ethers.js

事実とその根拠となるチェック

以下の内容はドキュメントからの転記ではありません。2026年10月20日に、チェック content/libraries/verify/ethers/run.sh がコンテナイメージ node:24.22.0-bookworm-slim 内で ethers.js 6.17.0 を Node.js 24.22.0; ethers depends on @noble/curves 1.2.0 で実行しました。このページの内容はその出力と一致していなければならず、各事実には該当する出力行を示しています。

• ECDSA 署名のエンコーディング

  rsv-65

  signMessage() は r、s、リカバリ用のバイト v からなる 65 バイトを 16 進数の文字列で返します。

  チェックによる記録

  fact ecdsa-signature-encoding = rsv-65

• リカバリ ID v

  27-28

  ethers が生成する署名では、v は 27 または 28 です。

  チェックによる記録

  fact recovery-v = 27-28

• メッセージのプレフィックス

  eip-191

  hashMessage() は、\x19Ethereum Signed Message:\n、10 進数で表したバイト長、メッセージを連結して @noble/hashes で独立に計算した keccak-256 と一致します。

  チェックによる記録

  fact message-prefix = eip-191

• デフォルトのハッシュ

  keccak256

  メッセージ署名には SHA-256 ではなく keccak-256 を使います。

  チェックによる記録

  fact ecdsa-default-hash = keccak256

• 署名呼び出しがハッシュする対象

  hashes-message-or-digest

  signMessage() は EIP-191 のプレフィックスを付けてメッセージをハッシュします。SigningKey.sign() は 32 バイトのダイジェストにそのまま署名し、そのダイジェストに対して同一の署名を生成しました。

  チェックによる記録

  fact ecdsa-prehash = hashes-message-or-digest
  evidence ecdsa-prehash: SigningKey.sign over the EIP-191 digest equals signMessage: true; a 2-byte input: invalid digest length
  evidence ecdsa-prehash: recoverAddress(digest, signature) returns the signer: true

• ECDSA の nonce

  rfc6979

  RFC 6979 です。署名は、同じダイジェストに対する @noble/curves の決定的署名と一致しました。

  チェックによる記録

  fact ecdsa-nonce = rfc6979

• 署名時の low-S

  low-s

  64 個のメッセージ署名の中に high-S の値はありませんでした。

  チェックによる記録

  fact ecdsa-low-s-sign = low-s

• 検証時の high-S

  rejects-high-s

  v を反転させた鏡像の署名 (r, n − s) は、verifyMessage() でも Signature.from() でも non-canonical s; use ._s で拒否されます。

  チェックによる記録

  fact ecdsa-low-s-verify = rejects-high-s
  evidence ecdsa-low-s-verify: verifyMessage with (r, n - s, flipped v): non-canonical s; use ._s
  evidence ecdsa-low-s-verify: Signature.from on the high-S twin: non-canonical s; use ._s

• 受け付ける署名の形式

  v-27-28v-0-1eip-2098

  verifyMessage() は、v = 27/28 または v = 0/1 の 65 バイトの署名と、64 バイトの EIP-2098 コンパクトエンコーディングのいずれからも署名者を復元しました。

  チェックによる記録

  fact signature-input-shapes = v-27-28, v-0-1, eip-2098
  evidence signature-input-shapes: 65-byte v 27/28: recovers the signer
  evidence signature-input-shapes: 65-byte v 0/1: recovers the signer
  evidence signature-input-shapes: 64-byte EIP-2098: recovers the signer

• ECDSA の曲線

  secp256k1

  secp256k1 のみです。

  チェックによる記録

  fact ecdsa-curves = secp256k1

• EdDSA

  none

  EdDSA には対応していません。

  チェックによる記録

  fact eddsa = none

• ポスト量子アルゴリズム

  none

  ポスト量子アルゴリズムには対応していません。

  チェックによる記録

  fact pqc = none

• 公開鍵の形式

  sec1-uncompressedsec1-compressedraw-xy

  SigningKey.computePublicKey() は SEC1 の圧縮形式と非圧縮形式の点を相互に変換でき、0x04 のプレフィックスがない 64 バイトの x‖y も受け入れました。

  チェックによる記録

  fact public-key-formats = sec1-uncompressed, sec1-compressed, raw-xy
  evidence public-key-formats: 64-byte x||y: true

使い方

import { Signature, Wallet, verifyMessage } from "ethers";

const wallet = Wallet.createRandom();
const message = "Sign in to example.com\nNonce: 8f2c1a";

// personal_sign: EIP-191 prefix + keccak256, RFC 6979 nonce, low-S, v = 27 or 28.
const signature = await wallet.signMessage(message);
const { v, compactSerialized } = Signature.from(signature);

// Recover the address and compare it; never compare signature bytes.
const signer = verifyMessage(message, signature);

console.log("signature bytes:", (signature.length - 2) / 2, "v:", v);
console.log("signer matches:", signer === wallet.address);
console.log("EIP-2098 compact bytes:", (compactSerialized.length - 2) / 2);