Hutool项目中SM2加密空字符串导致的线程阻塞问题分析

问题背景

在使用Hutool工具库的SM2加密功能时，开发者发现当传入空字符串("")进行加密操作时，程序会出现线程阻塞现象，且该线程无法被释放。这个问题从Hutool 5.6.6版本一直持续到5.8.32版本都存在，给线上系统带来了严重的影响。

问题现象

当执行以下代码时：

@Test
public void testHutoolSm2(){
    final SM2 sm2 = new SM2();
    String encryptHex = sm2.encryptHex("", KeyType.PublicKey);
    log.info("encryptHex:{}", encryptHex);
}

程序会陷入无限等待状态，线程状态保持为RUNNABLE但无法继续执行后续操作，也无法自动释放资源。

根本原因分析

经过深入排查，发现这个问题实际上与底层依赖的Bouncy Castle(BC)加密库版本有关。在较老版本的BC库(如1.69及以下)中，SM2加密实现存在缺陷：

1. 老版本BC库没有对空输入进行校验，直接进入加密计算流程
2. 在后续的数学运算(特别是平方计算)中，由于空输入导致计算进入死循环
3. 没有抛出任何异常，线程被永久阻塞

而在较新版本的BC库(如1.71及以上)中，这个问题已经被修复：

1. 新增了输入长度校验
2. 对于空输入会抛出DataLengthException异常
3. 程序可以正常处理异常情况而不会陷入死循环

解决方案

要解决这个问题，开发者可以采取以下措施：

1. 升级Bouncy Castle库版本：将依赖的BC库升级到1.71或更高版本

   <dependency>
     <groupId>org.bouncycastle</groupId>
     <artifactId>bcprov-jdk15to18</artifactId>
     <version>1.78</version>
   </dependency>
   

2. 在业务代码中添加空字符串校验：在调用加密方法前，先判断输入是否为空

   if(StringUtil.isNotEmpty(input)){
       sm2.encryptHex(input, KeyType.PublicKey);
   }
   

3. 保持Hutool库最新版本：虽然Hutool本身不是问题的根源，但使用最新版本可以获得更好的兼容性和稳定性

经验总结

1. 加密操作的特殊性：加密算法对输入数据通常有严格要求，开发者应该充分了解这些限制
2. 依赖库版本管理：加密相关的库更新频繁且重要，应该定期检查并更新依赖版本
3. 防御性编程：对于关键操作，应该添加必要的参数校验，而不是完全依赖底层库的校验
4. 异常处理：对于加密等敏感操作，应该添加完善的异常处理机制

最佳实践建议

1. 在项目中建立加密工具类，统一处理各种边界情况
2. 编写单元测试覆盖各种异常情况，包括空输入、超长输入等
3. 在项目文档中明确记录加密功能的使用限制和注意事项
4. 定期检查加密相关组件的安全公告和更新日志

通过这次问题的分析和解决，我们不仅修复了一个具体的技术问题，更重要的是加深了对加密操作和依赖管理的理解，为今后开发更健壮的加密功能打下了基础。