能否在C与Python间互转FALCON密钥？验证失败求解答

• 先对齐密钥编码的核心差异
  C版NIST参考实现的密钥编码是遵循FALCON规范的压缩字节流（由falcon_encode_*函数生成），而Python的falcon.py直接使用原始的多项式系数数组——公钥存h数组，私钥存f、g、F、G数组。这是跨环境互转的核心卡点。

• 修正C到Python的公钥转换流程

  1. 从C侧导出原始公钥系数：在生成密钥后，不要直接调用falcon_encode_pubkey，而是提取falcon_pubkey结构体里的h数组（长度对应你用的FALCON参数，比如FALCON-512就是512个系数）。
  2. 导出系数：把这些整数系数按固定格式写入文件（比如每个系数用4字节大端整数存储），Python侧用struct模块读取后，直接赋值给falcon.py公钥对象的h属性。
  3. 若只有编码后的C公钥：先用C的falcon_decode_pubkey解码出原始h数组，再按上面的步骤导出给Python。

• 排查签名验证失败的关键要点

  • 确认参数一致：两边必须用同一个FALCON参数（FALCON-512/1024），参数不匹配直接导致验证失败。
  • 哈希算法对齐：检查C版默认使用的哈希算法（SHA-256/SHA-512），Python调用verify时必须指定相同的哈希函数，不能用默认值凑数。
  • 签名格式匹配：C版falcon_encode_signature输出的是压缩签名字节流，Python的falcon.py可能需要你先把这个签名解码成s1、s2多项式数组，再传入验证函数。
  • 字节序统一：导出系数时要注意大端/小端，C的整数存储端序要和Pythonstruct读取时的格式一致（比如C用小端就用<i格式解码）。

• 私钥互转的注意事项
  私钥的f、g、F、G同样提取原始系数数组即可，直接从C的falcon_privkey结构体里导出，不需要经过编码函数。注意系数的模范围，确保导出时没有溢出或截断，C的整数直接转Python整数即可兼容。

内容的提问来源于stack exchange，提问作者Ben Marian