區塊鏈教程(2)——P2P交易原理

參考：廖雪峰的官方網站區塊鏈教程
https://www.liaoxuefeng.com/wiki/1207298049439968

2.1 P2P交易原理

位元幣的交易是一種無需信任中介參與的P2P（Peer-to-peer）交易，

傳統的電子交易，交易雙方必須通過銀行這樣的信任機構作為中介，這樣可以保證交易的安全性，因為銀行記錄了交易雙方的賬戶資金，能保證在一筆交易中，要么保證成功，要么交易無效，不存在一方到賬而另一方沒有付款的情況，

但是在位元幣這種去中心化的P2P網路中，并沒有一個類似銀行這樣的信任機構存在，要想在兩個節點之間達成交易，就必須實作一種在零信任的情況下安全交易的機制，

數字簽名

在位元幣交易中，付款方就是通過數字簽名來證明自己擁有某一筆位元幣，并且，要把這筆位元幣轉移給指定的收款方，

使用簽名是為了驗證某個宣告確實是由某個人做出的，例如，在付款合同中簽名，可以通過驗證筆跡的方式核對身份，而在計算機中，用密碼學理論設計的數字簽名演算法比驗證筆跡更加可信，使用數字簽名時，每個人都可以自己生成一個秘鑰對，這個秘鑰對包含一個私鑰和一個公鑰：私鑰被稱為Secret Key或者Private Key，私鑰必須嚴格保密，不能泄漏給其他人；公鑰被稱為Public Key，可以公開給任何人：

當私鑰持有人，例如，小明希望對某個訊息簽名的時候，他可以用自己的私鑰對訊息進行簽名，然后，把訊息、簽名和自己的公鑰發送出去：

其他任何人都可以通過小明的公鑰對這個簽名進行驗證，如果驗證通過，可以肯定，該訊息是小明發出的，

數字簽名演算法在電子商務、在線支付這些領域有非常重要的作用：

首先，簽名不可偽造，因為私鑰只有簽名人自己知道，所以其他人無法偽造簽名，

其次，訊息不可篡改，如果原始訊息被人篡改了，那么對簽名進行驗證將失敗，

最后，簽名不可抵賴，如果對簽名進行驗證通過了，那么，該訊息肯定是由簽名人自己發出的，他不能抵賴自己曾經發過這一條訊息，

數字簽名演算法

常用的數字簽名演算法有：RSA演算法，DSA演算法和ECDSA演算法，位元幣采用的簽名演算法是橢圓曲線簽名演算法：ECDSA，使用的橢圓曲線是一個已經定義好的標準曲線secp256k1：
y 2 = x 3 + 7 y^2=x^3+7 y2=x3+7
這條曲線的影像長這樣：

位元幣采用的ECDSA簽名演算法需要一個私鑰和公鑰組成的秘鑰對：私鑰本質上就是一個 1 ～ 2 256 1～2^{256} 1～2256的亂數，公鑰是由私鑰根據ECDSA演算法推算出來的，通過私鑰可以很容易推算出公鑰，所以不必保存公鑰，但是，通過公鑰無法反推私鑰，只能暴力破解，

位元幣的私鑰是一個隨機的非常大的256位整數，它的上限，確切地說，比 2 256 2^{256} 2256要稍微小一點，而位元幣的公鑰是根據私鑰推算出的兩個256位整數，如果用銀行卡作比較的話，位元幣的公鑰相當于銀行卡卡號，它是兩個256位整數：

位元幣的私鑰相當于銀行卡密碼，它是一個256位整數：

18E14A7B6A307F426A94F8114701E7C8E774E7F9A47E2C2035DB29A206321725

銀行卡的卡號由銀行指定，銀行卡的密碼可以由用戶隨時修改，而位元幣“卡”和銀行卡的不同點在于：密碼（實際上是私鑰）由用戶先確定下來，然后計算出“卡號”（實際上是公鑰），即卡號是由密碼通過ECDSA演算法推匯出來的，不能更換密碼，因為更換密碼實際上相當于創建了一張新卡片，

由于位元幣賬本是全網公開的，所以，任何人都可以根據公鑰查詢余額，但是，不知道持卡人是誰，這就是位元幣的匿名特性，

丟失了私鑰和忘記銀行卡密碼不一樣，忘記銀行卡密碼可以拿身份證到銀行重新設定一個密碼，因為密碼是存盤在銀行的計算機中的，而位元幣的P2P網路不存在中央節點，私鑰只有持有人自己知道，因此，丟失了私鑰，對應的位元幣就永遠無法花費， 如果私鑰被盜，黑客就可以花費對應公鑰的位元幣，并且這是無法追回的，

