PKCS11中使用RSA私钥加密哈希值应采用何种机制与函数

你对CKM_SHA256_RSA_PKCS机制的判断完全正确：

• 该机制属于哈希+签名一体化机制，调用C_Sign()时传入的参数会被当做原始待签名数据，HSM内部会自动执行SHA256哈希、PKCS#1 v1.5签名填充、私钥运算全流程。你传入已经算好的32字节SHA256哈希值，会被HSM当做原始数据再做一次SHA256，最终签名结果完全不符合验签要求，不能用。

你提到的C_Encrypt(CKM_RSA_PKCS, privateKeyHandle, hashBytes)方案完全不可行，原因有两个：

• PKCS#11对机制和密钥类型的匹配有强校验：CKM_RSA_PKCS机制的加密（C_Encrypt）操作仅支持RSA公钥句柄，传入私钥句柄会直接返回CKR_KEY_TYPE_INCONSISTENT错误，HSM会直接拒绝操作。
• 就算绕过权限校验，结果也不合法：RSA加密用的PKCS#1 v1.5填充格式和RSA签名用的PKCS#1 v1.5填充格式完全不同，加密填充的块类型是0x02，签名填充的块类型是0x01，最终生成的结果无法通过PAdES/CAdES的标准验签流程。

针对你已经拿到32字节SHA256哈希、只需要做RSA私钥签名运算的场景，根据你使用的签名填充格式不同，选对应机制和函数即可，所有签名操作统一使用C_Sign()系列函数，不要用C_Encrypt()做签名：

1. 如果你用的是PAdES/CAdES最常用的RSASSA-PKCS1-v1_5填充（绝大多数默认场景）：
   • 先手动构造SHA256对应的DigestInfo DER结构：固定19字节前缀0x30 0x31 0x30 0x0D 0x06 0x09 0x60 0x86 0x48 0x01 0x65 0x03 0x04 0x02 0x01 0x05 0x00 0x04 0x20拼接你拿到的32字节SHA256哈希，总长度51字节。
   • 调用C_SignInit()，传入会话句柄、私钥句柄、机制CKM_RSA_PKCS，不需要额外机制参数。
   • 把上面拼好的51字节DigestInfo数据传入C_Sign()，输出的就是符合标准的RSA签名值。
   • 补充：部分厂商HSM提供了CKM_SHA256_RSA_PKCS_RAW类的自定义机制，可以直接传入32字节SHA256哈希，不需要自己拼DigestInfo，你可以查所用HSM的PKCS#11手册确认是否支持，能省掉手动拼结构的步骤。
2. 如果你用的是RSASSA-PSS填充（部分高安全等级场景要求）：
   • 调用C_SignInit()时使用机制CKM_RSA_PKCS_PSS，机制参数里指定哈希算法为CKM_SHA256、掩码生成函数为CKG_MGF1_SHA256、盐长度为32字节。
   • 直接把32字节SHA256哈希传入C_Sign()即可，HSM内部会自动完成PSS填充和私钥运算，输出符合标准的PSS签名值。

注意：不要使用CKM_RSA_X_509机制做这个操作，该机制是无填充的原始RSA运算，不会自动加PKCS#1要求的签名填充块，生成的结果不符合签名标准。

内容的提问来源于stack exchange，提问作者user1912383