Go crypto/ecdh PublicKey.Bytes 怎样导出公钥字节

如果你已经有一个 *ecdh.PublicKey，想把它放进网络协议、消息或持久化字段，最直接的做法是调用 PublicKey.Bytes()。这个方法返回公钥编码的副本；接收端再使用对应曲线的 NewPublicKey 解析，最后用 Equal 或 Curve 做结果判断。

官方地址：https://pkg.go.dev/crypto/ecdh

这条链路可以概括为：PrivateKey.PublicKey() 得到公钥对象，PublicKey.Bytes() 得到编码字节，接收端用同一条曲线调用 NewPublicKey。不要把 PrivateKey.Bytes() 当作公钥发送，也不要只比较字符串形式就认为两把公钥属于同一条曲线。

先分清 PublicKey、编码字节和曲线

crypto/ecdh 把椭圆曲线密钥交换中的对象分开表达：PrivateKey 保存私钥，PublicKey 表示可给对端使用的公钥，Curve 决定密钥的曲线语义。PublicKey.Bytes() 只负责返回公钥的编码表示，不负责把它变成 JSON、Base64 或协议字段。

官方文档对 PublicKey.Bytes 的描述是“返回公钥编码的副本”。这里有两个关键词：

• 编码：返回的是可以交给协议层处理的字节表示，不是另一个 PublicKey 对象。
• 副本：调用者拿到的切片是独立返回值，后续修改这个切片不会直接修改库内部的公钥对象。

不同曲线的编码规则也不应混为一谈。对 NIST 曲线，NewPublicKey 按 SEC 1 的未压缩点编码解析；对 X25519，文档描述的是固定长度的 u 坐标。实际协议应把“使用哪条曲线”作为元数据或固定约定，不能只传一段没有上下文的字节。

生成公钥并导出可传输字节

下面是最小的导出示例。示例只展示公钥编码，不把私钥字节写入日志或网络字段。

package main

import (
    "crypto/ecdh"
    "crypto/rand"
    "fmt"
)

func exportPublicKey() ([]byte, error) {
    // 使用系统随机源生成 P-256 私钥；私钥只留在本端。
    privateKey, err := ecdh.P256().GenerateKey(rand.Reader)
    if err != nil {
        return nil, fmt.Errorf("生成 ECDH 私钥失败: %w", err)
    }

    // PublicKey 返回与私钥对应的公钥对象，Bytes 返回其编码副本。
    publicKey := privateKey.PublicKey()
    encoded := publicKey.Bytes()
    if len(encoded) == 0 {
        return nil, fmt.Errorf("公钥编码为空")
    }
    return encoded, nil
}

返回的 []byte 可以继续交给 Base64、二进制协议或数据库层。编码方式属于外层协议的选择，PublicKey.Bytes 本身不会替你添加曲线名称、版本号或字段长度。

工程上建议把曲线标识与公钥字节放在同一份协议定义中。例如字段可以表达为“曲线枚举 + 公钥字节串”，接收端先依据枚举选择 ecdh.P256()、ecdh.P384()、ecdh.P521() 或 ecdh.X25519()，再调用对应曲线的 NewPublicKey。

用 NewPublicKey 在接收端重新解析

导出和解析必须使用同一条曲线。解析失败时不要忽略错误，因为错误可能意味着字节被截断、编码格式不对、曲线选择错误，或者输入本身不是可接受的公钥。

func importPublicKey(encoded []byte) (*ecdh.PublicKey, error) {
    // 这里的曲线选择必须与发送端的协议元数据一致。
    curve := ecdh.P256()
    publicKey, err := curve.NewPublicKey(encoded)
    if err != nil {
        return nil, fmt.Errorf("解析 P-256 公钥失败: %w", err)
    }
    return publicKey, nil
}

