如何从非钳位Ed25519公钥/私钥得到相同X25519公钥？

问题背景 #

• 核心需求：仅持有非钳位Ed25519公钥时，需计算出与从Ed25519私钥派生的X25519公钥完全一致的结果，需满足两个场景结果匹配：
  1. 从非钳位Ed25519公钥转换得到X25519公钥
  2. 从Ed25519私钥直接派生X25519公钥
• 钳位场景的正常表现：拥有钳位的Ed25519密钥对(ed_pk/ed_sk)，通过crypto_scalarmult_base从ed_sk派生的X25519公钥x_pk，与通过crypto_sign_ed25519_pk_to_curve25519从ed_pk转换得到的x_pk完全一致
• 非钳位场景的异常：使用crypto_scalarmult_ed25519_base_noclamp生成非钳位ed_pk后，通过转换得到的x_pk和从私钥派生的结果不一致

问题解答 #

A. 能否将非钳位公钥转为钳位版本？ #

可以，但前提是持有对应的Ed25519私钥，或明确知晓原始私钥的钳位规则。

Ed25519的私钥钳位是对32字节种子的特定处理：

• 保留种子前31字节，截取第32字节的最高3位
• 将第32字节的最低位设为1，次低位设为0

但仅靠非钳位公钥无法反向推导出钳位后的私钥：公钥是私钥标量乘曲线基点得到的点，存在多对一映射（不同私钥可能对应同一公钥，非钳位场景下更明显）。没有私钥的话，无法确认该公钥对应的私钥是否经过钳位——本质上，公钥本身是曲线上的点，不存在“钳位/非钳位”属性，该属性仅针对私钥。

若持有对应私钥，可先对私钥执行钳位处理，再重新生成钳位后的Ed25519公钥，后续转换X25519公钥即可与私钥派生结果匹配。

B. 能否修改Ed25519-X25519转换逻辑，使非钳位场景下结果匹配？ #

可以，但需理解两者的曲线映射规则，调整转换时的标量或点处理逻辑。

核心原因

Ed25519与X25519基于同一Curve25519曲线，但密钥生成规则存在差异：

• Ed25519私钥钳位会修改标量的特定位，确保生成的点落在曲线主子群内
• X25519的crypto_scalarmult_base默认使用钳位后的私钥标量生成公钥
• 非钳位Ed25519公钥由未钳位的私钥标量生成，标准转换函数crypto_sign_ed25519_pk_to_curve25519仅做点格式映射，得到的是未钳位标量对应的X25519点，自然与钳位标量生成的X25519公钥不一致。

可行的修改方向

1. 调整私钥派生逻辑：若允许修改私钥处理步骤，不对Ed25519私钥做钳位，直接用原始私钥标量调用crypto_scalarmult_base_noclamp生成X25519公钥，此时结果会与非钳位Ed25519公钥转换后的结果一致。
2. 调整公钥转换逻辑：若必须保留X25519的钳位私钥派生逻辑，需先从非钳位Ed25519公钥反推对应的未钳位私钥标量，再对标量执行X25519的钳位处理，最后用钳位后的标量重新生成X25519公钥——但此方法依赖于能获取原始私钥，否则无法反向推导标量。

注意：修改转换逻辑时必须严格遵循椭圆曲线数学规则，确保处理后的标量仍在曲线有效子群范围内，避免引入安全漏洞。

内容的提问来源于stack exchange，提问作者user569825