2.2.1 哈希算法#

• 哈希（Hash）算法：又称散列算法，将任意长度明文字符串映射成较短的二进制串，不同明文映射后的值几乎没有冲突。
• 哈希值：又称指纹或摘要（Digest），可验证文件的完整性与正确性。
• 哈希碰撞（哈希冲突）：不同输入产生相同哈希值的现象（因哈希函数输入和输出不是一一对应）。
• 常见 Hash 算法：
  • MD4：MIT 的 Ronald L. Rivest 于 1990 年提出，已被证明不安全。
  • MD5：Rivest 于 1991 年提出，已被证明会产生 Hash 冲突，不再安全。
  • SHA1：美国国家安全局（NSA）于 1995 年提出，已被破解。
  • SHA2 系列：SHA224、SHA256、SHA384、SHA512，由 NSA 陆续公布。
  • 目前使用哈希算法应至少采用 SHA2-256 或更安全的算法。
• 区块链中应用：
  • 比特币采用 SHA256（SHA2-256） 算法，用于挖矿和生成地址。
  • 以太坊采用 Keccak256 算法（SHA3 族来源）。
• 哈希函数是单射函数，过程不可逆。

2.2.2 非对称加密#

• 加解密系统包含三个部件：加解密算法、加密密钥、解密密钥。加密算法公开，密钥需保护。
• 对称加密算法：
  • 加密密钥与解密密钥相同。
  • 优点：计算速度快、占用空间小、效率高、加密强度高。
  • 缺点：双方需提前共享密钥，存在泄露风险。
  • 常用分组密码：DES、AES、IDEA。
• 非对称加密算法：
  • 加密密钥与解密密钥不同，分别称为公钥（公开）和私钥（私人持有）。公钥根据私钥产生。
  • 优点：无须提前共享密钥，在不安全环境下也可使用。
  • 缺点：速度慢，加密强度不如对称算法，存在中间人攻击可能。
  • 安全基础：椭圆曲线、大数质因子分解等数学经典难题。
  • 常见算法：RSA、SM2、椭圆曲线。
  • 随着量子计算到来，普遍认为 RSA 类算法将被破解，更推荐椭圆曲线类算法。
• 混合加密：结合对称与非对称算法优点。通信双方用非对称密钥协商一个临时对称密钥，之后用对称加密通信，通信完毕丢弃临时密钥。

2.2.3 数字签名#

• 数字签名（Digital Signature）：基于公钥加密技术实现的鉴别数字信息完整性的算法，保障被签名信息的完整性和不可抵赖性。
• 两个重要步骤：签名和验证。签名密钥（私钥）不公开，验证密钥（公钥）公开。
• 通常对原文的哈希值进行加密来签名（而非对原文直接加密，以避免开销过大）。
• 签名过程：签名者用私钥 K 对消息 M 的摘要 D 生成签名 S = F(D, K)；验证者用公钥解密 S 得到 D’，与接收消息 M’ 的摘要对比验证完整性和正确性。
• 如果验证者已接收到签名 S，签名者不能再修改数字信息，体现不可抵赖性。

2.2.4 主网与测试网#

• 主网（Mainnet）：人为规定的特定比特币网络，在主网上流通的比特币才具有经济价值；是参与人数最多、交易最多的网络。
• 测试网（Testnet）：用于开发和测试客户端的独立比特币网络；测试网上的比特币一般不具实际经济价值，相对容易获取；有相对较多的节点和参与者，能更好模拟主网环境。
• Regtest：用于本地私有的测试网，通常只有本地节点，其余性质与测试网类似。
• 不同网络使用不同地址前缀区分以避免混淆（见表 2.4）。

2.3.1 交易简介#

• 区块链账户系统有两种经典模型：
  • UTXO 模型（比特币为代表）
  • 账户状态转移模型（以太坊为代表）
• 比特币交易类似借据交易：交易主要分为输入和输出两部分。输入表示比特币从哪里来，输出表示比特币往哪里去。交易中比特币数值可继续划分，但输入和输出本身都是单一整体，不可划分。
• 参与者共同充当公证人角色，密码学原理充当借据上的印章和签名。

