给定x、y坐标和曲线名验证ECPoint在EllipticCurve上的有效性

1. 原代码不生效的根本原因 #

OpenJDK/Oracle JDK 默认的EC密钥工厂实现，在生成ECPublicKey时仅会校验坐标的基础格式，不会主动执行「点是否在曲线上」「点是否属于正确子群」的强校验，因此即使输入无效点也不会抛出异常，这是最初代码误判的核心原因。

2. 当前遗漏的校验规则 #

你已经实现了曲线方程校验，但是对于规范的EC公钥有效性验证，还需要补充两个必要校验：

• 坐标范围校验：素数域Fp的曲线要求x、y坐标必须落在区间 [0, p-1] 内，超出范围的坐标直接判定为无效
• 子群阶校验：有效公钥点必须属于曲线定义的素数阶子群，即满足 n * P = POINT_INFINITY，其中n是曲线的子群阶，P是待校验的点。仅满足曲线方程的点可能属于其他子群，不属于规范要求的有效公钥点。

3. 完整实现代码（仅使用JDK原生API） #

// 入参说明：待校验的ECPoint ecPoint、目标曲线参数ECParameterSpec ecParameters
public boolean isEcPointValid(ECPoint ecPoint, ECParameterSpec ecParameters) {
    // 校验1：直接排除无穷远点
    if (ecPoint.equals(ECPoint.POINT_INFINITY)) {
        return false;
    }
    BigInteger x = ecPoint.getAffineX();
    BigInteger y = ecPoint.getAffineY();
    EllipticCurve ellCurve = ecParameters.getCurve();
    
    // 校验2：坐标范围校验（secp系列均为素数域Fp曲线，二进制域曲线需单独适配）
    if (!(ellCurve.getField() instanceof ECFieldFp fp)) {
        throw new IllegalArgumentException("暂不支持非素数域EC曲线");
    }
    BigInteger p = fp.getP();
    if (x.signum() < 0 || x.compareTo(p) >= 0 || y.signum() <0 || y.compareTo(p)>=0) {
        return false;
    }
    
    // 校验3：代入曲线方程验证y² ≡ x³ + ax + b mod p
    BigInteger a = ellCurve.getA();
    BigInteger b = ellCurve.getB();
    BigInteger rhs = x.multiply(x).multiply(x).add(a.multiply(x)).add(b).mod(p);
    BigInteger lhs = y.multiply(y).mod(p);
    if (!lhs.equals(rhs)) {
        return false;
    }
    
    // 校验4：触发JDK原生子群阶校验，无需依赖内部API
    try {
        ECPublicKeySpec keySpec = new ECPublicKeySpec(ecPoint, ecParameters);
        KeyFactory keyFactory = KeyFactory.getInstance("EC");
        ECPublicKey publicKey = (ECPublicKey) keyFactory.generatePublic(keySpec);
        // ECDH初始化阶段会执行完整的子群合法性校验，无效点会抛出异常
        KeyAgreement ka = KeyAgreement.getInstance("ECDH");
        ka.init(publicKey);
        return true;
    } catch (Exception e) {
        return false;
    }
}

4. 针对secp521r1测试用例的说明 #

你提供的测试用例坐标满足曲线方程，但未通过坐标范围或子群阶校验，直接调用上述方法即可得到正确的校验结果。

内容的提问来源于stack exchange，提问作者factor2