必须用HSM而非文件权限或Vault，因HSM提供物理级隔离：私钥在芯片内生成且永不离开，所有密码运算在HSM内完成，具备自毁机制、TRNG及国密二级认证，审计日志满足等保三级和《密码法》要求。
直接把私钥文件放在 Nginx 服务器上，不符合金融级安全要求。核心原则是：私钥不能落地、不能出硬件、不能被软件读取。HSM 不是“加个插件”，而是重构密钥生命周期的起点。
为什么必须用 HSM 而不是文件权限或 Vault
文件权限（如 600）只能防误操作，挡不住已入侵系统的攻击者；HashiCorp Vault 可管密钥分发，但若最终仍写入磁盘或内存，就存在提取风险。HSM 提供的是物理级隔离：
- 私钥在 HSM 内部生成，从不离开芯片，连操作系统内核都不可见
- 所有签名/解密运算在 HSM 内完成，Nginx 只接收结果（如 TLS 握手中的数字签名值）
- 具备自毁机制、防侧信道攻击、真随机数发生器（TRNG），通过国密二级以上认证
- 审计日志精确到每次调用时间、IP、操作类型，满足等保三级和《密码法》留痕要求
Nginx 与 HSM 的集成方式（PKCS#11）
主流 HSM（如江南天安、阿里云密码机、Thales Luna）均支持标准 PKCS#11 接口。Nginx 不直接对接硬件，而是通过 OpenSSL 引擎桥接：
- 编译 Nginx 时启用 --with-http_ssl_module 并指定使用支持 PKCS#11 的 OpenSSL（如 GMSSL 或 OpenSSL 3.0+ 加载国密 Provider）
- 配置中不写 ssl_certificate_key /path/to/key.pem，而是：
ssl_certificate_key "engine:pkcs11";
ssl_engine pkcs11; - 通过 pkcs11:URI 定位密钥（例如："pkcs11:token=BankToken;id=%01;object=sm2_sign_key"），由 OpenSSL 引擎自动调用 HSM
- 签名证书（sign.crt）和加密证书（encrypt.crt）需分别加载，且 encrypt.key 必须由 HSM 托管用于 SM2 密钥协商
国密场景下的关键适配点
金融网关启用 SM2/SM3/SM4 时，HSM 不仅保护私钥，还承担协议层卸载任务：
- SSL 卸载：TLS 握手中的 SM2 签名、SM4 加解密全部由 HSM 执行，Nginx CPU 负载下降 40% 以上
- 双证书分离：HSM 中需分别创建两个密钥对象——一个用于身份认证（sign key），一个仅用于密钥交换（encrypt key），不可混用
- 证书链加载：Nginx 的 ssl_certificate 仍指向 PEM 格式证书链（含 sign.crt + encrypt.crt），但私钥引用完全脱离文件系统
- 双向认证（mTLS）支持：客户端证书校验由 Nginx 完成，而服务端 SM2 私钥签名全程在 HSM 内闭环，保障根信任不外泄
上线前必须验证的五项检查项
生产环境部署前，以下五点缺一不可：
- HSM 设备完成初始化并启用国密二级以上认证
- OpenSSL 已正确加载 PKCS#11 引擎，且能通过 openssl engine -t -c pkcs11 验证状态
- Nginx 启动时无 “failed to load engine” 或 “PKCS#11 URI not found” 类错误
- TLS 握手成功，且 openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 显示完整证书链与正确签名算法
- HSM 审计日志中可查到每次 TLS 握手触发的签名调用记录（含时间、源 IP、密钥对象 ID）
