Matter SDK 开发工具全景指南：从证书签发、SpaKE2P 参数生成到内存分析与产线工厂数据（connectedhomeip 实践）-开发者社区

Matter SDK 开发工具全景指南：从证书签发、SpaKE2P 参数生成到内存分析与产线工厂数据（connectedhomeip 实践）

【免费下载链接】connectedhomeipMatter (formerly Project CHIP) creates more connections between more objects, simplifying development for manufacturers and increasing compatibility for consumers, guided by the Connectivity Standards Alliance.项目地址: https://gitcode.com/GitHub_Trending/co/connectedhomeip

Matter SDK（connectedhomeip）为开发、调试、量产三个阶段提供了完整的命令行工具链。本文以 docs/tools/index.md 为骨架，系统梳理 C++ 工具（chip-cert、spake2p）与 Python 工具（内存分析、NXP/Silabs/Telink 产线工具）的构建方式、全部命令参数、典型用法及源码实现原理，并给出仓库内可直接验证的示例路径，帮助你在 Matter 设备的调试、测试与量产准备中按图索骥。

一、工具总览：C++ 工具与 Python 工具

Matter SDK 的工具分两大类，源码位置也严格分开：

类别	源码目录	典型工具
C++ 工具	src/tools	`chip-cert`（证书工具）、`spake2p`（SpaKE2P 参数工具）
Python 工具	scripts/tools	内存分析脚本、NXP/Silabs/Telink 产线与 OTA 工具

其中 C++ 工具由 GN 构建系统编译为宿主平台（host）二进制，是设备证书体系与配对凭证生成的基石；Python 工具则多基于这些二进制二次封装，服务于内存优化、固件镜像打包与工厂数据写入等更上层的工程场景。

二、C++ 工具：chip-cert —— Matter 证书签发与操作工具

chip-cert是用于生成和操作 Matter 运营（operational）证书、认证（attestation）证书及测试用私钥的 CLI 工具，源码位于 src/tools/chip-cert。其命令处理器覆盖：生成 CHIP 证书、转换证书格式、转换私钥格式、校验证书链或 PDC 身份、重签证书、打印证书、生成认证证书、生成/打印证书声明（CD）。

2.1 构建 chip-cert

运行gn_build.sh时会顺带构建该工具；单独构建只需：

. ./scripts/activate.sh gn gen out/host ninja -C out/host chip-cert ./out/host/chip-cert help

查看全局用法用./chip-cert help，查看单个子命令参数用./chip-cert gen-cert --help。

2.2 运营证书操作实战

1. 生成根证书（Root CA）与私钥：

./chip-cert gen-cert --type r --subject-chip-id CACACACA00000001 --valid-from "2020-10-15 14:23:43" --lifetime 7305 --out-key Chip-Root-Key.pem --out Chip-Root-Cert.pem --out-format x509-pem

2. 用根证书签发中间 CA（ICA）证书与私钥：

./chip-cert gen-cert --type c --subject-chip-id CACACACA00000002 --valid-from "2020-10-15 14:23:43" --lifetime 7305 --ca-key Chip-Root-Key.pem --ca-cert Chip-Root-Cert.pem --out-key Chip-ICA-Key.pem --out Chip-ICA-Cert.pem --out-format x509-pem

3. 用 ICA 签发多个节点（Node）证书：

./chip-cert gen-cert --type n --subject-chip-id DEDEDEDE0000001D --subject-fab-id FAB000000000001D --valid-from "2020-10-15 14:23:43" --lifetime 7305 --ca-key Chip-ICA-Key.pem --ca-cert Chip-ICA-Cert.pem --out-key Chip-Node-Key.chip-b64 --out Chip-Node-Cert.chip-b64 --out-format chip-b64

注意：最后一条示例中，节点证书与私钥输出为 base-64 编码的 CHIP 原生格式（chip-b64），而非前两条示例的 PEM 格式。chip-cert还支持以命令行字符串形式直接传入 CA 证书/密钥和节点公钥（见 src/tools/chip-cert/README.md 中的完整长示例），演示了多格式混用：CA 私钥用 X.509 Hex 格式、CA 证书用 CHIP TLV base64 格式、节点公钥用 CHIP TLV Hex 格式。

