引言：信创替换进入"合规驱动"新阶段
过去十年，企业选择国产中间件，往往基于成本、服务响应、本土化适配等商业考量。但从 2019 年等保 2.0 正式实施，到 2025 年《网络安全法》修正版落地，再到 2025 年 8 月即将施行的《关键信息基础设施商用密码使用管理规定》，信创中间件的选型逻辑已经发生根本性转变：
中间件信创替换，不再是一道选择题，而是一道合规必答题。
对于金融、能源、交通、医疗、政务等关键行业而言，应用服务器、消息中间件、缓存中间件等基础软件，是业务系统运行的"神经中枢"。如果这些核心组件仍运行在境外商业产品或未通过安全测评的系统之上，企业将面临三重风险：
- 法律合规风险：违反《网络安全法》《数据安全法》等上位法的强制性要求；
- 安全审计风险：在等保测评、密评、关基评估中无法通过；
- 业务连续性风险：境外产品供应链中断、安全漏洞无法及时修复、国产化适配缺失。
本文将从政策法规的视角，系统梳理中间件信创替换的合规依据，并结合技术实现路径，为企业提供可落地的选型参考。
一、五大政策法规，构建中间件信创合规底座
当前影响中间件选型的政策法规，可以概括为"一个基线、两个上位法、两个专项规"：
| 层级 | 政策法规 | 核心要求 | 对中间件的影响 |
|---|---|---|---|
| 基线标准 | 等保 2.0 | 分等级提出安全防护要求 | 应用服务器需满足对应等级的访问控制、审计、入侵防范要求 |
| 上位法 | 《网络安全法》（2025 修正版） | 核心业务系统禁止使用无国产适配的境外产品 | 直接限制境外中间件在关键系统中的使用 |
| 上位法 | 《数据安全法》 | 数据分类分级保护，加密存储和访问控制 | 中间件需支持数据加密传输、存储及细粒度权限管理 |
| 专项规 | 《商用密码应用安全性评估管理办法》 | 三级及以上等保系统强制国密合规 | 应用服务器必须支持国密算法（SM2/SM3/SM4） |
| 专项规 | 《关键信息基础设施商用密码使用管理规定》 | 关基运营者须使用商用密码保护数据传输和存储 | 关基范围内的中间件必须实现国密全栈支持 |
这五个文件不是孤立存在，而是形成了一个层层递进的合规框架：等保 2.0 划定安全基线 → 网安法/数安法确立法律强制力 → 密评办法和关基规定提出具体技术要求。
1.1 等保 2.0：中间件安全的"最低门槛"
《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019）于 2019 年 12 月 1 日正式实施。等保 2.0 将保护对象从传统信息系统扩展至云计算、移动互联、物联网、工业控制等新技术领域，同时对应用安全提出了更细化的要求。
对于中间件而言，等保 2.0 的核心要求包括：
- 身份鉴别：应用服务器应提供统一的身份认证机制，支持多因素认证；
- 访问控制：基于角色的访问控制（RBAC），最小权限原则；
- 安全审计：记录用户操作、系统事件、异常行为，审计记录留存时间不少于 180 天；
- 入侵防范：及时更新安全补丁，关闭无用端口和服务；
- 数据完整性/保密性：重要数据传输和存储应进行加密。
合规意义：如果企业的核心业务系统定级为三级或以上，其运行所依赖的中间件必须满足上述要求。境外传统中间件（如 WebLogic、WebSphere）虽然自身具备部分能力，但在国产芯片、国产操作系统、国密算法等适配层面存在天然短板，难以通过等保测评中的"安全可控"项。
1.2 《网络安全法》（2025 修正版）：境外产品的"禁令"
2025 年 10 月 28 日，《网络安全法》修正版正式施行。修正后的法律进一步强化了关键信息基础设施运营者的安全义务，明确提出：
核心业务系统禁止使用未完成安全测评、无国产适配的境外产品。
这一条款的法律效力极高，直接影响企业的采购决策。对于中间件而言，这意味着：
- 新建的关键业务系统，原则上不应再采购境外商业中间件；
