用途：在自有或授权系统上开展抗量子密码迁移工程，覆盖密码资产盘点、优先级排序、混合后量子密钥交换部署与 PQC 证书签发验证。
主要能力：确认 OpenSSL 是否提供 ML-KEM、ML-DSA、SLH-DSA 及混合组；用 cbomkit-theia 或 cdxgen 生成 CycloneDX CBOM；枚举 TLS 算法与证书签名算法；按 Mosca 不等式（数据寿命+迁移时间>CRQC 年限）对 HNDL 暴露排序；生成 ML-KEM-768、ML-DSA-65 密钥；签发 ML-DSA 自签证书；用 ML-DSA 签名并验证；在 TLS 1.3 上强制 X25519MLKEM768 混合组；在 NGINX 等终结器配置混合组并保留经典回退；建立密码敏捷与轮换计划。
必要用法：先执行 openssl version 确认 3.5.0+，并用 openssl list -kem-algorithms | grep -i mlkem 与 openssl list -signature-algorithms | grep -i mldsa 检查算法。OpenSSL 3.0–3.4 需安装 liboqs 与 oqs-provider，并在 openssl.cnf 中激活 oqsprovider。生成密钥示例：openssl genpkey -algorithm ML-KEM-768 -out mlkem768.key；openssl genpkey -algorithm ML-DSA-65 -out mldsa65.key。测试混合组：openssl s_server -accept 4433 -www -tls1_3 -cert mldsa65.crt -key mldsa65.key -groups X25519MLKEM768，客户端用 openssl s_client -connect localhost:4433 -tls1_3 -groups X25519MLKEM768。
适用场景：企业 CBOM 建设、HNDL 敏感数据迁移排序、TLS/VPN/SSH 端点混合 PQC 启用、PQC/混合证书签发与签名验证、密码敏捷评估。
限制：仅限授权系统，扫描可能触及敏感密钥与生产流量，须遵守变更管理与数据处理政策；具体平台支持、性能与兼容性资料未提供；旧客户端需保留经典回退。