系中扩展算法支持的核心机制，适用于集成国密算法、替换随机源、强约束参数或统一审计拦截；需继承 Provider 类、注册算法与 SPI 实现，并通过静态或动态方式加载。
Provider 类是 Java 安全体系的核心组件之一，本质是一个算法实现的“供应商注册表”。它不直接执行加解密或签名，而是向 Security 框架声明：“我支持 SHA-256、AES/GCM、ECDSA 等算法，并能提供对应的服务实例”。自定义 Provider 的关键，不是重写全部逻辑，而是精准控制三个环节：注册时机、算法声明、服务实例生成。
明确自定义 Provider 的适用场景
多数项目无需自定义 Provider。只有当出现以下情况时才值得投入：
- 需要集成国密 SM2/SM4/SM3 算法，而 JDK 原生不支持（如 Oracle JDK 8/11）
- 需替换默认随机数源（
SecureRandom），例如对接硬件加密机生成真随机数 - 要求算法参数强约束（如强制 AES 必须使用 GCM 模式 + 12 字节 IV）
- 审计要求所有密码操作必须打日志或触发回调，需在 Provider 层统一拦截
继承并实现 Provider 子类
自定义 Provider 需继承 java.security.Provider，并在构造函数中完成基本信息注册：
- 调用
super("MyCryptoProvider", 1.0, "Custom crypto provider")设置名称、版本、描述 - 用
put("Algorithm.AlgorithmName", "com.example.MyAlgorithmImpl")注册算法类全限定名 - 若提供
SecureRandom实现，需注册put("SecureRandom.MyRNG", "com.example.MySecureRandomSpi") - 可选：调用
put("Property.Name", "value")添加自定义属性供运行时读取
注意：算法类（如 MyAlgorithmImpl）必须继承对应 SPI 类（如 MessageDigestSpi 或 CipherSpi），不能直接实现接口。
让 JVM 加载你的 Provider
Provider 注册后需被 Security 框架识别，有两类方式：
-
静态注册：编辑
$JAVA_HOME/jre/lib/security/java.security，在security.provider.N列表末尾追加一行：security.provider.9=MyCryptoProvider（N 取未被占用的序号） -
动态注册：在应用启动时执行
Security.addProvider(new MyCryptoProvider())；此方式更灵活，适合容器化部署或测试环境
验证是否生效：调用 Security.getProviders() 查看列表，或用 MessageDigest.getInstance("SM3", "MyCryptoProvider") 显式指定名称获取实例。
Service 层的可控扩展点
Provider 内部通过 Service 对象暴露算法能力。若需细粒度控制（如根据上下文切换密钥派生策略），可在自定义 Provider.Service 子类中重写 newInstance() 方法：
- 该方法返回具体算法实现对象（如
CipherSpi实例） - 可在此注入 Spring Bean、读取 ThreadLocal 上下文、检查系统属性等
- 避免在
newInstance()中做耗时操作，否则会影响高频密码调用性能
例如：返回不同 CipherSpi 实现，一个走软件 AES，一个通过 JNI 调用国密芯片驱动。