4. 校验生成的证书链：

./chip-cert validate-cert Chip-Node-Cert.chip-b64 -c Chip-ICA-Cert.pem -t Chip-Root-Cert.pem

5. 格式转换与内容查看：CA 服务通常产出标准 X.509 PEM，投产前可转换为 CHIP 原生 TLV 格式：

./chip-cert convert-cert Chip-ICA-Cert.pem Chip-ICA-Cert.chip --chip ./chip-cert print-cert Chip-ICA-Cert.chip

2.3 认证证书（Attestation）实战

1. 生成产品认证机构（PAA）证书与私钥：

./chip-cert gen-att-cert --type a --subject-cn "Matter Development PAA 01" --valid-from "2020-10-15 14:23:43" --lifetime 7305 --out-key Chip-PAA-Key.pem --out Chip-PAA-Cert.pem

2. 用 PAA 签发产品认证中间（PAI）证书：

./chip-cert gen-att-cert --type i --subject-cn "Matter Development PAI 01" --subject-vid FFF1 --valid-from "2020-10-15 14:23:43" --lifetime 7305 --ca-key Chip-PAA-Key.pem --ca-cert Chip-PAA-Cert.pem --out-key Chip-PAI-Key.pem --out Chip-PAI-Cert.pem

3. 用 PAI 签发多个设备认证证书（DAC）：

./chip-cert gen-att-cert --type d --subject-cn "Matter Development DAC 01" --subject-vid FFF1 --subject-pid 0123 --valid-from "2020-10-15 14:23:43" --lifetime 7305 --ca-key Chip-PAI-Key.pem --ca-cert Chip-PAI-Cert.pem --out-key Chip-DAC-Key.pem --out Chip-DAC-Cert.pem

4. 校验认证证书链（也可用 OpenSSL 交叉验证）：

./chip-cert validate-att-cert --dac Chip-DAC-Cert.pem --pai Chip-PAI-Cert.pem --paa Chip-PAA-Cert.pem openssl verify -CAfile Chip-PAA-Cert.pem -untrusted Chip-PAI-Cert.pem Chip-DAC-Cert.pem

2.4 PDC 身份（受限自签名证书）实战

生成 PDC 身份：

./chip-cert gen-cert --type p --out-key identity-key.pem --out identity.pem --out-format x509-pem ./chip-cert convert-cert -x identity.pem identity.hex ./chip-cert validate-cert -p identity.pem && echo OK ./chip-cert validate-cert -p identity.hex && echo OK

两种格式均作为自签名身份通过校验。

2.5 命令参考：完整参数速查

gen-cert（生成 CHIP 证书）：-t/--type取r（根证书）、c（CA 证书）、n（节点证书）、f（固件签名证书）、v（厂商 ID 校验签名者证书）；-i/--subject-chip-id为 8 字节内十六进制 Subject ChipId（根证书为 ChipRootId，中间 CA 为 ChipICAId，节点证书为 ChipNodeId，取值范围[1, 0xFFFFFFEFFFFFFFFF]，固件签名证书为 ChipFirmwareSigningId）；-f/--subject-fab-id为 Fabric Id（不可为 0）；-a/--subject-cat为 CASE 认证标签（低 16 位版本子字段不可为 0）；-c/--subject-cn-u为 UTF8String 形式的 Common Name；-p/--path-len-constraint写入 basic constraint 扩展；-x/--future-ext-sub追加 NID_subject_alt_name 扩展；-2/--future-ext-info追加 NID_info_access 扩展；-C/--ca-cert与-K/--ca-key指定签名 CA（文件或字符串）；-k/--key指定新证书公私钥（缺省则新生成）；-o/--out输出证书（-表示 stdout）；-O/--out-key输出公私钥（-k未指定时必须提供）；-F/--out-format支持x509-pem、x509-der、x509-hex、chip（原始 CHIP TLV）、chip-b64（默认）、chip-hex；-V/--valid-from为YYYY-MM-DD [HH:MM:SS]（缺省当天起）；-l/--lifetime为整天天数（特殊值4294967295表示无明确过期时间）。