NewPublicKey 会检查输入是否满足该曲线的编码约束。对 NIST 曲线，压缩点和无穷远点不在文档描述的可接受范围内；对 X25519，输入长度和坐标规则又不同。因此，不能先按某种自定义格式裁剪字节，再期待标准库自动恢复原公钥。

如果协议使用 Base64，Base64 解码也要放在调用 NewPublicKey 之前，并把解码错误与公钥解析错误区分开。这样排查时能知道问题出在文本传输层还是曲线编码层。

理解 Bytes 返回副本的边界

Bytes() 返回副本主要解决的是对象内部表示与调用方切片之间的隔离。它不表示这段字节可以随意公开：公钥虽然不是私钥，但仍然可能属于协议身份、会话协商或访问控制数据，日志、缓存和持久化都应遵守自己的数据管理规则。

func copyBoundary() error {
    // 生成一把公钥，随后取出独立的编码字节。
    privateKey, err := ecdh.P256().GenerateKey(rand.Reader)
    if err != nil {
        return fmt.Errorf("生成私钥失败: %w", err)
    }
    original := privateKey.PublicKey()
    encoded := original.Bytes()

    // 修改返回切片只影响调用方副本，不会改写 original 对象。
    encoded[0] ^= 0xff
    if original.Equal(original) == false {
        return fmt.Errorf("公钥对象自身比较失败")
    }
    return nil
}

上例只用来说明副本边界，不能把“修改后仍能解析”当成正确性保证。修改后的字节可能已经不再是合法编码，正确做法是保留原始编码，或在需要不同缓冲区时显式复制：

func cloneEncodedKey(publicKey *ecdh.PublicKey) []byte {
    // append 到空切片可以得到一份与 Bytes 返回值无关的新副本。
    return append([]byte(nil), publicKey.Bytes()...)
}

用 Equal 和 Curve 做结果检查

把字节交给接收端解析后，常见的检查目标有三个，不要混成一个问题：

func roundTrip(encoded []byte) error {
    // 使用与编码来源一致的曲线进行解析。
    decoded, err := ecdh.P256().NewPublicKey(encoded)
    if err != nil {
        return fmt.Errorf("公钥往返解析失败: %w", err)
    }

    // Equal 比较公钥对象；它不是对任意字节串做文本比较。
    if decoded.Equal(decoded) == false {
        return fmt.Errorf("解析后的公钥自比较失败")
    }
    return nil
}

如果要比较发送端和接收端的对象，应保存发送端对象并传入 decoded.Equal(original)。如果只剩下编码字节，就先按协议选择曲线并解析，不能跳过解析直接把不同曲线的字节做字符串比较。

排查公钥导出失败时看哪些信号

• 解析报错：先确认传输层没有截断、Base64 没有混入换行或非法字符，再确认曲线元数据没有选错。
• 同样的字节却无法还原：检查是否在传输前把十六进制文本、Base64 文本和原始字节重复转换了一次。
• 比较结果不一致：确认比较的是完整编码，且两端使用相同曲线；不要把公钥编码和私钥编码互换。
• 想把公钥存成字符串：选择协议明确支持的 Base64 或十六进制表示，并在读取时只解码一次。

这套排查顺序的重点是先看“字节表示是否完整”，再看“曲线是否正确”，最后才判断“对象是否相等”。这样可以把传输问题和密码学对象问题分开。

相关问题

PublicKey.Bytes 返回的是压缩公钥吗？

不能一概而论。具体编码由曲线实现决定；NIST 曲线与 X25519 的文档约束不同，程序应以同一曲线的 NewPublicKey 作为解析入口。

能不能把 PublicKey.Bytes 当作私钥保存？

不能。它是公钥编码，不能替代私钥，也不能用于恢复私钥。私钥材料应走独立的密钥保管和序列化方案。

为什么解析公钥时必须传入 Curve？

因为编码的合法性和长度由曲线决定。显式选择曲线能让接收端在边界处尽早拒绝不匹配输入。