- 已使用境外中间件的存量系统，需要制定迁移计划，逐步替换为通过安全测评的国产产品；
- "未完成安全测评"不仅指产品本身，还包括与国产 CPU、国产操作系统、国产数据库的联合适配测评。
实务影响：许多金融机构的原有核心系统建立在 WebLogic 或 WebSphere 之上，修正后的网安法意味着这些系统必须在可控时间内完成国产化替代，否则将面临监管处罚和业务整改压力。
1.3 《数据安全法》：中间件必须成为"数据保险箱"
2021 年 9 月 1 日施行的《数据安全法》，确立了数据分类分级保护制度，要求数据处理者对重要数据和核心数据采取更严格的保护措施。
中间件作为业务系统与数据库之间的"数据枢纽"，承担着大量敏感数据的流转。数据安全法对中间件的具体要求包括：
- 传输加密：应用服务器与客户端、数据库之间的通信应采用加密通道；
- 存储加密：中间件缓存的会话数据、配置信息、日志数据应加密存储；
- 访问控制：对数据的访问应基于最小权限原则，防止越权读取；
- 脱敏与审计：对涉及个人隐私和敏感业务的数据，中间件应具备脱敏和完整审计能力。
一个常被忽视的细节：许多中间件在运行过程中会缓存数据库连接池信息、用户会话 Token、业务日志等敏感数据。如果这些数据以明文形式存储在内存或磁盘上，即使数据库本身是加密的，依然构成数据泄露风险。
1.4 《商用密码应用安全性评估管理办法》：国密合规成为"硬杠杠"
2023 年 11 月 1 日施行的《商用密码应用安全性评估管理办法》（简称"密评办法"），对中间件行业的影响最为直接。该办法明确规定：
三级及以上等保系统，必须开展商用密码应用安全性评估，确保密码应用的合规性、正确性和有效性。
对于中间件产品，这意味着必须具备以下能力：
- 国密算法支持：全面支持 SM2（非对称加密）、SM3（哈希算法）、SM4（对称加密）等国密算法；
- 国密 SSL/TLS：支持基于国密证书的 SSL/TLS 安全通道；
- 国密数字签名：支持基于 SM2 的数字签名和身份认证；
- 密码资源管理：提供密钥生成、存储、更新、销毁的全生命周期管理。
关键判断标准 ：在密评中，如果应用服务器仅支持 RSA/AES/SHA 等国际算法，而不支持国密算法，将被判定为不合规。这也是近年来国产中间件纷纷将"全栈国密支持"作为核心卖点的原因。
1.5 《关键信息基础设施商用密码使用管理规定》：关基领域的"加码"
2025 年 6 月 11 日发布、2025 年 8 月 1 日施行的《关键信息基础设施商用密码使用管理规定》，将商用密码要求从"三级等保系统"进一步聚焦到"关键信息基础设施"。
该规定要求：
关键信息基础设施运营者必须使用商用密码保护数据传输和存储。
与密评办法相比，这一规定的约束力更强：
- 适用范围更广：不仅限于三级及以上等保系统，只要是关基运营者，其关键系统均需满足；
- 责任主体更明确：直接指向运营者，而非仅仅针对产品；
- 处罚力度更大：违反规定可能面临行政处罚乃至刑事责任。
对于金融、能源、交通、水利等关基行业的企业来说，这意味着中间件必须具备完整的商用密码能力，否则无法满足合规要求。
二、中间件为什么是合规的"关键节点"
理解了政策法规之后，下一个问题是：为什么中间件会成为合规审查的重点？
答案在于中间件在整个技术栈中的特殊位置。
2.1 中间件是"数据流动的必经之地"
在一个典型的三层架构中：
客户端 → 负载均衡 → 应用服务器（中间件）→ 数据库应用服务器处于承上启下的核心位置：
- 接收客户端请求，进行身份认证和权限校验；
- 执行业务逻辑，访问数据库和外部服务；
- 缓存会话数据、业务数据；
- 记录访问日志和操作日志。
可以说，所有敏感数据都会经过应用服务器。如果应用服务器本身不安全，上层的业务安全和下层的存储安全都会被打穿。
2.2 中间件是"密码应用的主要载体"
等保测评和密评中，大量考核项都集中在"应用和数据安全"层面，而这些能力往往由中间件提供：
