调用C_GenerateKeyPair返回CKR_USER_NOT_LOGGED_IN问题及代码咨询

先看你提供的代码片段，这里面有几个明显的问题会导致C_GenerateKeyPair返回CKR_USER_NOT_LOGGED_IN（甚至可以说这个错误码是表象，根源在其他配置问题）：

using (Session session = slot.OpenSession(SessionType.ReadWrite)) {
session.Login(CKU.CKU_SO, "pin");
List publicKeyAttributes = new List();
publicKeyAttributes.Add(new ObjectAttribute(CKA.CKA_CLASS, CKO.CKO_SECRET_KEY));
publicKeyAttributes.Add(new ObjectAttribute(CKA.CKA_KEY_TYPE, CKK.CKK_RSA));
publicKeyAttributes.Add(new ObjectAttribute(CKA.CKA_CLASS, CKO.CKO_CERTIFICATE));
publicKeyAttributes.Add(new ObjectAttribute(CKA.CKA_CLASS, CKO.CKO_PRIVAT...

错误原因分析 #

• 密钥属性配置完全混乱：你在公钥属性列表里反复设置CKA_CLASS，一会儿指定成CKO_SECRET_KEY（密钥类型），一会儿又改成CKO_CERTIFICATE（证书类型），最后私钥的属性还没写完。PKCS#11驱动对密钥属性的合法性要求很高，这种混乱的配置会导致驱动内部处理失败，甚至会间接触发会话权限的校验错误，返回看似不相关的CKR_USER_NOT_LOGGED_IN。
• 登录身份可能不匹配：你用的是CKU_SO（安全管理员）身份登录，但很多PKCS#11设备的权限划分里，SO主要负责设备初始化、创建用户这类管理操作，生成普通密钥对应该用CKU_USER（普通用户）身份。如果设备不允许SO执行密钥生成，也会返回权限相关的错误。
• 会话状态可能异常：虽然你用了using块管理会话，但如果登录后到调用C_GenerateKeyPair之间有其他操作干扰了会话状态，或者驱动本身对读写会话的处理有问题，也可能导致权限校验失败。

解决办法 #

• 彻底修正密钥属性配置：C_GenerateKeyPair需要分别指定公钥和私钥的合法属性集，不能混在一起设置。给你一个正确的示例：

  using (Session session = slot.OpenSession(SessionType.ReadWrite))
  {
      // 用合适的身份登录，优先尝试CKU_USER
      session.Login(CKU.CKU_USER, "user_pin");
  
      // 公钥属性：必须是CKO_PUBLIC_KEY类型
      List<ObjectAttribute> publicKeyAttrs = new List<ObjectAttribute>
      {
          new ObjectAttribute(CKA.CKA_CLASS, CKO.CKO_PUBLIC_KEY),
          new ObjectAttribute(CKA.CKA_KEY_TYPE, CKK.CKK_RSA),
          new ObjectAttribute(CKA.CKA_ENCRYPT, true),
          new ObjectAttribute(CKA.CKA_VERIFY, true),
          new ObjectAttribute(CKA.CKA_WRAP, true),
          new ObjectAttribute(CKA.CKA_MODULUS_BITS, 2048) // 根据需求设置密钥长度
      };
  
      // 私钥属性：必须是CKO_PRIVATE_KEY类型
      List<ObjectAttribute> privateKeyAttrs = new List<ObjectAttribute>
      {
          new ObjectAttribute(CKA.CKA_CLASS, CKO.CKO_PRIVATE_KEY),
          new ObjectAttribute(CKA.CKA_KEY_TYPE, CKK.CKK_RSA),
          new ObjectAttribute(CKA.CKA_DECRYPT, true),
          new ObjectAttribute(CKA.CKA_SIGN, true),
          new ObjectAttribute(CKA.CKA_UNWRAP, true),
          new ObjectAttribute(CKA.CKA_SENSITIVE, true),
          new ObjectAttribute(CKA.CKA_EXTRACTABLE, false) // 是否允许导出私钥，按需设置
      };
  
      // 调用生成密钥对接口
      ObjectHandle pubKeyHandle, privKeyHandle;
      session.GenerateKeyPair(publicKeyAttrs, privateKeyAttrs, out pubKeyHandle, out privKeyHandle);
  }
  

• 确认并切换正确的登录身份：优先尝试用CKU_USER身份登录（需要设备已经创建了用户并设置了PIN），如果业务确实需要用SO身份，先查看设备的官方文档或PKCS#11驱动说明，确认SO是否具备生成密钥对的权限。
• 确保会话状态正常：登录后直接执行密钥生成操作，中间不要插入其他可能重置会话的代码；同时确认slot.OpenSession成功打开了读写会话（SessionType.ReadWrite），只读会话无法执行密钥生成这类修改操作。

内容的提问来源于stack exchange，提问作者TEngineer