Falcon后量子密码测试向量nonce尺寸与文档规格不符的疑问

• 你混淆了测试向量的字段定义：官方C代码中KAT_SIG_512数组的第一个元素并非文档规范里的40字节nonce r，而是用于生成nonce的32字节随机种子。
• Falcon签名算法的实际流程中，nonce r是通过对私钥、消息和该种子进行哈希运算生成的，最终输出的r长度为40字节，完全符合文档要求。
• 官方测试向量采用32字节种子是遵循NIST密码算法测试向量（KAT）的统一生成规则——NIST要求KAT使用固定长度的种子推导所有随机参数，确保测试的可重复性，而非直接使用最终的40字节nonce。
• 你可以查看代码中签名函数的实现逻辑：当传入该32字节种子时，代码内部会自动调用哈希函数（如SHA-512）将其扩展为所需的40字节nonce r，这一步是内部处理流程，不会暴露在测试向量的外层定义中。

内容的提问来源于stack exchange，提问作者Hiesker Tronco