convert-cert（证书格式互转，输入格式自动检测）：-p/--x509-pem、-d/--x509-der、-X/--x509-hex、-c/--chip（原始 CHIP TLV）、-x/--chip-hex、-b/--chip-b64（默认）。

convert-key（密钥格式互转，输入格式自动检测）：输出选项包括-p/--x509-pem、-d/--x509-der、-x/--x509-hex（SEC1/RFC-5915 系列）、-P/--x509-pubkey-pem（仅公钥）、-c/--chip、-b/--chip-b64（默认）、-C/--chip-pubkey、-B/--chip-pubkey-b64、-E/--chip-pubkey-hex。注意：私钥格式包含公私钥两者，公钥格式仅含公钥，因此支持“私钥→公钥”转换，但不能做“公钥→私钥”转换。

resign-cert（用新 CA 重签证书）：-c/--cert待重签证书、-o/--out输出、-C/--ca-cert、-K/--ca-key、-s/--self生成自签名证书。

validate-cert（校验证书链或单个 PDC 身份）：-c/--cert非信任证书（通常为 ICA）、-t/--trusted-cert信任锚根证书（RCAC）、-p/--pdc-identity按 PDC 身份校验（此时不得使用前两项）。

print-cert：-o/--out输出文件（缺省/-为 stdout）。

gen-att-cert（生成认证证书）：-t/--type取a（PAA）、i（PAI）、d（DAC）；-c/--subject-cn为 CN；-V/--subject-vid与-P/--subject-pid为十六进制 VID/PID；-a/--vid-pid-as-cn将 VID/PID 编码为 CN 属性（缺省按 Matter 专用 OID 编码）；-C/-K/-k/-o/-O语义同 gen-cert；-f/--valid-from与-l/--lifetime同上。

validate-att-cert：-d/--dac、-i/--pai、-a/--paa分别指定 DAC、PAI、PAA（格式自动检测）。

gen-cd（生成证书声明 CMS 签名消息）：-K/--key签名私钥；-C/--cert与密钥关联的证书（其 Subject Key Identifier 会写入 CD）；-O/--out输出；-f/--format-version格式版本；-V/--vendor-idVID；-p/--product-idPID（最多 100 个，每个 PID 各用一个-p）；-d/--device-type-id设备类型 ID；-c/--certificate-id证书 ID（UTF8 字符串）；-l/--security-level与-i/--security-info安全级别/信息（十六进制）；-n/--version-number版本号；-t/--certification-type取0（Development and Test，默认）、1（Provisional）、2（Official）；-o/--dac-origin-vendor-id、-r/--dac-origin-product-id指定 DAC 来源 VID/PID；-a/--authorized-paa-cert指定被授权签发 PAI 的 PAA 证书文件（最多 10 个，仅提取其 SKID 值写入 CD）。

gen-cd 示例（签名密钥/证书使用仓库内的测试文件）：

./chip-cert gen-cd -C credentials/test/certification-declaration/Chip-Test-CD-Signing-Cert.pem -K credentials/test/certification-declaration/Chip-Test-CD-Signing-Key.pem --out cd.bin -f 1 -V FFF1 -p 8000 -d 0016 -c "ZIG0000000000000000" -l 0 -i 0 -n 0001 -t 0

生成 CMS 签名的 CD 写入cd.bin。量产时替换-V FFF1（你的 VID）、-p 8000（你的 PID）、-d 0016（你的主设备类型），三者均为大写十六进制且需补零对齐。示例未包含dac-origin-vendor-id与dac-origin-product-id。

print-cd：以十六进制字符串参数直接打印 CD 内容（完整示例见 src/tools/chip-cert/README.md 的print-cd小节）。

version：./out/debug/standalone/chip-cert version输出工具版本与版权信息。

三、C++ 工具：spake2p —— 设备产线配对参数生成器

spake2p用于为设备量产预置生成 SpaKE2 参数（PIN 码与 Verifier），源码位于 src/tools/spake2p。SpaKE2+ 是 Matter 中 PASE（基于口令的配对会话）的核心算法，产线需要把 Passcode、Iteration Count、Salt 与 Verifier 烧录进设备。

