是否存在满足私钥相加对应签名聚合特性的数字签名算法？

当然存在啦！这类签名算法其实就是密码学里常说的聚合签名（Aggregate Signature），完全符合你描述的所有条件。

最典型的实现：BLS聚合签名 #

BLS签名方案天生就支持这种“签名聚合+公钥聚合”的特性，完美对应你列出的规则：

• 私钥x1、x2是椭圆曲线安全群中的标量值，它们的“加法”（标量加法）得到的私钥x=x1+x2，对应的公钥X正好是X1与X2做椭圆曲线点加法的结果（也就是你所说的x1+x2对应的公钥）
• 对同一消息m，用x1生成签名sigma_1，x2生成签名sigma_2，将这两个签名执行椭圆曲线点加法（即你定义的操作“+”）得到sigma = sigma_1 + sigma_2
• 最后用聚合公钥X验证sigma对消息m的签名，结果必然是true，完全匹配你的验证逻辑

额外说明 #

这里的“+”操作并非普通整数加法，而是密码学安全群内的合规运算（比如椭圆曲线点群的加法），这也是聚合签名能够实现批量验证的核心设计。除了BLS，还有基于RSA等其他密码学原语的聚合签名方案，但BLS因为签名体积紧凑、验证效率高，目前在区块链（如以太坊2.0）、分布式身份系统等场景中应用广泛。

内容的提问来源于stack exchange，提问作者Xing Chang