如何从Node.js的Sign对象中提取R、S值？

Node.js中crypto.sign默认返回的DER编码ASN.1格式签名，结构遵循ASN.1序列规范，包含两个整数R和S。要提取这两个值，直接操作签名的Buffer对象即可，以下是具体实现：

DER签名结构说明 #

secp256k1对应的DER签名格式为：

• 0x30：ASN.1序列标签
• 1字节：序列总长度
• 0x02：整数标签（对应R）
• 1字节：R的字节长度（若R最高位为1，会额外加0x00前缀，长度为33）
• R的字节数据（含可能的前缀）
• 0x02：整数标签（对应S）
• 1字节：S的字节长度（同样可能带0x00前缀）
• S的字节数据（含可能的前缀）

提取代码实现 #

// 从DER格式的ECDSA签名Buffer中提取R、S值
function extractRSFromDER(signature) {
    let offset = 0;

    // 验证序列标签
    if (signature.readUInt8(offset++) !== 0x30) {
        throw new Error("无效DER签名：缺少序列标签");
    }

    // 跳过总长度（此处无需使用，直接按结构解析）
    offset++;

    // 提取R值
    if (signature.readUInt8(offset++) !== 0x02) {
        throw new Error("无效DER签名：缺少R整数标签");
    }
    const rLen = signature.readUInt8(offset++);
    let rBytes = signature.slice(offset, offset + rLen);
    offset += rLen;
    // 移除可能的0x00前缀（ASN.1正数最高位为1时会添加）
    if (rBytes[0] === 0x00) {
        rBytes = rBytes.slice(1);
    }

    // 提取S值
    if (signature.readUInt8(offset++) !== 0x02) {
        throw new Error("无效DER签名：缺少S整数标签");
    }
    const sLen = signature.readUInt8(offset++);
    let sBytes = signature.slice(offset, offset + sLen);
    // 移除可能的0x00前缀
    if (sBytes[0] === 0x00) {
        sBytes = sBytes.slice(1);
    }

    // 验证secp256k1要求的32字节长度
    if (rBytes.length !== 32 || sBytes.length !== 32) {
        throw new Error("R/S长度不符合secp256k1标准");
    }

    return {
        rHex: rBytes.toString("hex"),
        sHex: sBytes.toString("hex"),
        rBigInt: BigInt(`0x${rBytes.toString("hex")}`),
        sBigInt: BigInt(`0x${sBytes.toString("hex")}`)
    };
}

// 结合你的签名代码使用
const { privKey, pubKey } = crypto.generateKeyPairSync('ec', { namedCurve: 'secp256k1' });
const sign = crypto.createSign('SHA256');
sign.update('message to be signed');
sign.end();
const signature = sign.sign(privKey);

// 提取R、S
const rsValues = extractRSFromDER(signature);
console.log("R(十六进制):", rsValues.rHex);
console.log("S(十六进制):", rsValues.sHex);
console.log("R(大整数):", rsValues.rBigInt);
console.log("S(大整数):", rsValues.sBigInt);

关键说明 #

• 直接操作Node.js的Buffer对象，无需额外依赖
• 处理ASN.1整数的符号前缀问题，确保提取的是原始32字节的R、S值
• 加入长度验证，避免无效签名导致的错误

内容的提问来源于stack exchange，提问作者Jason