| 密评/等保考核项 | 中间件对应能力 |
|---|---|
| 身份鉴别 | 统一认证、多因素认证、国密数字证书 |
| 访问控制 | RBAC/ABAC 权限模型 |
| 安全审计 | 操作日志、访问日志、异常行为记录 |
| 数据完整性 | 国密 HMAC/SM3 校验 |
| 数据保密性 | 国密 SSL/TLS、SM4 加密 |
| 不可否认性 | 国密数字签名 |
因此，中间件是否符合国密和等保要求，直接决定了上层业务系统能否通过测评。
2.3 中间件是"国产化适配的关键环节"
信创适配不是单一产品的问题，而是"芯片 + 操作系统 + 数据库 + 中间件 + 应用"的系统性工程。中间件处于承上启下的关键位置：
- 向下需要适配国产芯片（鲲鹏、飞腾、海光、龙芯、兆芯、申威）和国产操作系统（麒麟、统信、方德）；
- 向上需要支撑国产数据库（达梦、人大金仓、神通、南大通用、GaussDB）和业务应用；
- 横向需要与负载均衡、服务网关、消息队列等其他国产组件协同工作。
如果中间件无法完成国产化适配，整个信创技术栈就会出现"断点"。
三、国产中间件的合规能力图谱
企业在选择国产中间件时，应重点考察其在以下五个维度的合规能力：
3.1 信创适配完整度
| 适配对象 | 考察要点 |
|---|---|
| 国产芯片 | 是否支持鲲鹏、飞腾、海光、兆芯、龙芯、申威等主流国产 CPU |
| 国产操作系统 | 是否通过麒麟 V10、统信 UOS、方德等系统的兼容性认证 |
| 国产数据库 | 是否适配达梦、人大金仓、神通、南大通用、GaussDB 等 |
| 信创名录 | 是否进入信创工委会产品名录、央采目录 |
| 安全认证 | 是否通过等保、密评、商密产品认证 |
3.2 国密算法支持
| 能力 | 说明 |
|---|---|
| SM2 | 非对称加密，用于数字签名、密钥交换、身份认证 |
| SM3 | 哈希算法，用于数据完整性校验 |
| SM4 | 对称加密，用于数据传输和存储加密 |
| 国密 SSL/TLS | 基于国密证书的安全通信协议 |
| 密钥管理 | 密钥生成、存储、分发、更新、销毁的全生命周期管理 |
3.3 等保合规能力
| 能力 | 考察要点 |
|---|---|
| 身份鉴别 | 是否支持统一认证、LDAP/AD 集成、国密数字证书 |
| 访问控制 | 是否支持 RBAC/ABAC、细粒度权限控制 |
| 安全审计 | 是否支持操作日志、访问日志、日志留存和导出 |
| 入侵防范 | 是否支持安全基线检查、漏洞扫描、补丁管理 |
| 数据安全 | 是否支持传输加密、存储加密、数据脱敏 |
3.4 高可用与业务连续性
合规不仅是安全合规，还包括业务连续性合规。国产中间件应具备：
- 集群部署能力，支持主备、主从、多活等模式；
- 故障自动切换，RTO/RPO 满足业务要求；
- 数据备份与恢复机制；
- 灾难恢复预案支持。
3.5 迁移与兼容性
对于存量系统替换，中间件需要提供：
- 协议兼容：兼容 Jakarta EE/Java EE、JMS、JDBC 等标准协议；
- 应用迁移工具：支持从 WebLogic、WebSphere、Tomcat 等产品的迁移；
- 灰度切换能力：支持新旧系统并行运行，逐步切换；
- 配置兼容：降低应用改造工作量。
四、企业信创替换的实施路径
基于上述政策法规和技术要求，企业可以按以下四个阶段推进中间件信创替换：
阶段一：合规基线评估（1-2 个月）
- 系统定级：明确业务系统的等保定级（二级/三级/四级）和是否属于关键信息基础设施；
- 合规差距分析：对照等保 2.0、密评办法、关基规定，评估当前中间件产品的合规差距；
- 风险优先级排序：优先处理三级及以上等保系统、关基范围内的核心系统。
阶段二：产品选型与 POC 验证（2-4 个月）