3.1 基本用法

./spake2p gen-verifier --pin-code 45502684 --iteration-count 1000 --salt "U1BBS0UyUCBLZXkgU2FsdA==" --out spake2p-provisioning-data.csv

为指定 PIN 码生成 verifier，输出为 CSV。查看全局用法./spake2p help，查看子命令参数./spake2p gen-verifier --help。

3.2 批量生成

# 100 组随机 PIN、随机 Salt 及对应 Verifier ./spake2p gen-verifier --count 100 --iteration-count 15000 --salt-len 32 --out spake2p-provisioning-data.csv # 100 组指定 PIN、随机 Salt 及对应 Verifier（pincodes.csv 每行一个合法 PIN 码） ./spake2p gen-verifier --count 100 --pin-code-file pincodes.csv --iteration-count 15000 --salt-len 32 --out spake2p-provisioning-data.csv

pincodes.csv的格式示例可通过spake2p --help查看。该工具也被上层 Python 工具调用：Silabs 的 FactoryDataProvider.py 既可接收预生成 verifier，也可通过--gen_spake2p_path传入spake2p二进制现场生成。

四、Python 工具：内存占用分析脚本（scripts/tools/memory）

scripts/tools/memory 提供一组收集、聚合、报告固件内存占用的脚本，对嵌入式 Matter 设备（Flash/RAM 通常紧张）尤其重要。

4.1 公共参数

可选参数：-h/--help；-v/--verbose信息级日志（重复出现进入调试模式）；--config-file FILE读取平台配置文件（通常来自platform/子目录），命令行参数覆盖配置文件。
输入选项：-f/--collect-method METHOD指定解析方式——elftools（Python elftools 库）、readelf（外部 readelf，通常最快）、bloaty（外部 bloaty）、csv/tsv（读逗号/制表符分隔表）、su（读取.su栈使用报告）；--collect-prefix/--prefix/--strip-prefix PATH从源文件名的开头剥离该路径。
输出选项：-O/--output-file（默认 stdout，csv/tsv 时是文件名前缀）；-t/--output-format支持text、csv、tsv、json_split/json_records/json_index/json_columns/json_values/json_table（参见 Pandas 文档）及 tabulate 提供的任意格式；--limit/--report-limit BYTES只显示大于该尺寸的项目（支持K等后缀）；--by/--report-by GROUP取region（按平台定义的内存区域聚合，如FLASH/RAM）、section（按段聚合）、symbol（按符号聚合）。
选择选项：--section(-select/-ignore/-select-all/-ignore-all)系列、--symbol(...)系列、--region(...)系列，用于精确圈定分析范围。
外部工具选项：--tool-bloaty FILE、--tool-nm FILE、--tool-readelf FILE。

4.2 各脚本与示例

report_summary.py：按 region/section 汇总总大小。例如report_summary.py --by=region --config-file=${PLATFORM}.cfg ${IMAGE}输出 FLASH/RAM 各占 524285/165501 字节。
report_tree.py：树状展示内存使用（--limit或按 section 限流很有用），例如report_tree.py --demangle --by=region --region=RAM:8K --prefix=${CHIP_TOOLS} --prefix=${PWD} --config-file=${PLATFORM}.cfg ${IMAGE}可展示lwip等模块在 RAM 中的占比树。
gaps.py：报告镜像中不属于任何符号的部分（通常为字符串常量等匿名数据），目前仅支持elftools读取器、仅适用于 ELF 文件，例如gaps.py --section=.text --limit=1K --config-file=${PLATFORM}.cfg ${IMAGE}。
diffsyms.py：比较两个文件间各符号大小（及是否存在）的差异，一般用于同一产物的两个版本（如工作分支 vs master）对比。
block.py：报告命中黑名单的符号引用，一般用于库（.a）或目标文件，如block.py --config-file=blocklist.cfg out/release/${PLATFORM}/obj/src/transport/lib/libTransportLayer.a。
collect.py：读取内存使用数据并转写为其他形式（如 csv、json），便于后续二次处理。