2.3.2 输出#

• 一个交易可具备多个输出。
• 输出包含两个主要部分：
  1. 输出的比特币数量：64 位整数记录，单位为聪（Satoshi），大小为 1/100,000,000 BTC。
  2. 输出的比特币所有者：通过脚本系统实现，输出脚本相当于对比特币”上锁”，只有对应所有者才能解开。

表 2.1 比特币交易输出结构

2.3.3 输入#

• 交易输入不能凭空产生，必须引用和解锁一个已完成的其他交易的一个输出。
• 输入由两部分组成：
  1. 对前一个交易输出的引用：通过交易的哈希值和输出在该交易中的位置决定。
  2. 解锁脚本：通常使用用户密钥生成，只有用户本人才能生成。
• 一个交易也可有多个输入（如想转 2BTC，一个输出来源不够时可合并多个）。

表 2.2 比特币交易输入结构

2.3.4 UTXO 模型#

• UTXO（Unspent Transaction Output）：未花费交易输出。衡量用户拥有多少比特币，不仅要看拥有多少交易的输出，还要看这些输出有没有被”花出去”。
• 用户余额 = 所有该用户可解锁且尚未被花费的交易输出之和。
• 交易完成后的输出仍存在，但不能再被使用——已被”花费”。
• 任意比特币可不断回溯：每一笔持币的持有证明都通过前面一层又一层交易的签名确认得到。中本聪白皮书称为**“电子货币是一条数字签名链”**。
• 比特币的新增来源于矿工的打包区块奖励交易（即 coinbase 交易，没有输入，只有转向打包者的输出）。

表 2.3 比特币交易数据结构

2.4.1 锁定与解锁#

• 交易验证时，比特币程序检查锁定脚本（输出脚本，scriptPubKey）和解锁脚本（输入脚本，scriptSig），保证 UTXO 由持有者使用。
• 脚本执行在基于栈的虚拟机中进行——操作如入栈、出栈、复制栈顶元素等。
• 执行顺序：先执行当前交易的解锁脚本，再执行前置交易的锁定脚本；两者都正确返回 True 时交易才合法。
• 转账流程（Alice → Bob → Cathy 示例）：
  1. Bob 向 Alice 提供公钥；
  2. Alice 将 Bob 公钥写入锁定脚本，“锁”到 Bob 的公钥上；
  3. Bob 转账给 Cathy 时，将 Cathy 公钥写入输出，然后用自己的私钥对交易（不含解锁脚本的版本）签名，写入解锁脚本；
  4. 节点验证时，拼接解锁脚本 + 锁定脚本，依此验证签名和公钥是否匹配，验证通过则 Bob 可花费这笔 UTXO。
• 注意：这里的 Bob 提供的是公钥而非地址。当前多数文本资料中”地址”为公钥经过多轮哈希、编码后生成的，对应 P2PKH 类型转账。
• 真实交易示例：交易 6f55... 花费了交易 110e... 的输出，脚本执行过程为 OP_PUSHBYTES 入栈签名和公钥，OP_CHECKSIG 验证，返回 True 则交易合法。
• 比特币交易脚本从某种程度上可看作一种智能合约——事件驱动 + 价值转移，由软件自动执行。

2.4.2 常见脚本类型#

1. Pay-to-PublicKey（P2PK）：锁定脚本包含公钥，解锁脚本需给出对应私钥签名。
2. Pay-to-PublicKey-Hash（P2PKH）：锁定脚本包含公钥的哈希值，解锁脚本需额外给出对应哈希值的公钥。比 P2PK 更常见，优点：
   • 安全：不直接暴露公钥，防止公钥泄露后被反推私钥（即使在现有体系下通过公钥计算私钥非常困难）。
   • 节省手续费：锁定脚本使用长度更短的公钥哈希值，交易数据量减少。
   • P2PKH 脚本执行流程：入栈签名 → 入栈公钥 → OP_DUP 复制公钥 → OP_HASH160 求哈希 → 入栈公钥哈希值 → OP_EQUALVERIFY 验证哈希相等 → OP_CHECKSIG 验证签名。
3. Pay-to-Script-Hash（P2SH）：输出脚本包含一段脚本的哈希值，解锁脚本给出序列化后的脚本，哈希值需一致，脚本验证通过后反序列化并执行。大量应用于多重签名钱包。
4. NullData：OP_RETURN 操作对应的脚本，专门用于存储和交易逻辑无关的数据，交易输出会被当作假 UTXO，无法被花费。常用于存证、币的销毁证明等场景。

