Go ed25519.PrivateKey.Public 怎样从私钥取得公钥

在 Go 里，如果手上已经有一把合法的 ed25519.PrivateKey，不需要重新生成密钥就能取得对应公钥：

package main

import (
    "crypto/ed25519"
    "fmt"
)

func publicKeyOf(priv ed25519.PrivateKey) (ed25519.PublicKey, error) {
    // Public 返回 crypto.PublicKey 接口，这里断言回标准库的具体公钥类型。
    pub, ok := priv.Public().(ed25519.PublicKey)
    if !ok {
        return nil, fmt.Errorf("unexpected public key type %T", priv.Public())
    }
    return pub, nil
}

核心是 PrivateKey.Public() 返回一个 crypto.PublicKey 接口，而不是直接把签名声明成 ed25519.PublicKey。在标准库实现中，合法私钥表示里已经带有对应的公钥部分，Public 会据此得到新的公钥切片。拿到具体类型后，就可以把它交给 ed25519.Verify 或其它只接受 Ed25519 公钥的代码。

PrivateKey.Public 到底返回了什么

ed25519.PrivateKey 和 ed25519.PublicKey 本质上都是有明确语义的字节切片类型。当前标准库把 Ed25519 私钥表示为 PrivateKeySize 个字节，公钥表示为 PublicKeySize 个字节；RFC 8032 语境里的 32 字节种子，在 Go 包中通过 SeedSize 表示。

这意味着 Public 的职责是“从现有私钥对象取得对应公钥”，不是随机生成公钥，也不是从文件名、配置或签名内容猜测公钥。它的返回类型采用 crypto.PublicKey，是为了符合 Go 的通用密码接口；实际动态类型仍然是 ed25519.PublicKey。

为什么要做类型断言

接口值可以传给通用的 crypto.Signer、crypto.PublicKey 相关代码，但调用 Ed25519 专用函数时，通常需要具体的 ed25519.PublicKey。推荐使用带 ok 的类型断言，这样类型不符合预期时可以返回错误，而不是让类型断言直接 panic。

func verifyWithPrivateKey(priv ed25519.PrivateKey, message, signature []byte) error {
    // 只接受标准库返回的 Ed25519 公钥，不把任意 []byte 当成公钥。
    pub, ok := priv.Public().(ed25519.PublicKey)
    if !ok {
        return fmt.Errorf("private key returned %T, not ed25519.PublicKey", priv.Public())
    }

    // Verify 只负责判断签名是否对应这把公钥和这条原始消息。
    if !ed25519.Verify(pub, message, signature) {
        return errors.New("signature verification failed")
    }
    return nil
}

如果代码本身已经严格限定输入类型，直接写 pub := priv.Public().(ed25519.PublicKey) 也可以，但在密钥来自插件、接口适配层或长期存储时，带 ok 的写法更容易把数据问题转换成可处理的错误。

Public 不会重新生成一对密钥

下面三个动作经常被混在一起，实际职责不同：

如果系统只保存了种子，应先用 NewKeyFromSeed 恢复私钥，再调用 Public；如果系统需要新身份，则使用 GenerateKey。不要在每次验签前调用 GenerateKey，那样得到的公钥与已有签名没有关系。

func publicKeyFromSeed(seed []byte) (ed25519.PublicKey, error) {
    // NewKeyFromSeed 要求恰好使用 ed25519.SeedSize 字节种子。
    if len(seed) != ed25519.SeedSize {
        return nil, fmt.Errorf("seed length = %d, want %d", len(seed), ed25519.SeedSize)
    }

    // 由种子确定性恢复同一把私钥，再取得与它配对的公钥。
    priv := ed25519.NewKeyFromSeed(seed)
    pub, ok := priv.Public().(ed25519.PublicKey)
    if !ok {
        return nil, fmt.Errorf("unexpected public key type %T", priv.Public())
    }
    return pub, nil
}

先保证私钥来源可靠，再调用 Public

Public 不是通用的字节格式校验器。最稳妥的来源是 GenerateKey 返回的私钥、NewKeyFromSeed 生成的私钥，或经过明确格式校验后反序列化的 PrivateKey。如果直接把不确定长度的字节转换成 ed25519.PrivateKey，类型转换本身不会替你证明这些字节是一把合法私钥。

func checkedPublicKey(raw []byte) (ed25519.PublicKey, error) {
    // 先复制输入，避免调用方后续修改底层数组影响密钥对象。
    if len(raw) != ed25519.PrivateKeySize {
        return nil, fmt.Errorf("private key length = %d, want %d", len(raw), ed25519.PrivateKeySize)
    }
    priv := ed25519.PrivateKey(append([]byte(nil), raw...))

    // 长度已确认后再从私钥取得公钥，并保留具体类型检查。
    pub, ok := priv.Public().(ed25519.PublicKey)
    if !ok {
        return nil, fmt.Errorf("unexpected public key type %T", priv.Public())
    }
    return pub, nil
}

这里的长度检查只解决输入格式的第一层问题，不代表密钥一定来自可信来源。私钥仍然需要按密钥管理要求保存，不能为了调用 Public 而把私钥打印到日志、错误消息或文章输出中。

比较公钥时不要混淆接口和字节

两个公钥是否相同，要先明确比较的是公钥值，而不是接口变量地址。对 ed25519.PublicKey，可以使用它的 Equal 方法；如果只在普通业务数据结构中比较，也可以使用字节值比较。无论采用哪种方式，都不要把 crypto.PublicKey 接口直接当成可比较的公钥字节串。

func samePublicKey(priv ed25519.PrivateKey, expected ed25519.PublicKey) (bool, error) {
    // 从私钥派生当前公钥，失败时返回类型错误而不是静默比较空值。
    actual, ok := priv.Public().(ed25519.PublicKey)
    if !ok {
        return false, fmt.Errorf("unexpected public key type %T", priv.Public())
    }

    // Equal 按公钥值比较，适合表达“是不是同一把公钥”。
    return actual.Equal(expected), nil
}

常见问题

PrivateKey.Public() 能直接赋值给 ed25519.PublicKey 吗？

不能直接赋值，因为方法声明返回的是 crypto.PublicKey 接口。需要做类型断言，或者把后续函数设计成接受通用的 crypto.PublicKey。

调用 Public 会改变私钥吗？

正常使用时它只读取私钥中的公钥部分并构造公钥值，不是修改私钥的方法。私钥切片本身仍应当按不可变输入来管理，避免在并发代码中自行改写。

只有 32 字节种子时能直接调用 Public 吗？

不能把种子直接当成完整 PrivateKey。先确认种子长度为 ed25519.SeedSize，调用 NewKeyFromSeed 得到私钥后，再调用 Public。

小结

Go ed25519.PrivateKey.Public 的正确定位很简单：从已有的合法 Ed25519 私钥取得对应公钥。由于返回值是 crypto.PublicKey 接口，专用验签代码通常需要安全地断言为 ed25519.PublicKey。把输入来源、私钥长度和种子恢复边界处理清楚，就能避免把公钥派生误写成重新生成密钥或格式校验流程。