4.3 ELF 大小专项工具（scripts/tools/ELF_SIZE_TOOLING）

ELF_SIZE_TOOLING.md 记录了三个专项脚本：

file_size_from_nm.py：为 ELF 内的方法/命名空间构建交互式树图，例如./scripts/tools/file_size_from_nm.py --zoom '::chip::app' ./out/qpg-qpg6200-light/chip-qpg6200-lighting-example.out聚焦查看chip::app下的空间占用。
binary_elf_size_diff.py：对比两个 ELF（通常 master 构建与本地修改构建），输出CHANGED/REMOVED/ADDED与具体尺寸差；支持--output csv --skip-total输出 CSV，也支持--output sankey结合--sankey-rules out/rules.txt（规则形如match "<regex>" to <group_name> "color" colorstr）导出桑基图数据。
compile_flags_from_compile_commands.py：从compile_commands.json提取编译标志（主要是 include 路径），配合本地编译好的 Compiler Explorer（gcc-arm-none-eabi-g++、Node 20+）用于研究 CHIP 代码的汇编生成。

五、Python 工具：NXP 产线与 OTA 工具

5.1 NXP Factory Data Generator

工具由 generate.py、default.py、custom.py 三文件组成：generate.py用argparse解析参数，将InputArgument实例转为(K, L, V)元组序列生成输出二进制；default.py定义基类InputArgument（抽象接口为key()、length()、encode()，通过output()产出(K, L, V)）；custom.py定义各具体参数类（必须继承默认类）。完整用法见 NXP 制造流程指南。

5.2 NXP OTA Image Tool

ota_image_tool.py生成|OTA standard header|TLV1|...|TLVn|格式的 OTA 镜像（负载为标准 TLV，非 Matter TLV；OTA 传输时 TLV 可跨多个 BDX 块，OTAImageProcessorImpl需考虑这点），目前支持mcxw71平台。它是标准ota_image_tool.py的包装，create子命令除标准选项（如-v 0xDEAD -p 0xBEEF -vn 50000 -vs "1.0" -da sha256）外，还支持自定义选项：--app-input-file（应用二进制）、--app-version/--app-version-str/--app-build-date（应用版本描述符，可与-vn不同）、--bl-input-file（SSBL 二进制）及对应版本参数、--factory-data（启用工厂数据）、--cert_declaration/--dac_cert/--dac_key/--pai_cert（Matter 证书）、--json（符合ota_payload.schema的 JSON，描述自定义 TLV，可一次描述多个 TLV）。未指定 app/SSBL 描述符选项时使用默认值（50000、"50000-default"、"2023-01-01"）。参考命令见create_ota_images.sh，多应用 + SSBL 示例见examples/ota_max_entries_example.json。对应 OTA 实现说明见 NXP OTA README。

六、Python 工具：Silabs 工厂数据与 OTA

6.1 FactoryDataProvider.py（EFR32 设备）

FactoryDataProvider.py 将一组可入网（commissionable）数据写入 EFR32MG24 设备的 Matter nvm3 分区。前置条件：一组匹配的 spake2p+ 凭据（Setup Discriminator、Setup Passcode、Spake2p Iteration count、Spake2p Salt，以及 Spake2p Verifier 或 spake2p 生成器路径）。主要参数：--discriminator、--passcode、--spake2_iteration、--spake2_salt（base64）、--spake2_verifier（base64）或--gen_spake2p_path（二者择一）、--mcu_family（设备未连接时必需）、--jtag_serial（多设备时指定）、--product_id/--vendor_id/--product_name/--vendor_name/--hw_version/--hw_version_str/--unique_id(128位hex串)/--serial_number、--commissioning_flow（0=Standard，1=User Action，2=Custom）、--rendezvous_flag（1=SoftAP，2=BLE，4=OnNetwork，可组合）。设备在线时直接写入 nvm3；离线时生成可稍后烧录的镜像（需指定 MCU 系列）。示例：

python3 FactoryDataProvider.py --passcode 20202021 --discriminator 0xf00 --spake2_iteration 1000 --spake2_salt U1BBS0UyUCBLZXkgU2FsdA== --spake2_verifier uWFwqugDNGiEck/po7KHwwMwwqZgN10XuyBajPGuyzUEV/iree4lOrao5GuwnlQ65CJzbeUB49s31EH+NEkg0JVI5MGCQGMMT/SRPFNRODm3wH/MBiehuFc6FJ/NH6Rmzw==

