如何从子公钥推导父公钥？HD钱包兼容的智能合约白名单实现

一、从子地址反向计算父地址？不可能 #

以太坊地址是公钥经keccak256哈希后取最后20字节生成的，哈希是单向不可逆的，连公钥都没法从地址反推，更别说父地址。

另外HD钱包的子地址生成是单向流程：父私钥 + 推导路径 → 子私钥 → 子公钥 → 子地址，这个过程没有反向数学逻辑支持，完全没法从子地址倒推父地址。

二、可行方案：用扩展公钥（xPub）实时验证子地址归属 #

既然反向走不通，你可以通过存储父地址对应的扩展公钥，结合调用者提供的推导路径，实时验证子地址是否属于白名单父地址的HD钱包。具体步骤：

1. 扩展合约变量 #

添加存储父地址到扩展公钥的映射：

mapping(address => bool) public whitelist; // 原白名单映射
mapping(address => bytes) public parentToXpub; // 存储白名单父地址对应的扩展公钥

2. 改造修饰器与函数 #

让调用者传入父地址和子地址的推导路径，合约先校验父地址在白名单，再用父地址的xPub推导子地址，对比是否等于msg.sender：

modifier onlyWhiteListed(address parentAddr, uint[] calldata path) {
    require(whitelist[parentAddr], "父地址不在白名单");
    bytes memory xpub = parentToXpub[parentAddr];
    require(xpub.length != 0, "该父地址未存储扩展公钥");

    // 用xPub和路径推导子地址
    address derivedChildAddr = deriveChildAddress(xpub, path);
    require(derivedChildAddr == msg.sender, "调用地址不属于该父地址的HD钱包");
    _;
}

// 示例函数，调用时需传入父地址和路径
function myWhitelistedFunc(address parentAddr, uint[] calldata path) external onlyWhiteListed(parentAddr, path) {
    // 函数逻辑
}

3. 实现HD公钥推导逻辑 #

你需要在合约里实现BIP-32标准的公钥推导，核心是椭圆曲线点运算：

• 扩展公钥包含父公钥和链码两部分
• 对路径里的每个索引，计算HMAC-SHA512(链码, 父公钥 + 索引)，结果拆成左半部分（k）和新链码
• 子公钥 = 父公钥 + k * G（G是以太坊椭圆曲线基点）
• 子公钥经keccak256哈希后取最后20字节得到子地址

Solidity里处理椭圆曲线运算可以参考开源实现，比如OpenZeppelin的椭圆曲线工具类，避免重复造轮子。

三、从子公钥推导父公钥？同样不行 #

HD钱包子公钥的生成逻辑是：
子公钥 = 父公钥 + (HMAC-SHA512(父链码, 父公钥 + 索引)左半部分) * G
这里的哈希值k是单向生成的，椭圆曲线没有逆向运算能从子公钥反推父公钥——你没法通过子公钥 - 父公钥得到k，除非你持有推导时用的链码和索引，但这些信息不会随子公钥公开。

要验证子公钥属于某个父地址，只能用父扩展公钥和路径正向推导子公钥，再对比是否一致。

内容的提问来源于stack exchange，提问作者shapeare