go-ethereum crypto

事实及其依据的检查

以下内容均非抄自文档。检查脚本 content/libraries/verify/go-ethereum-crypto/run.sh 于2026年10月20日在容器镜像 golang:1.27.3-trixie 中运行了 go-ethereum crypto 1.17.8；本页内容必须与它的输出一致，每条事实都列出了对应的输出行。

• ECDSA 签名编码

  rsv-65

  crypto.Sign 返回 65 字节：r、s 和恢复 ID。

  检查记录

  fact ecdsa-signature-encoding = rsv-65

• 恢复 ID v

  0-1

  最后一个字节为 0 或 1；crypto.Ecrecover 拒绝了 27/28，报错 invalid signature recovery id。

  检查记录

  fact recovery-v = 0-1
  evidence recovery-v: Ecrecover with v = 27/28: invalid signature recovery id
  evidence recovery-v: signer address recovered from the 0/1 signature matches: true

• 消息前缀

  eip-191

  EIP-191 哈希由 accounts.TextHash 提供，其结果与对加前缀消息独立计算的 keccak-256 一致；crypto.Sign 本身不添加前缀。

  检查记录

  fact message-prefix = eip-191
  evidence message-prefix: accounts.TextHash equals keccak256 of the EIP-191 prefixed message; crypto.Sign itself adds no prefix

• 签名调用对哪些内容做哈希

  takes-digest

  crypto.Sign 接收 32 字节的哈希，其他输入都会报错 hash is required to be exactly 32 bytes。

  检查记录

  fact ecdsa-prehash = takes-digest
  evidence ecdsa-prehash: crypto.Sign on a 31-byte input: hash is required to be exactly 32 bytes (31)

• 默认哈希

  none

  crypto.Sign 内部不计算哈希。

  检查记录

  fact ecdsa-default-hash = none

• ECDSA 的 nonce

  rfc6979

  RFC 6979：签名与一个独立 RFC 6979 实现（已用 RFC 的测试向量核验）在 s 规范化后的签名完全相同。

  检查记录

  fact ecdsa-nonce = rfc6979
  evidence ecdsa-nonce: two signatures of the same digest identical: true; equal to the reference RFC 6979 signature with s normalized: true

• 签名时的 low-S

  low-s

  64 个签名中没有 high-S 值。

  检查记录

  fact ecdsa-low-s-sign = low-s

• 验证时的 high-S

  rejects-high-s

  对于把 s 替换为 n − s 的签名，crypto.VerifySignature 返回 false。

  检查记录

  fact ecdsa-low-s-verify = rejects-high-s
  evidence ecdsa-low-s-verify: VerifySignature on (r, n - s): false; Ecrecover on (r, n - s, flipped v): recovers the signer true (err <nil>)

• 从 high-S 签名恢复公钥

  accepted

  对于翻转了 v 的镜像 high-S 签名，crypto.Ecrecover 恢复出了签名者的公钥。

  检查记录

  fact ecrecover-high-s = accepted

• ECDSA 曲线

  secp256k1

  仅支持 secp256k1。

  检查记录

  fact ecdsa-curves = secp256k1

• 公钥格式

  sec1-uncompressedsec1-compressed

  crypto.UnmarshalPubkey 读取 65 字节的未压缩点，crypto.DecompressPubkey 读取 33 字节的压缩点。

  检查记录

  fact public-key-formats = sec1-uncompressed, sec1-compressed
  evidence public-key-formats: UnmarshalPubkey(65 bytes): <nil>; DecompressPubkey(33 bytes): <nil>

• 私钥格式

  raw-scalar

  私钥是 32 字节的标量（crypto.ToECDSA、crypto.HexToECDSA）。

  检查记录

  fact private-key-formats = raw-scalar

• EdDSA

  none

  这个包不支持 EdDSA。

  检查记录

  fact eddsa = none

• 后量子算法

  none

  不支持后量子算法。

  检查记录

  fact pqc = none

用法

package main

import (
	"fmt"

	"github.com/ethereum/go-ethereum/accounts"
	"github.com/ethereum/go-ethereum/crypto"
)

func main() {
	key, _ := crypto.GenerateKey()
	message := []byte("Sign in to example.com\nNonce: 8f2c1a")

	// crypto.Sign takes a 32-byte hash and adds no prefix: hash with TextHash (EIP-191).
	sig, _ := crypto.Sign(accounts.TextHash(message), key)

	// Wallets and ethers/viem send v = 27/28; go-ethereum wants 0/1.
	wire := append([]byte{}, sig...)
	wire[64] += 27

	// Coming back from the wire: undo the offset before recovering.
	in := append([]byte{}, wire...)
	if in[64] >= 27 {
		in[64] -= 27
	}
	pub, err := crypto.SigToPub(accounts.TextHash(message), in)
	fmt.Println("v on the wire:", wire[64], "signer matches:", err == nil && crypto.PubkeyToAddress(*pub) == crypto.PubkeyToAddress(key.PublicKey))
}