• 隔离见证（SegWit）激活后将部分脚本内容移至 Witness 字段；后续还有 Taproot 软分叉升级。

2.4.3 多重签名钱包#

• 多重签名钱包：N 个人共同管理一笔钱，至少需 M 个人同意才能花费（M-of-N）。
• 使用 P2SH 脚本类型实现：
  1. 解锁脚本提供多个签名数据和 Redeem Script；
  2. OP_HASH160 对 Redeem Script 求哈希，与锁定脚本中的哈希值对比（OP_EQUAL）；
  3. 反序列化 Redeem Script，执行其中的 OP_CHECKMULTISIG 验证多方签名。
• 多重签名钱包由代码定义、各节点独立执行、通过区块链手段保证多方共识难以篡改——这是区块链智能合约技术的主要特点。
• 重要限制：比特币脚本不是图灵完备的，无法执行循环等复杂操作。为改进这一点，产生了支持图灵完备智能合约的以太坊项目。

2.5.1 私钥#

• 比特币加密体系采用椭圆曲线进行非对称加密。
• 私钥长度：32 字节（32B）。
• 合法私钥范围：0x1 到 0xFFFF FFFF FFFF FFFF FFFF FFFF FFFF FFFE BAAE DCE6 AF48 A03B BFD2 5E8C D036 4141 之间的任意 64 位十六进制整数。
• 私钥是确认 UTXO 所有权的唯一方法，代表地址中所有比特币的使用权，一旦泄露意味着地址中的比特币会被别人随意使用。

2.5.2 公钥#

• 公钥通过在特定椭圆曲线上乘以一个固定点得到，是一个坐标值。
• 比特币使用的椭圆曲线：secp256k1（由 SECG 提出），形如 y² = x³ + 7。
• 公钥 Raw 格式：128 位十六进制数，一般加上 0x04 作为前缀（共 130 位）。
• 压缩公钥格式：只保存 x 坐标 + y 坐标的符号（0x02 或 0x03 区分），因椭圆曲线特性——一个 x 坐标只对应两个互为相反数的 y 坐标。

2.5.3 普通地址#

• 普通地址（Legacy Address）对应 P2PKH 转账脚本，生成步骤：
  1. 对公钥进行 SHA256 哈希计算；
  2. 对上述结果进行 RIPEMD160 哈希计算；
  3. 计算校验和：对上述结果进行两次 SHA256，取前 **4 字节（前 8 个十六进制数）**作为校验码；
  4. 使用主网地址前缀 00（表明这是主网普通地址），拼接：主网前缀 00 + RIPEMD160 结果 + 校验和前 4B。

2.5.4 Base58 编码#

• 十六进制数可读性很差，比特币定义 Base58 编码系统对公私密钥进行编码。
• 编码字符集：数字 + 26 个大写字母 + 26 个小写字母，去除数字 0、大写字母 O、大写字母 I、小写字母 l（共 58 个字符，避免混淆）。

2.5.5 其他地址#

• 不同地址通过独特前缀区分：

表 2.4 比特币地址类别及对应前缀

• 见证隔离等脚本采用 bc 作为地址前缀。

2.6.1 区块#

• 如果把区块链理解为数字账本，一个区块就是账本上的一页。
• 区块由**区块头（Header）和区块体（Body）**组成：区块头包含该区块的所有摘要信息，区块体存放交易等详细数据。

