关于OpenSSL EVP_DigestSign函数与ED25519签名的技术疑问

为什么ED25519不支持单独指定摘要？ #

ED25519的签名算法设计内置固定哈希逻辑——它遵循RFC 8032标准，强制使用SHA-512对私钥和消息进行处理，整个流程是算法规范硬编码的，不需要也不允许外部指定其他摘要算法。这不是OpenSSL的限制，而是ED25519本身的标准要求。

OpenSSL的EVP_DigestSign是通用签名框架，适配多种算法，但对于ED25519这类“自带哈希”的算法，它会直接忽略你传入的摘要参数，走算法内置的标准流程。

预计算摘要后让ED25519签名是否合规/安全？ #

绝对不建议这么做，会引入严重安全漏洞：

• ED25519的安全性完全基于其完整的标准签名流程，必须直接处理原始消息。如果先对消息做哈希（比如SHA-256）再让ED25519签名哈希值，相当于把ED25519当成“哈希签名算法”，完全违背其设计规范，破坏了原本的安全证明。
• 这种非标准操作会让签名逻辑变成Sign(SHA-512(私钥, 自定义哈希(消息)))，而非标准的Sign(SHA-512(私钥, 消息))，没有任何安全保证，甚至可能被攻击者利用构造伪造签名。

正确处理大消息签名的方式 #

如果需要对大消息签名，不需要自行预计算摘要：

• OpenSSL的EVP_DigestSign接口支持分块写入消息，通过多次调用EVP_DigestSignUpdate即可，底层会自动按照ED25519标准流程处理大消息的哈希计算。
• 代码示例（无需指定摘要算法）：

  EVP_MD_CTX *ctx = EVP_MD_CTX_new();
  // 初始化时无需指定摘要，传入NULL即可
  EVP_DigestSignInit(ctx, NULL, NULL, NULL, ed25519_privkey);
  // 分块写入消息
  EVP_DigestSignUpdate(ctx, msg_chunk1, chunk1_len);
  EVP_DigestSignUpdate(ctx, msg_chunk2, chunk2_len);
  // 生成签名
  EVP_DigestSignFinal(ctx, sig_buffer, &sig_len);
  

内容的提问来源于stack exchange，提问作者user180574