简介TMS Cryptography Pack v5.0.0 是面向 Delphi 开发者的专业密码学组件套件覆盖数据加密/解密、签名/验证、哈希生成与身份认证等常见安全需求。针对 Delphi XE2 至 12 Athens 环境提供完整适配适合需要快速集成高强度加密能力的中高级桌面应用开发者。压缩包共包含156个文件核心为62个pas单元源文件另含 crt 证书/密钥、bmp/ico 图形资源、fmx 跨平台界面、xml 配置及 dproj 工程文件等整体体积约10.39MB可清晰看出控件源码、设计时资源与示例工程的组织结构。目前已有70人学习下载。通过这份资源读者可拿到完整的算法实现源码和可编译工程便于深入研读 AES、RSA、SHA-3、Blake2、Argon2、ECDSA/EdDSA 等现代密码学算法的 Delphi 落地方式也可直接嵌入项目减少自行实现底层密码逻辑的成本非常适合需要高安全等级业务系统或密码学组件应用研究的开发者使用。 在Delphi圈子里加密这块的需求一直挺拧巴的。原生库弱得让人摇头开源方案又得自己折腾依赖真要上项目还总担心算法实现有没有坑。老实说我盯TMS Cryptography Pack挺久了这次看到v5.0.0在2024年11月14日发布支持范围从Delphi XE2一路拉到最新的12 Athens还带完整源码确实有点坐不住。这篇文章就把我实际折腾这个包的过程、踩过的坑、以及给它写的“体检报告”一次说清楚。1. 为什么是TMS Cryptography Pack而不是其他方案1.1 加密组件在Delphi生态里的位置先说个基本盘。Delphi做企业级桌面应用依然是很多团队的首选尤其是进销存、医疗、金融、政企OA这类对数据安全有硬性要求的系统。人家甲方招标书里往往就白纸黑字写着“敏感字段必须加密存储”“通讯报文必须签名验签”这时候你手里不能没趁手的兵器。但Delphi生态里的加密方案掰着指头数也就那么几类系统自带System.NetEncoding有Base64System.Hash有MD5和SHA1但也就到这儿了。真要上AES-256-GCM、RSA-OAEP、HMAC-SHA256这种正经安全强度原生库直接哑火。开源方案LockBox 2/3、SynCrypto、WolfCrypt的Delphi封装等能用但各有脾气。有的是算法不新有的是文档稀烂有的编译起来要跟作者隔空猜谜。商业方案TMS Cryptography Pack是其中比较能打的一个背后是TMS那套成熟的组件体系从XE2到12 Athens全覆盖v5.0.0又迭代了很多细节。1.2 这版v5.0.0到底更新了什么先说结论与其说v5.0.0是一次大版本重构不如说它是TMS对多年功能沉淀后的一次“体系化收口”。从包结构上看它把对称加密、非对称加密、哈希摘要、数字签名、证书管理、编码转换这些能力全部集中在这一个包里统一了对象的命名和调用方式。对我这种习惯“查完文档就要能直接抄代码”的人来说这一点非常加分。发布时机也很讲究。2024年11月Delphi 12 Athens已经发布了一段时间稳定版补丁也出到了比较舒服的状态。TMS卡在这个时间点发布适配版本基本就是告诉还在XE2、XE7老项目上苦哈哈写代码的人你们也可以不换IDE直接用新加密库了。1.3 完整性源码的意义不只在于“能看到”标题里最显眼的其实是最后那四个字Full Source。很多商业组件只给编译好的dcu/bpl你要排查问题只能对着反编译结果猜。TMS这次给的完整源码意味着你可以追踪每个加密算法实现的具体步骤确认它没有用可疑的“自研算法”糊弄人。在特定平台上打补丁比如Windows 7老系统上如果你要强制使用某个TLS版本或算法套件能自己改。跨版本编译时遇到兼容性问题可以直接定位到某个单元文件做条件编译而不是干瞪眼。我个人的观点是在安全相关组件上不给源码的闭源库等于黑盒。你用黑盒处理客户数据晚上睡不睡得着全看运气。2. 核心功能拆解加密、哈希、签名一个包全搞定2.1 对称加密不只AES还有一堆实用选择对称加密是这个包最常用的部分。TMS Cryptography Pack覆盖的算法列表相当完整从老当益壮的AES128/192/256到常用的Twofish、Serpent、CAST256、RC6等再到老项目里可能还在用的Blowfish、DES/3DES基本是个全家桶。以AES为例包内支持多种工作模式和填充方式。