位元幣私鑰的安全性在于如何生成一個安全的256位的亂數，不要試圖自己想一個亂數，而是應當使用編程語言提供的安全亂數演算法，但絕對不能使用偽亂數，

位元幣錢包

位元幣錢包實際上就是幫助用戶管理私鑰的軟體，因為位元幣的錢包是給普通用戶使用的，它有幾種分類：

本地錢包：是把私鑰保存在本地計算機硬碟上的錢包軟體，如Electrum；

手機錢包：和本地錢包類似，但可以直接在手機上運行，如Bitpay；

在線錢包：是把私鑰委托給第三方在線服務商保存；

紙錢包：是指把私鑰列印出來保存在紙上；

腦錢包：是指把私鑰記在自己腦袋里，

和銀行賬戶不同，位元幣網路沒有賬戶的概念，任何人都可以從區塊鏈查詢到任意公鑰對應的位元幣余額，但是，并不知道這些公鑰是由誰持有的，也就無法根據用戶查詢位元幣余額，

作為用戶，可以生成任意數量的私鑰-公鑰對，公鑰是接收別人轉賬的地址，而私鑰是花費位元幣的唯一手段，錢包程式可以幫助用戶管理私鑰-公鑰對，

交易

我們再來看記錄在區塊鏈上的交易，每個區塊都記錄了至少一筆交易，一筆交易就是把一定金額的位元幣從一個輸入轉移到一個輸出：

例如，小明把兩個位元幣轉移給小紅，這筆交易的輸入是小明，輸出就是小紅，實際記錄的是雙方的公鑰地址，

如果小明有50個位元幣，他要轉給小紅兩個位元幣，那么剩下的48個位元幣應該記錄在哪？位元幣協議規定一個輸出必須一次性花完，所以，小明給小紅的兩個位元幣的交易必須表示成：

小明給小紅2個位元幣，同時小明又給自己48個位元幣，這48個位元幣就是找零，所以，一個交易中，一個輸入可以對應多個輸出，

當小紅有兩筆收入時，一筆2.0，一筆1.5，她想給小白轉3.5位元幣時，就不能單用一筆輸出，她必須把兩筆錢合起來再花掉，這種情況就是一個交易對應多個輸入和1個輸出：

如果存在找零，這筆交易就既包含多個輸入也包含多個輸出：

在實際的交易中，輸入比輸出要稍微大一點點，這個差額就是隱含的交易費用，交易費用會算入當前區塊的礦工收入中作為礦工獎勵的一部分：

計算出的交易費用：

交易費用 = 輸入 - 輸出 = (2.0 + 1.5) - (2.99 + 0.49) = 3.5 - 3.48 = 0.02

位元幣實際的交易記錄是由一系列交易構成，每一個交易都包含一個或多個輸入，以及一個或多個輸出，未花費的輸出被稱為UTXO（Unspent Transaction Ouptut），

當我們要簡單驗證某個交易的時候，例如，對于交易f36abd，它記錄的輸入是3f96ab，索引號是1（索引號從0開始，0表示第一個輸出，1表示第二個輸出，以此類推），我們就根據3f96ab找到前面已發生的交易，再根據索引號找到對應的輸出是0.5個位元幣，所以，這筆交易的輸入總計是0.5個位元幣，輸出分別是0.4個位元幣和0.09個位元幣，隱含的交易費用是0.01個位元幣：

2.2 私鑰

在位元幣中，私鑰本質上就是一個256位的隨機整數，想要記住一個256位的整數是非常困難的，并且，如果記錯了其中某些位，這個記錯的整數仍然是一個有效的私鑰，因此，位元幣有一種對私鑰進行編碼的方式，這種編碼方式就是帶校驗的Base58編碼，

對私鑰進行Base58編碼有兩種方式，一種是非壓縮的私鑰格式，一種是壓縮的私鑰格式，它們分別對應非壓縮的公鑰格式和壓縮的公鑰格式，

非壓縮的私鑰格式是指在32位元組的私鑰前添加一個0x80位元組前綴，得到33位元組的資料，對其計算4位元組的校驗碼，附加到最后，一共得到37位元組的資料：

計算校驗碼非常簡單，對其進行兩次SHA256，取開頭4位元組作為校驗碼，

對這37位元組的資料進行Base58編碼，得到總是以5開頭的字串編碼，這個字串就是我們需要非常小心地保存的私鑰地址，又稱為錢包匯入格式：WIF（Wallet Import Format），整個程序如下圖所示：

