Qt开发C++项目：如何实现RSA-SHA256证书文件签名？

我来帮你搞定这个问题——其实你要的功能用Qt自带的类就能实现，而且如果觉得Qt的方式有点绕，还有更省心的替代方案，下面给你一步步讲清楚：

先搞懂OpenSSL命令的本质 #

你用的openssl dgst -sha256 -out output.txt -sign certificate.pem input.txt命令，核心做了两件事：

1. 对input.txt的内容计算SHA-256哈希值
2. 用certificate.pem里的RSA私钥，对这个哈希值做RSASSA-PKCS1-v1_5签名（也就是你说的“掩码哈希值”操作）

Qt原生实现方案（推荐） #

Qt的QSslKey+QCryptographicHash组合就能完美实现这个逻辑，不需要额外依赖，代码如下：

步骤1：加载带私钥的PEM文件 #

注意：你的certificate.pem应该包含私钥块（比如-----BEGIN RSA PRIVATE KEY-----开头的内容），我们用QSslKey直接加载私钥：

#include <QSslKey>
#include <QFile>
#include <QCryptographicHash>

// 加载私钥
QFile keyFile("certificate.pem");
if (!keyFile.open(QIODevice::ReadOnly)) {
    qDebug() << "Failed to open private key file";
    return;
}
QSslKey privateKey(keyFile.readAll(), QSsl::Rsa, QSsl::Pem, QSsl::PrivateKey, ""); 
// 如果你的PEM有密码，最后一个参数填密码字符串

步骤2：计算输入文件的SHA-256哈希 #

用QCryptographicHash分块处理文件内容，避免一次性读大文件到内存：

// 计算文件SHA256哈希
QFile inputFile("input.txt");
if (!inputFile.open(QIODevice::ReadOnly)) {
    qDebug() << "Failed to open input file";
    return;
}
QCryptographicHash hash(QCryptographicHash::Sha256);
while (!inputFile.atEnd()) {
    hash.addData(inputFile.read(4096)); // 分块读取，适配大文件
}
QByteArray hashValue = hash.result();

步骤3：用私钥签名哈希值 #

QSslKey::sign方法默认使用RSASSA-PKCS1-v1_5算法，和OpenSSL命令的行为完全一致：

// 生成签名
QByteArray signature = privateKey.sign(hashValue, QCryptographicHash::Sha256);
if (signature.isEmpty()) {
    qDebug() << "Signature failed";
    return;
}

// 写入输出文件
QFile outputFile("output.txt");
if (outputFile.open(QIODevice::WriteOnly)) {
    outputFile.write(signature);
    outputFile.close();
}

补充说明 #

你提到的QSslCertificate::digest方法是用来计算证书本身的哈希（比如证书指纹），和文件签名没关系，所以不用纠结它~

更低成本的替代方案：直接调用OpenSSL命令行 #

如果你的加密操作占比极小，不想折腾代码，直接用QProcess调用OpenSSL命令是最省心的，完全和你熟悉的逻辑一致：

#include <QProcess>

QProcess opensslProcess;
opensslProcess.start("openssl", QStringList() 
    << "dgst" << "-sha256" 
    << "-out" << "output.txt" 
    << "-sign" << "certificate.pem" 
    << "input.txt");

// 等待命令执行完成
if (!opensslProcess.waitForFinished(30000)) { // 设置30秒超时
    qDebug() << "Command timed out";
    qDebug() << "Error:" << opensslProcess.readAllStandardError();
} else if (opensslProcess.exitCode() != 0) {
    qDebug() << "Command failed with code:" << opensslProcess.exitCode();
    qDebug() << "Error message:" << opensslProcess.readAllStandardError();
} else {
    qDebug() << "Signature generated successfully";
}

这个方案的优点是零学习成本，缺点是依赖目标平台上的OpenSSL命令行工具——跨平台的话，Windows下需要打包OpenSSL二进制，Linux/macOS一般自带。

不推荐的方案：直接集成OpenSSL库 #

如果必须用代码级集成OpenSSL，需要用到它的C API（比如EVP_SignInit_ex、EVP_SignUpdate等函数），但学习成本高，还要处理内存管理、上下文初始化等细节，对你的场景来说完全没必要，除非有特殊需求才考虑。

内容的提问来源于stack exchange，提问作者AAS.N