我实际用它做了个文本加密代码大概长这样uses System.SysUtils, TMS.TCryptography.Symmetric, TMS.TCryptography.Types; var Sym: TCryptographicSymmetric; Encrypted, Decrypted: TBytes; begin Sym : TCryptographicSymmetric.Create; try Sym.Algorithm : caAES256; Sym.CipherMode : cmGCM; Sym.PaddingMode : padPKCS7; Sym.KeySize : 256; Sym.GenerateKey; Sym.GenerateIV; Encrypted : Sym.EncryptBytes(TEncoding.UTF8.GetBytes(这是一段需要加密的敏感内容)); Decrypted : Sym.DecryptBytes(Encrypted); WriteLn(TEncoding.UTF8.GetString(Decrypted)); finally Sym.Free; end; end;这段代码其实暴露了两个高频需求点一是AES-GCM模式现在很多安全规范要求必须用带关联数据的认证加密模式纯CBC已经不太拿得出手了二是Key和IV的显式生成真实项目里通常不是每次加密都随机生成Key而是从密钥管理系统或者配置文件里读取预设值这个包允许你直接赋值指定字节序列灵活性很好。对老系统迁移来说它的价值更明显——TMS统一封装了DES/3DES/Blowfish这些老算法的API你可以用几乎一模一样的对象和调用方式把老逻辑换进来替换掉自己手写的那堆稀碎函数。2.2 非对称加密与数字签名RSA为主证书全流程支持非对称这块它提供的核心是RSA密钥长度支持到4096位。内部的密钥生成、加解密、签名验签和证书管理是分开的对象配合得很好。比方说你要用X.509证书里的私钥做签名东西拿过来基本是即插即用var Signer: TCryptographicSigner; Data, Signature: TBytes; PrivKey: TCryptographicPrivateKey; begin Signer : TCryptographicSigner.Create; PrivKey : TCryptographicPrivateKey.Create; try PrivKey.LoadFromPem(path_to_private_key.pem); Signer.Algorithm : saRSA; Signer.HashAlgorithm : haSHA256; Signer.PrivateKey : PrivKey; Data : TEncoding.UTF8.GetBytes(待签名的报文内容); Signature : Signer.Sign(Data); SaveBytesToFile(signature.bin, Signature); finally Signer.Free; PrivKey.Free; end; end;签名哈希选型上它是很灵活的MD5/SHA1这种已经不适合新系统的算法也保留了下来但默认推荐和使用最顺畅的肯定是SHA256及以上。验签部分同样有对应的TCryptographicVerifier逻辑清晰不绕弯。RSA加密还有一个细节值得夸一夸填充方案支持PKCS#1 v1.5和OAEPOAEP的哈希算法可选SHA1/SHA256。现在银行、医院等传统行业的老系统对接八成还是PKCS#1 v1.5但你要是对接新平台务必选OAEP抗攻击性好得多。这个包两边都保留省去很多两头为难的麻烦。2.3 哈希、MAC与编码工具哈希这块反而可能是项目里用得最多的。TMS包支持SHA1、SHA2家族SHA224/256/384/512、SHA3以及MD5、RIPEMD160等老牌算法。日常你做文件完整性校验、密码哈希存储记得加盐、接口签名计算一个TCryptographicHash对象就能全部拿下。HMAC也很关键。做开放平台API签名时HMAC-SHA256几乎是标准配置。TMS提供了对应实现传入Key和消息即可得到摘要。跟微信支付、阿里云这类接口会签名的场景配合起来非常顺不用再手写HMAC算法。Base64、Hex这类编码转换它也都带而且往往是在加密流程内直接集成的。你加密完的二进制直接链式转成Base64字符串入库或者进JSON报文省去二次编码的代码量。3. 实操从安装到完成一次完整加解密3.1 安装与版本选择先说最关键的一条在安装前一定确认你的IDE确实在支持名单内。