node-forge

事实及其依据的检查

以下内容均非抄自文档。检查脚本 content/libraries/verify/node-forge/run.sh 于2026年10月20日在容器镜像 node:24.22.0-bookworm-slim 中运行了 node-forge 1.4.0（运行时为 Node.js 24.22.0）；本页内容必须与它的输出一致，每条事实都列出了对应的输出行。

• ECDSA 曲线

  none

  没有 ECDSA 实现：forge.pki 只有 rsa 和 ed25519，没有任何针对 NIST 曲线或 secp256k1 曲线的实现。

  检查记录

  fact ecdsa-curves = none
  evidence ecdsa-curves: forge.pki members: ed25519, rsa

• 使用 EC 密钥的证书

  rejected

  对 P-256 证书调用 certificateFromPem() 会抛出 Cannot read public key. OID is not RSA.；EC 公钥则会抛出 Cannot read public key. Unknown OID.

  检查记录

  fact ec-certificate = rejected
  evidence ec-certificate: Cannot read public key. OID is not RSA.
  evidence ec-certificate: the same certificate parses at the ASN.1 level: true
  evidence ec-certificate: publicKeyFromPem on an EC SPKI: Cannot read public key. Unknown OID.

• EdDSA

  Ed25519

  通过 forge.pki.ed25519 支持 Ed25519。

  检查记录

  fact eddsa = Ed25519

• Ed25519 是否符合 RFC 8032

  yes

  对于同一个 32 字节的种子，forge 生成的签名与 node:crypto 生成的完全相同，这正是 RFC 8032 的确定性方案所要求的。

  检查记录

  fact ed25519-matches-rfc8032 = yes
  evidence ed25519-matches-rfc8032: forge and node:crypto signatures for the same seed are identical: true

• Ed25519 私钥布局

  expanded-64

  Ed25519 私钥为 64 字节：种子后接公钥。

  检查记录

  fact ed25519-private-key = expanded-64

• S 值非规范的 Ed25519 签名

  rejected

  把 S 替换为 S + L 的 Ed25519 签名——即 RFC 8032 禁止的延展形式——被拒绝，与 node:crypto 的结果一致；这项检查是 1.4.0 新增的（CVE-2026-33895）。

  检查记录

  fact ed25519-non-canonical-s = rejected
  evidence ed25519-non-canonical-s: forge: false; node:crypto: false

• 后量子算法

  none

  不支持后量子算法。

  检查记录

  fact pqc = none

• RSA 签名方案

  PKCS1-v1_5PSS

  用 SHA-256 生成的 PKCS#1 v1.5 和 PSS 签名在 node:crypto 中验证通过；PSS 需要显式指定盐长度和 MGF1 摘要算法。

  检查记录

  fact rsa-signature-schemes = PKCS1-v1_5, PSS

• PKCS #1 DigestInfo 中的多余元素

  accepted-in-algorithm-identifier

  DigestInfo 的 AlgorithmIdentifier 中带有多余元素的 PKCS#1 v1.5 数据块在 forge 中验证通过，在 node:crypto 中则不通过；摘要之后带有多余元素的数据块被拒绝。这就是尚未修复的安全公告 GHSA-86w9-cpqp-85rv。

  检查记录

  fact pkcs1-digestinfo-extra-element = accepted-in-algorithm-identifier
  evidence pkcs1-digestinfo-extra-element: well-formed block: forge true, node:crypto true
  evidence pkcs1-digestinfo-extra-element: extra element inside AlgorithmIdentifier: forge true, node:crypto false
  evidence pkcs1-digestinfo-extra-element: extra element after the digest: forge throws ASN.1 object does not contain a valid RSASSA-PKCS1-v1_5 DigestInfo value., node:crypto false

• RSA 公钥格式

  spki-pempkcs1x509

  RSA 公钥可以从 SPKI PEM、PKCS#1 RSA PUBLIC KEY PEM 和证书加载。

  检查记录

  fact rsa-public-key-formats = spki-pem, pkcs1, x509

• RSA 私钥格式

  pkcs8-pemencrypted-pkcs8pkcs1pkcs12

  RSA 私钥可以从 PKCS#8 PEM、加密的 PKCS#8（decryptRsaPrivateKey）、PKCS#1 RSA PRIVATE KEY PEM 和 PKCS#12 加载。

  检查记录

  fact rsa-private-key-formats = pkcs8-pem, encrypted-pkcs8, pkcs1, pkcs12

用法

import { constants, generateKeyPairSync, verify } from "node:crypto";
import forge from "node-forge";

const message = "order #1042 approved";
const { privateKey, publicKey } = generateKeyPairSync("rsa", { modulusLength: 2048 });
const key = forge.pki.privateKeyFromPem(privateKey.export({ type: "pkcs8", format: "pem" }));

// RSA-PSS: SHA-256 for the digest and for MGF1, 32-byte salt. The verifier
// must use the same three parameters.
const sha256 = () => forge.md.sha256.create();
const pss = forge.pss.create({ md: sha256(), mgf: forge.mgf.mgf1.create(sha256()), saltLength: 32 });
const signature = Buffer.from(key.sign(sha256().update(message, "utf8"), pss), "binary");
const options = { key: publicKey, padding: constants.RSA_PKCS1_PSS_PADDING, saltLength: 32 };
console.log("PSS verified by node:crypto:", verify("sha256", Buffer.from(message), options, signature));

// forge has no elliptic-curve support: EC keys and certificates throw.
const ec = generateKeyPairSync("ec", { namedCurve: "P-256" }).publicKey.export({ type: "spki", format: "pem" });
try {
  forge.pki.publicKeyFromPem(ec);
} catch (error) {
  console.log("EC key:", error.message);
}