6.2 Silabs OTA Image Tool

ota_multi_image_tool.py同样生成|OTA standard header|TLV1|...|TLVn|格式镜像，支持 EFR32 平台。create子命令的标准选项（-v -p -vn -vs -da）与自定义选项：应用类（--app-input-file/--app-version/--app-version-str/--app-build-date）、工厂数据类（--factory-data/--cert_declaration/--dac_cert/--dac_key/--pai_cert）、加密类（--enc_enable/--input_ota_key，16 字节 AES 密钥）、自定义 TLV 类（--json，遵循ota_payload.schema）。完整选项清单见 silabs/ota/README.md。

七、Python 工具：Telink 量产分区生成器

mfg_tool.py 面向大批量生产，用于生成工厂分区（factory partitions）。前置依赖：chip-cert、spake2p、chip-tool（均通过source scripts/activate.sh && gn gen build/out/host && ninja -C build/out/host构建到build/out/host并加入PATH），以及 Python 依赖python3 -m pip install -r requirements.build.txt -r requirements.telink.txt。

生成单个分区（使用 Matter 项目的默认测试 PAI 密钥/证书/CD）：

python3 mfg_tool.py -v 0xFFF2 -p 0x8001 \ --serial-num AABBCCDDEEFF11223344556677889900 \ --vendor-name "Telink Semiconductor" \ --product-name "not-specified" \ --mfg-date 2022-12-12 \ --hw-ver 1 \ --hw-ver-str "prerelase" \ --pai \ --key /path/to/connectedhomeip/credentials/test/attestation/Chip-Test-PAI-FFF2-8001-Key.pem \ --cert /path/to/connectedhomeip/credentials/test/attestation/Chip-Test-PAI-FFF2-8001-Cert.pem \ -cd /path/to/connectedhomeip/credentials/test/certification-declaration/Chip-Test-CD-FFF2-8001.der \ --spake2-path /path/to/spake2p \ --chip-tool-path /path/to/chip-tool \ --chip-cert-path /path/to/chip-cert

加--count 5可一次生成 5 个分区（每个设备独立 SN）。输出目录结构为out/<vid_pid>/<SN>/：factory_data.bin/factory_data.hex（分区镜像）、summary.json、onb_codes.csv（入网码）、qrcode.png（配对二维码）；internal/存放中间文件（pai_cert.der、DAC_cert.der/.pem、DAC_private_key.bin、DAC_public_key.bin）。

烧录流程：以lighting-app为例，先west build -- -DCONFIG_CHIP_FACTORY_DATA=y生成带空工厂数据分区的固件（输出./build/zephyr/zephyr.bin），烧录到 B91 板后，再把factory_data.bin写到对应偏移地址——2 MB Flash 为0xff000（tlsr9518adk80d_2m_flash.overlay），4 MB Flash 为0x205000（tlsr9518adk80d_4m_flash.overlay），具体以对应 flash overlay 中factory_partition的 reg 为准。启动日志应出现 Serial Number、Vendor/Product Id、Setup Pin Code、Setup Discriminator 及SetupQRCode: [MT:...]等设备配置信息（完整日志见 readme.md）。

八、把工具串起来：一份完整的调试→量产流水线

综合以上各节，一个典型的开发与量产准备流程为：

调试阶段：用chip-cert生成根证书→ICA→节点证书链并validate-cert校验；用spake2p为测试 PIN 生成 verifier；用chip-cert gen-cd与测试 CD 签名证书签发 CD。
固件优化阶段：用 scripts/tools/memory 的report_summary.py/report_tree.py定位 Flash/RAM 大户，用binary_elf_size_diff.py对比分支改动带来的尺寸变化。
量产准备阶段：按平台选择产线工具——Telink 用mfg_tool.py（产出factory_data.bin+qrcode.png），Silabs 用FactoryDataProvider.py（写入 nvm3 或生成离线镜像），NXP 用factory_data_generator与ota_image_tool.py打包应用/SSBL/工厂数据 OTA 镜像；证书材料均来自第 1 步或 credentials/test 中的测试证书。