扎卡什的准确NP报表是什么？

Question

如果你能指出Zcash的NP语句的数学公式或R1CS形式，那就太好了。

Answer 1

我发现你的问题足够耐人寻味，可以在源代码中下功夫。请注意，我绝对没有使用ZCash的经验；不过，我了解Monero的一些细节，并且对一些非常简单的R1CS系统做了一些修改。

由于ZCash的更新，知识证明协议似乎是基于行李员图书馆的。它们的证明被方便地存储在ZCash锈蚀库的C2目录中。它们各自的电路“小工具”都在sapling-crypto/circuit目录中，您可以在其中找到Spend和Output电路。所有这些都建立在该目录中的其他电路之上，其中包括一个SHA256哈希和一个blake2s实现，以及在一个电路中运行的ECC加密技术。

以上所述应该已经让您了解了发生了什么:精确的NP语句和完整的R1CS系统太长，无法在简单的堆栈交换答案中显示出来。我认为，即使在一个较高的层次上展示所有的约束，也会让我们走得更远，但我认为，一些约束的例子可能会给您带来很多洞察力！对于高层次的概述，我认为ZCash博客提供了一个很好的起点.如果您想深入研究，也有协议规范；特别是"4.15: Zk语句“会让您感兴趣。

从上面的博客中，可以看到一些高层次的限制因素：

1. 输入值与每个屏蔽传输的输出值之和。
2. 发送者证明他们有输入笔记的私人消费键，赋予他们消费的权力。
3. 输入注释的私用密钥以加密方式链接到整个事务上的签名，这样交易就不能由不知道这些私钥的一方修改。

例如，让我们探索一下1。每个事务都有一个Spend描述序列和一个Output描述序列。后者是两者中最简单的，所以让我们来讨论一下。

规范包含四个约束：

1. 说明承诺完整性:该说明的承诺是诚实和正确生成的。
2. 价值承诺完整性:交易的价值承诺是价值的承诺。
3. 小订单检查；点g_d不应该是小订单--它们使用的具体曲线中的实现细节。
4. 临时公钥完整性:事务的临时公钥等于[esk]\times g_d。

我鼓励您从这里开始查看其他语句；特别是协议规范在这里非常详细。