- 编制选型标准：从信创适配、国密支持、性能、高可用、迁移成本、服务能力等维度建立评分表；
- 邀请供应商 POC：在国产化环境中部署候选产品，验证功能、性能和稳定性；
- 安全测评预审：邀请等保测评机构或密评机构进行预审，确保产品能满足测评要求；
- 商务谈判：综合考虑授权模式、服务费用、迁移支持等因素。
阶段三：迁移实施（3-12 个月）
- 制定迁移方案：明确迁移范围、时间表、回退机制；
- 应用改造：根据新中间件的接口差异，调整应用配置和代码；
- 数据迁移：迁移会话数据、配置数据、缓存数据；
- 灰度上线：先在非核心系统或测试环境上线，验证稳定后逐步扩大范围。
阶段四：合规测评与持续运营（长期）
- 等保测评：邀请测评机构进行正式测评，获取等保备案证明；
- 密评实施：三级及以上系统开展商用密码应用安全性评估；
- 关基评估：关键信息基础设施运营者按要求接受监管评估；
- 持续运营：定期进行安全巡检、漏洞修复、配置审计。
五、选型建议：以合规为导向，兼顾业务与安全
结合政策法规要求和企业实际，中间件信创替换应遵循以下原则：
原则一：合规能力是首要考量
在法规日益严格的背景下，合规能力应优先于性能、价格等商业因素。选择国产中间件时，首先要确认其是否具备：
- 全栈国密算法支持（SM2/SM3/SM4）；
- 国产芯片/操作系统/数据库适配认证；
- 等保、密评相关检测报告。
原则二：金融行业优先考察生产案例
对于金融、能源、交通等关键行业，应重点考察候选产品在同类客户中的生产环境案例。POC 测试可以验证功能，但只有生产环境的长期稳定运行才能证明产品的可靠性。
原则三：重视供应商的持续经营能力
中间件是基础设施软件，选型不仅是选产品，更是选长期合作伙伴。在供应商准入评估中，应纳入以下因素：
- 财务稳健性：上市公司背景、持续盈利、无退市风险；
- 研发投入：产品迭代节奏、技术创新能力；
- 服务体系：本地化交付团队、7×24 小时响应能力。
原则四：生态协同价值不容忽视
对于已有 ERP、PaaS 平台的企业，中间件与上层应用系统的协同能力可以显著降低集成成本和运维复杂度。统一账号、统一监控、统一运维，是长期运营效率的关键。
结语
中间件信创替换的背后，是中国信息安全治理体系不断完善的必然结果。等保 2.0 划定了安全基线，《网络安全法》和《数据安全法》提供了法律强制力，《商用密码应用安全性评估管理办法》和《关键信息基础设施商用密码使用管理规定》则提出了具体的技术要求。
对于企业而言，这不是一次简单的产品替换，而是一次系统性的安全升级。选择合适的国产中间件，不仅能够满足合规要求，更能为业务系统的长期安全稳定运行奠定基础。
在政策驱动和技术成熟的双重推动下，国产中间件已经走过了"能用"的阶段，正在向"好用""放心用"迈进。企业应抓住这一窗口期，主动规划、稳步实施，将合规压力转化为数字化转型的安全底座。
附录：政策法规速查表
| 政策/法规 | 实施时间 | 核心要点 | 对中间件的直接要求 |
|---|---|---|---|
| 等保 2.0 | 2019.12.01 | 分等级安全防护 | 身份鉴别、访问控制、安全审计、入侵防范、数据加密 |
| 《数据安全法》 | 2021.09.01 | 数据分类分级保护 | 数据传输和存储加密、访问控制 |
| 《商用密码应用安全性评估管理办法》 | 2023.11.01 | 三级及以上等保系统强制密评 | 支持 SM2/SM3/SM4 国密算法 |
| 《网络安全法》（2025 修正版） | 2025.10.28 | 核心业务系统禁用无国产适配的境外产品 | 必须采用通过安全测评的国产适配产品 |
| 《关键信息基础设施商用密码使用管理规定》 | 2025.08.01 | 关基运营者须使用商用密码保护数据 | 关基范围内的中间件必须实现国密全栈支持 |
作者简介：来自金蝶天燕技术团队，专注于国产中间件信创替代方案设计与落地，服务金融、政务、能源等行业客户。