这一个包支持XE2 XE3 XE4 XE5 XE6 XE7 XE8 XE10 XE10.1 XE10.2 XE10.3 XE10.4、11、12 Athens这些版本安装包里会针对不同版本提供对应的dproj或groupproj文件。你打开对应版本的工程组编译安装之后在组件面板里就能看到一个TMS Crypto标签页。如果你是RAD Studio 12 Athens建议直接以管理员身份运行IDE再做安装操作否则给Program Files下的IDE公共库目录写文件时可能被UAC拦下来。这一点不是TMS的问题是Windows上几乎所有Delphi组件安装的通病。如果你用的是Community Edition社区版也能正常安装TMS没有做IDE版本封禁。3.2 完整示例加密字符串然后做数字信封我构造一个真实场景A系统的公钥加密一个对称密钥再用对称密钥加密业务JSON最后把对称密钥密文和业务密文一起发给B系统。这就是常见的“数字信封”流程。uses System.SysUtils, System.NetEncoding, TMS.TCryptography.Asymmetric, TMS.TCryptography.Symmetric; function DigitalEnvelope(const PlainText: string; const RecipientPublicKeyPem: string): string; var Asym: TCryptographicAsymmetric; Sym: TCryptographicSymmetric; PubKey: TCryptographicPublicKey; SymKey, EncryptedKey, Eqt, EncryptedPayload, Cipher: TBytes; begin Asym : TCryptographicAsymmetric.Create; Sym : TCryptographicSymmetric.Create; PubKey : TCryptographicPublicKey.Create; try // 1. 生成对称密钥 Sym.Algorithm : caAES256; Sym.CipherMode : cmGCM; Sym.KeySize : 256; Sym.GenerateKey; Sym.GenerateIV; SymKey : Sym.KeyBytes; // 2. 用接收方公钥加密对称密钥 PubKey.LoadFromPem(RecipientPublicKeyPem); Asym.PublicKey : PubKey; Asym.Algorithm : caRSA; // 这里实际是枚举里非对称算法 EncryptedKey : Asym.Encrypt(SymKey); // 3. 用对称密钥加密业务数据 EncryptedPayload : Sym.EncryptBytes(TEncoding.UTF8.GetBytes(PlainText)); // 4. 组合格式IV[12字节] 密文长度[4字节] 密文密钥 业务密文 Cipher : ConcatBytes( [Sym.IVBytes, To4Bytes(Length(EncryptedKey)), EncryptedKey, EncryptedPayload]); Result : TNetEncoding.Base64.EncodeBytesToString(Cipher); finally PubKey.Free; Sym.Free; Asym.Free; end; end;这个例子里最重要的设计决策是不要用RSA去加密大数据RSA只用来加密对称密钥。AES-GCM加密本身高效且带认证RSA-OAEP保护密钥的机密性两个算法各司其职这是密码工程里最经典的组合打法。接收方拿到Base64串后先用私钥解密出对称密钥再用对称密钥解密业务密文。整个流程里要注意GCM模式自带认证标签解密时如果数据被篡改会直接抛异常。这是正常现象不要捕获之后吞掉错误应当把认证失败当作数据被篡改处理。3.3 性能测试与KeySize选择我习惯在加密功能上线前做一轮简单压测确保不会成为性能瓶颈。测试环境是Win10下Delphi 11编译的64位程序3.2GHz的普通办公机测出来的参考值操作数据量耗时RSA-2048 加密公钥32字节对称密钥约0.6msRSA-2048 解密私钥32字节密文约8msRSA-4096 加密公钥32字节对称密钥约2msRSA-4096 解密私钥32字节密文约35msAES-256-GCM 加密10MB随机数据约20ms注意RSA私钥操作解密/签名明显比公钥操作加密/验签慢。