2.6.2 区块头#

• 区块头尽可能小以提高传输效率：不存放交易列表，而是存放交易列表的哈希值（Merkle 根）。

表 2.5 比特币的区块头数据结构

• Nonce：可动态调整的随机数，用来在计算产生条件时”凑齐”一个满足产生门槛条件的合法区块（因为如果区块数据全部固定，哈希值就不会变化）。

2.6.3 Merkle 树#

• Merkle 树：计算机科学家 Ralph Merkle 于 1979 年提出，是通过元素哈希值构成的二叉树。
• 构造：叶子节点为每个交易的哈希值 → 两两配对计算上层哈希值 → 逐层计算直到得到唯一的 Merkle 根（hashMerkleRoot）。
• 与直接对整个列表计算哈希相比的三大优点：
  1. 交易哈希值校验：任意交易变动，从根到该叶子节点路径上所有哈希值都会变，可精确定位出错交易。
  2. 快速重新计算：只对修改节点路径上的哈希值重新计算，不需重新计算整个列表。
  3. Merkle 树分支与轻节点验证：只需提供对应叶子节点的 Merkle 树分支路径即可完成验证（如验证交易 2 只需提供 Hash₀₁ 和 Hash₂₃），轻节点只需存储区块头而非所有交易列表（即 SPV，简单支付验证）。

2.6.4 区块链#

• 每个区块头包含指向前一区块的哈希值，不断往前追溯最终到达创世区块（Genesis Block）。
• 从创世区块到当前区块包含的区块数量称为当前区块的高度（Height）。
• 不可篡改原理：中间区块被篡改 → 哈希值剧烈变化 → 与后续区块的前向哈希冲突 → 必须逐个修改后续所有区块 → 由于每个区块产生都有难度要求，所需精力呈指数级陡增（类似多米诺骨牌效应）。

2.7.1 PoW#

• 比特币采用**工作量证明（PoW）**作为全网共识机制。
• 合法区块条件：区块哈希值的前 n 位必须为 0（n 称为难度 Difficulty）。
• Nonce：区块中可动态变化的数字，打包人必须不断尝试不同 Nonce 值来”凑数”，直到生成满足条件的区块哈希值。
• 由于哈希函数的单向性，Nonce 只能通过随机尝试的方式找到（类似抽奖，代价是时间，奖品是打包区块的权利）。这个过程称为挖矿（Mining），参与节点称为矿工（Miner）。
• 打包区块奖励（coinbase 交易，无输入只有输出）是所有 UTXO 中比特币的唯一来源。
• 在哈希函数足够随机且参与者足够多的情况下，找到合适 Nonce 所需时间的期望值收敛到一个值，与难度相关。

2.7.2 分叉#

• 分叉（Fork）：两个不同矿工在相同时间（或相继很短时间）生成两个同样高度的区块，区块链产生两个合法的后继区块。
• 分叉原因：
  • 挖矿难度过低，出块速度快，容易同时产生区块；
  • 网络通信时延过长，新区块不能很好传播，不知情的矿工继续在同一高度挖矿。
• 双花（Double Spending）：在分叉情况下，同一 UTXO 可能被两个冲突交易分别在不同的分支中花费，即同一笔钱被花了两次。

2.7.3 算力与难度调整#

• 哈希算力：全网机器在固定时间内能进行尝试的次数。随时间推移，参与节点增加、机器性能增强，全网算力会不断提高。
• 如果难度固定，算力提高会导致出块时间越来越短、分叉大量产生；算力下降则交易很久才能确认。
• 难度调整：当最近一段时间区块平均时间间隔过短 → 说明全网算力提高了 → 适当提高难度；反之亦然。最终目标是将区块间隔稳定在约 10 分钟。
• 因难度总是与前序区块产生时间相关，所有矿工不会在难度调整上产生分歧。

2.7.4 最长链原则#

• 为避免分叉导致全网不一致，比特币使用最长链原则确定节点应选择的分支。
• 矿工选择更长分支进行后续挖矿总是更有利：因为哈希函数随机性充足，在短分支上挖矿意味着产生的新区块数量很难超过同时在更长链上产生新区块的其他节点。
• 51% 攻击：破坏者修改一个区块后，必须产生比当前区块链还要长的分支来获得他人认可，攻击者算力需占全网算力的 51% 以上才能实现。

UTXO 模型 vs 账户状态转移模型#

对称加密 vs 非对称加密#

P2PK vs P2PKH vs P2SH vs NullData#

主网 vs 测试网#

SHA256 vs RIPEMD160（在比特币地址生成中的作用）#