目前，非壓縮的格式幾乎已經不使用了，

壓縮格式的私鑰編碼方式，與非壓縮格式不同的是，壓縮的私鑰格式會在32位元組的私鑰前后各添加一個0x80位元組前綴和0x01位元組后綴，共34位元組的資料，對其計算4位元組的校驗碼，附加到最后，一共得到38位元組的資料：

對這38位元組的資料進行Base58編碼，得到總是以K或L開頭的字串編碼，整個程序如下圖所示：

2.3 公鑰和地址

位元幣的公鑰是根據私鑰計算出來的，私鑰本質上是一個256位整數，記作k，根據位元幣采用的ECDSA演算法，可以推匯出兩個256位整數，記作(x, y)，這兩個256位整數即為非壓縮格式的公鑰，由于ECC曲線的特點，根據非壓縮格式的公鑰(x, y)的x實際上也可推算出y，但需要知道y的奇偶性，因此，可以根據(x, y)推算出x'，作為壓縮格式的公鑰，

壓縮格式的公鑰實際上只保存x這一個256位整數，但需要根據y的奇偶性在x前面添加02或03前綴，y為偶數時添加02，否則添加03，這樣，得到一個1+32=33位元組的壓縮格式的公鑰資料，記作x'，

注意壓縮格式的公鑰和非壓縮格式的公鑰是可以互相轉換的，但均不可反向推匯出私鑰，非壓縮格式的公鑰目前已很少使用，原因是非壓縮格式的公鑰簽名腳本資料會更長，

要特別注意，位元幣的地址并不是公鑰，而是公鑰的哈希，即從公鑰能推匯出地址，但從地址不能反推公鑰，因為哈希函式是單向函式，

以壓縮格式的公鑰為例，從公鑰計算地址的方法是，首先對1+32=33位元組的公鑰資料進行Hash160（即先計算SHA256，再計算RipeMD160），得到20位元組的哈希，然后，添加0x00前綴，得到1+20=21位元組資料，再計算4位元組校驗碼，拼在一起，總計得到1+20+4=25位元組資料：

對上述25位元組資料進行Base58編碼，得到總是以1開頭的字串，該字串即為位元幣地址，整個程序如下：

計算地址的時候，不必知道私鑰，可以直接從公鑰計算地址，要注意，對非壓縮格式的公鑰和壓縮格式的公鑰進行哈希編碼得到的地址，都是以1開頭的，因此，從地址本身并無法區分出使用的是壓縮格式還是非壓縮格式的公鑰，以1開頭的字串地址即為位元幣收款地址，可以安全地公開給任何人，僅提供地址并不能讓其他人得知公鑰，通常來說，公開公鑰并沒有安全風險，實際上，如果某個地址上有對應的資金，要花費該資金，就需要提供公鑰，如果某個地址的資金被花費過至少一次，該地址的公鑰實際上就公開了，

私鑰、公鑰以及地址的推導關系如下：

2.4 簽名

簽名演算法是使用私鑰簽名，公鑰驗證的方法，對一個訊息的真偽進行確認，如果一個人持有私鑰，他就可以使用私鑰對任意的訊息進行簽名，即通過私鑰sk對訊息message進行簽名，得到signature：

signature = sign(message, sk);

簽名的目的是為了證明，該訊息確實是由持有私鑰sk的人發出的，任何其他人都可以對簽名進行驗證，驗證方法是，由私鑰持有人公開對應的公鑰pk，其他人用公鑰pk對訊息message和簽名signature進行驗證：

isValid = verify(message, signature, pk);

如果驗證通過，則可以證明該訊息確實是由持有私鑰sk的人發出的，并且未經過篡改，數字簽名可以防偽造，防篡改，防抵賴，

對訊息進行簽名，實際上是對訊息的哈希進行簽名，這樣可以使任意長度的訊息在簽名前先轉換為固定長度的哈希資料，對哈希進行簽名相當于保證了原始訊息的不可偽造性，

位元幣對交易資料進行簽名和對訊息進行簽名的原理是一樣的，只是格式更加復雜，對交易簽名確保了只有持有私鑰的人才能夠花費對應地址的資金，