使用 RSA 实现软件许可证：原理解析与 Go 实践

为什么用 RSA 来做许可证（License）非常有意义？

答案是：非常有意义，这是目前行业内最标准、最安全的离线激活方案。

在没有非对称加密（如 RSA）之前，传统的软件注册码通常采用对称加密或简单的哈希算法（如 MD5）。这类方案最大的致命伤是：算法和密钥必须内置在软件里。黑客只需要对软件进行逆向工程（反编译），找出密钥和算法，就能自己写出一个“注册机”来无限生成激活码。

而 RSA（非对称加密） 完美解决了这个问题。它的核心优势是：即使黑客完全破解了你的客户端软件，拿到了里面的全部代码和密钥，他也无法制作出破解版的注册机。

什么是公钥和私钥？（通俗易懂的比喻）

传统的加密（对称加密）像一把锁，开锁和锁门都用同一把钥匙。如果你把钥匙塞进软件给用户，用户就能用这把钥匙自己去配锁。

RSA 非对称加密则有两把钥匙：一把叫“私钥”，一把叫“公钥”。

私钥 (Private Key) —— 相当于你的“物理母印”
- 只有你（开发者）拥有，严格保存在你的服务器或本地电脑上，绝不公开。
- 它的作用是签名（制作许可证）。你用私钥给授权信息（如：到期时间、用户ID、允许的最大CPU数）盖上一个谁也无法伪造的“数字钢印”。
公钥 (Public Key) —— 相当于“印章对照图”
- 完全公开，直接嵌入在发给客户的软件客户端代码里。
- 它的作用是验签（验证许可证）。客户端软件运行的时候，用公钥去对比许可证上的“钢印”。如果是用你的私钥盖的，验证通过，软件正常运行；如果是别人伪造的，验证失败。

核心逻辑：

私钥加密/签名的东西，只有公钥能解密/验证。
公钥只能用来验证，绝对无法反向推导出私钥。
因此，黑客在软件里只能拿到“公钥”（只能用来验证），没有你的“私钥”，他这辈子也做不出能通过验证的激活码。

RSA 许可证的具体工作流程

生成密钥对：你生成一对 RSA 密钥，私钥留在你的后台管理系统，公钥硬编码写入你的软件中。

用户购买：用户向你购买软件，你收集用户的授权信息，例如：

{
  "license_id": "LIC-2023-9982",
  "expire_date": "2025-12-31",
  "mac_address": "00:1A:2B:3C:4D:5E",
  "edition": "Pro"
}

生成许可证：你的后台系统将这个 JSON 文本用 私钥进行签名，生成一段 Base64 编码的签名字符串。将原始 JSON 和签名打包发给用户，这就是 License Key。
客户端运行：用户将 License Key 导入软件。软件启动时，用内置的 公钥验证签名。如果签名合法，再读取 JSON 里的 expire_date 和当前时间对比，或者校验 mac_address 是否匹配。全部通过则解锁对应功能。

Go 语言简易实现：生成与验证 License

下面是一个用 Go 实现的、无需任何第三方依赖的 RSA 签名与验证的极简逻辑：

package main

import (
	"crypto"
	"crypto/rand"
	"crypto/rsa"
	"crypto/sha256"
	"encoding/base64"
	"fmt"
)

func main() {
	// 1. 模拟生成 RSA 密钥对（实际开发中，密钥对生成一次后持久化保存）
	privateKey, err := rsa.GenerateKey(rand.Reader, 2048)
	if err != nil {
		panic(err)
	}
	publicKey := &privateKey.PublicKey

	// 2. 授权数据（License明文数据）
	licenseData := `{"user":"enterprise_customer","expire":"2026-12-31","edition":"Pro"}`

	// 3. 【服务端逻辑】用私钥对 License 数据进行签名
	hash := sha256.New()
	hash.Write([]byte(licenseData))
	hashed := hash.Sum(nil)

	// 使用私钥生成签名
	signatureBytes, err := rsa.SignPKCS1v15(rand.Reader, privateKey, crypto.SHA256, hashed)
	if err != nil {
		panic(err)
	}
	// 将签名转换为 Base64 字符串，方便用户复制
	signatureBase64 := base64.StdEncoding.EncodeToString(signatureBytes)

	fmt.Println("=== 服务端生成 ===")
	fmt.Println("License 数据:", licenseData)
	fmt.Println("生成签名:", signatureBase64)
	fmt.Println()

	// 4. 【客户端逻辑】客户端收到 licenseData 和 signatureBase64，用内置公钥进行验签
	clientSignatureBytes, _ := base64.StdEncoding.DecodeString(signatureBase64)

	clientHash := sha256.New()
	clientHash.Write([]byte(licenseData)) // 客户端自己计算收到的明文哈希
	clientHashed := clientHash.Sum(nil)

	// 客户端使用公钥验证签名
	verifyErr := rsa.VerifyPKCS1v15(publicKey, crypto.SHA256, clientHashed, clientSignatureBytes)
	if verifyErr == nil {
		fmt.Println("=== 客户端验证 ===")
		fmt.Println("√ 许可证验证成功！这是一份真实的、未被篡改的授权。")
	} else {
		fmt.Println("=== 客户端验证 ===")
		fmt.Println("× 许可证验证失败！数据可能被篡改，或使用了伪造的签名。", verifyErr)
	}
}

总结

使用 RSA 处理版权不仅有意义，而且是当下性价比最高、最安全的离线版权保护方案。它免去了复杂的在线激活服务器建设，只要软件内部公钥不泄露（实际上泄露了也没事，因为公钥本来就是公开的，只要私钥不丢），黑客就无法在不修改你软件二进制代码的前提下做出任何有效的注册机。