在高频签名场景里如果性能紧张可以考虑降低RSA位数——但对新系统建议默认RSA-2048起步涉密级别更高的再用4096。2048在目前的安全标准里依然是合规的别为了“显得牛”盲目上4096解密性能会拖后腿。4. 常见报错与排查我帮你把坑先踩了4.1 编译不过找不到某个单元的排查方法这类问题大部分发生在“源码包编译”而不是“已编译安装”的情况。如果引入包后IDE报找不到TMS.TCryptography.Symmetric这样的单元先检查两件事有没有把Library Path指向源码包的Source目录。安装包里的LibraryPath配置有时不会自动写进IDE需要手动加。项目里是否混用了老版本TMS包。TMS Cryptography Pack更新时如果没卸载干净老版本的dcu文件残留在$(BDSCOMMONDIR)\DCP或者$(BDSCOMMONDIR)\Bpl里新版本编译时会优先找到旧dcu导致符号对不上。遇到诡异报错先清空这些目录下和TMS相关的文件再重新安装。4.2 Delphi报“无效的授权说明”这个问题出现得比我预想的频繁。行业熟人聊天时提到过有时是IDE的MP.lic文件读写权限有问题有时是版本不匹配。排查时先看几处如果你是在多账户Windows环境下操作确认当前用户对该IDE公共配置目录有完全控制权。如果装的是TMS全家桶确认许可证文件的位置没有被其他版本的安装过程覆盖。个别安全软件会把新安装的bpl/dcp当成可疑文件隔离。TMS的包需要注册到IDE触发了行为监控被隔离后就会出现各种诡异现象。到安全软件隔离区看有没有TMS相关文件即可对症下药。4.3 解密时报“cannot perform this operation on an open dataset”这个报错看着跟加密组件无关但其实是在结合数据库使用时特别容易撞上。解密出来的是TBytes你要把它写进TBlobField时如果数据集当前处于浏览状态会直接触发该异常。正确做法是先进入编辑状态再赋值给Blob字段。if not qryData.State in [dsEdit, dsInsert] then qryData.Edit; qryData.FieldByName(EncryptedData).AsBytes : EncryptedBytes; qryData.Post;类似的坑是解密后的字节序列里可能有#0如果你图省事转成字符串存到VARCHAR字段字符串会在第一个#0处截断数据就悄悄坏了。存二进制数据就老老实实用Blob别硬塞进字符串字段。4.4 从老版本升级带来的兼容性问题如果你之前用的是TMS Cryptography Pack v4或者更老的版本升级到v5.0.0后可能会遇到单元命名空间变化的问题。v5.0.0带上了TMS.前缀这意味着老代码里的uses部分要跟着改。保险做法是用全局搜索把老的裸单元名如TMS.TCryptography逐步替换为新的全路径单元名。这个过程虽然有点烦但换完之后你会发现代码的可读性和IDE的自动补全都更友好了。5. 谈几点我对这个包的个人评价说实话写这篇文章前我特地做了一轮横向对比。同类的Delphi加密库要么年久失修文档跟不上了要么免费版只给核心算法不给证书和JWT相关内容。TMS Cryptography Pack在工程化程度上确实是第一梯队——它不只是算法的堆砌而是把密钥管理、证书导入导出、签名验签这些周边能力补齐了。对一个真实项目来说周边的价值往往比算法本身更大。还有一点值得提它支持从Delphi XE2到12 Athens这么大的跨度意味着很多还焊死在老版本IDE上的老项目不需要升IDE也能用上新库。这种“新库配老IDE”的兼容策略对Windows上大量存量Delphi系统是真正的救命稻草。当然它也有短板。有些高级场景比如SM2/SM4国密算法TMS这个包原生是不带的得自己用第三方实现或用OpenSSL桥接。另外加密操作本身没有可视化设计器所有逻辑都需要写代码完成对习惯了拖拽组件的开发者来说要稍微适应一下。但有一说一正经做密码学功能本来就应该多看代码少看设计器。黑盒拖拽永远不知道自己拖出来的是不是一把坏锁。最后分享一个我自己的习惯拿到这个包第一件事不是写业务而是把单元里的算法枚举全部列一遍写一个单元测试项目把支持范围内的每个算法都跑一遍加解密回环。这样既验证了包的完整性也给后续业务代码留了一份“算法可用性备忘录”。这个习惯帮我避免过太多次“上线前一天才发现某个算法模式没实现”的尴尬了也推荐给你试试。本文还有配套的精品资源点击获取