coincurve

事实及其依据的检查

以下内容均非抄自文档。检查脚本 content/libraries/verify/coincurve/run.sh 于2026年10月20日在容器镜像 python:3.12-slim@sha256:a6e34c598f2467ed0e9a8d349809fcd8b5c603269512df273a0bb1784edc11b1 中运行了 coincurve 21.0.0；本页内容必须与它的输出一致，每条事实都列出了对应的输出行。

• ECDSA 签名编码

  der

  sign() 返回 DER；sign_recoverable() 返回 65 字节的 r ‖ s ‖ 恢复 ID。

  检查记录

  fact ecdsa-signature-encoding = der
  evidence ecdsa-signature-encoding: sign_recoverable() returns 65 bytes (r||s||recovery id)
  evidence ecdsa-signature-encoding: verify_signature helper on the DER signature: True

• 默认哈希

  sha256

  默认哈希函数是 SHA-256：sign(message) 与对消息 SHA-256 哈希生成的 RFC 6979 参考签名一致。

  检查记录

  fact ecdsa-default-hash = sha256

• 签名调用对哪些内容做哈希

  hashes-message-or-digest

  sign(digest, hasher=None) 对 32 字节的摘要原样签名；当摘要是消息的 SHA-256 时，得到的签名与 sign(message) 相同。

  检查记录

  fact ecdsa-prehash = hashes-message-or-digest
  evidence ecdsa-prehash: sign(sha256(m), hasher=None) equals sign(m): True

• ECDSA 的 nonce

  rfc6979

  RFC 6979：签名与一个独立的 RFC 6979 实现（该实现本身已用 RFC 的测试向量核验）一致，s 已规范化。

  检查记录

  fact ecdsa-nonce = rfc6979
  evidence ecdsa-nonce: sign(message) equals the reference RFC 6979 signature over SHA-256(message) with s normalized: True

• 签名时的 low-S

  low-s

  64 个签名中没有 high-S 值。

  检查记录

  fact ecdsa-low-s-sign = low-s

• 验证时的 high-S

  rejects-high-s

  对于把 s 替换为 n − s 的同一签名，verify() 返回 False。

  检查记录

  fact ecdsa-low-s-verify = rejects-high-s
  evidence ecdsa-low-s-verify: verify() on (r, n - s): False

• 格式错误的 ECDSA 签名

  throws

  原始的 64 字节签名或 3 字节的数据块会抛出 ValueError: The DER-encoded signature could not be parsed.；针对另一条消息的有效签名返回 False。

  检查记录

  fact ecdsa-malformed-signature = throws
  evidence ecdsa-malformed-signature: raw 64 bytes: ValueError: The DER-encoded signature could not be parsed.
  evidence ecdsa-malformed-signature: 3 bytes: ValueError: The DER-encoded signature could not be parsed.
  evidence ecdsa-malformed-signature: wrong message: False

• ECDSA 曲线

  secp256k1

  仅支持 secp256k1。

  检查记录

  fact ecdsa-curves = secp256k1

• Schnorr 签名

  BIP-340

  sign_schnorr() 生成 64 字节的 BIP-340 签名，可用仅含 x 坐标的公钥（x-only）验证通过。

  检查记录

  fact schnorr = BIP-340
  evidence schnorr: PrivateKey.sign_schnorr available: True

• EdDSA

  none

  不支持 EdDSA。

  检查记录

  fact eddsa = none

• 后量子算法

  none

  不支持后量子算法。

  检查记录

  fact pqc = none

• 公钥格式

  sec1-uncompressedsec1-compressed

  公钥可从 SEC1 压缩点或未压缩点加载；64 字节的 x‖y 被拒绝，报错 The public key could not be parsed or is invalid.

  检查记录

  fact public-key-formats = sec1-uncompressed, sec1-compressed
  evidence public-key-formats: 64-byte x||y: ValueError: The public key could not be parsed or is invalid.

• 默认公钥格式

  sec1-compressed

  除非传入 compressed=False，否则 format() 返回 33 字节的压缩点。

  检查记录

  fact default-public-key = sec1-compressed

• 私钥格式

  pkcs8-pempkcs8-derraw-scalar

  私钥是 32 字节的原始标量；to_pem() 和 to_der() 写出 PKCS#8（-----BEGIN PRIVATE KEY-----），from_pem() 和 from_der() 可将其读回。

  检查记录

  fact private-key-formats = pkcs8-pem, pkcs8-der, raw-scalar
  evidence private-key-formats: to_pem() writes -----BEGIN PRIVATE KEY-----; to_der() structure: pkcs8

用法

from coincurve import PrivateKey, PublicKey
from Crypto.Hash import keccak  # pycryptodome, for Ethereum-style hashing

key = PrivateKey()
message = b"order #1042 approved"

# Default: SHA-256 of the message, RFC 6979 nonce, low-S, DER output.
der = key.sign(message)
print("verified:", PublicKey(key.public_key.format()).verify(der, message))

# Ethereum and other keccak users must pass the hasher, or sign a ready digest with hasher=None.
digest = keccak.new(data=message, digest_bits=256).digest()
recoverable = key.sign_recoverable(digest, hasher=None)  # r || s || recovery id, 65 bytes
recovered = PublicKey.from_signature_and_message(recoverable, digest, hasher=None)
print("recovered matches:", recovered.format() == key.public_key.format(), len(recoverable))