不经意伪随机函数

可以把 $H_1(x)$ 看成群上的一个位置。客户端先用秘密非零倍数把它移到均匀的非单位位置，服务器在那里乘自己的钥匙，客户端再撤去第一次倍乘。两次倍乘可交换，使最终值不含 $r$；但服务器看到的请求仍被 $r$ 隐藏。

“请求被隐藏”和“拿不到更多函数值”是不同问题。前者由一个均匀双射证明；后者面对会任意提交群元素的恶意客户端，必须限制服务器查询次数并采用相应困难假设。一个代数正确、请求也均匀的错误构造，仍可能让一次查询提供所有输入的求值能力。

复现一条公开P256记录 ​

RFC Appendix A.3.1.1取输入单字节 00，公开教学私钥与盲因子为

k = 159749d750713afe245d2d39ccfaae8381c53ce92d098a9375ee70739c7ac0bf
r = 3338fa65ec36e0290022b48eb562889d89dbfa691d1cde91517fa222ed7ad364

私钥与盲因子都按规范32字节表示。请求、响应和输出分别是

U = 03723a1e5c09b8b9c18d1dcbca29e8007e95f14f4732d9346d490ffc195110368d
V = 030de02ffec47a1fd53efcdd1c6faf5bdc270912b8749e783c7ca75bb412958832
F = a0b34de5fa4c5b6da07e72af73cc507cceeb48981b97b7285fc375345fe495dd

参考程序还从公开种子 a3 重复32次及ASCII信息 test key 导出这把钥匙，再逐层核对结果。这些值用于离线复算；使用公开种子无法生成秘密密钥，Python参考运算也不提供常时保证。

换一个新鲜非零 $r^{\prime }$，请求与响应都改变，去盲后的 $N$ 和输出保持不变。对于同一非单位 $H_1(x)$，不同 $r$ 产生不同 $U$，所以这是可逐点检查的代数结论，而不是“通常不同”的经验判断。

一个看似简化、实际破坏查询限制的替换 ​

假设把 $H_1(x)$ 错换成 $h(x)G$，而公开函数 $h$ 的非零值人人能算。客户端用输入 $x_0$ 完成一次求值，去盲后拿到 $N_0=kh(x_0)G$，于是可以算出

此后对任何新输入 $x_1$，直接算 $h(x_1)K=kh(x_1)G$，即可离线构造Finalize值，无需服务器。若服务器公钥本来就公开，连第一次查询也省掉了。失败原因是输入点的离散对数已知；点合法、盲点均匀和去盲等式都仍成立。

协议也不是数字签名。客户端最终持有的是32字节函数值，普通旁观者没有一项仅凭公开钥匙就验证 $(x,F_k(x))$ 的签名接口。把某些盲签名用作OPRF构造部件，需要额外编码和安全论证。[3]

哪些观察会改变隐藏结论 ​

同一个 $r$ 不得复用。两次相同输入会产生完全相同的请求，直接暴露重复；独立均匀盲化下，两次请求碰巧相同的概率仅为 $1/(q-1)$。服务器若还看到请求者主动公布的输出、输入相关错误、日志或用时，完整观察已超出下节的消息模型。

服务器可以拒绝响应，也可以在基本OPRF中换一把钥匙。输入隐藏不保证可用性，更不保证响应属于既定公钥。对低熵输入，拥有服务器钥匙的一方能够枚举候选并计算其输出；消息盲性不会把公开输出变成信息论秘密。

服务器视图的精确模拟 ​

固定任何合法 $x$，$H_1(x)\ne O$ 在素数阶群中也是生成元。因此

是从 ${\mathbb{F}}_q^{\times }$ 到 $\mathbb{G}\setminus \{O\}$ 的双射。每个可能请求的概率都是 $1/(q-1)$，与 $x$ 无关。这个结论不需要离散对数困难。

完整本地视图还包括服务器的钥匙、辅助信息、随机币和它生成的响应。固定这些输入的同一条件分布，模拟器先独立抽一个均匀非单位点 $U$，再运行服务器原有程序，记录它的全部本地动作。由于它收到的 $U$ 分布与真实执行完全相同，后续视图也完全相同；即使服务器计算无界，结论仍成立。对按以往视图选择输入的新会话，只要使用新鲜独立盲因子且输入有效，可以逐次条件化应用同一论证。

这个模拟器不接收也不模拟客户端后来对外公布的输出；若应用增加该消息，需要重新证明。它也不证明客户端只学到一次授权结果。

伪随机性需要什么附加假设 ​

理想目标把每个新输入分配一个一致的随机输出，重复输入返回同一个值。恶意客户端可任意形成请求，安全论证还要把它获得的新输入求值数量与服务器实际参与次数联系起来。基础CDH只给一个计算挑战，没有这类查询预算。

One-More Gap DH的一种原论文形式给攻击者 $G,kG$ 和 $N$ 个独立随机挑战点，允许至多 $Q$ 次 $X\mapsto kX$ 查询，并另给DH关系判定接口；攻击者须输出 $Q+1$ 个不同挑战点的正确求值。假设要求任意经典多项式时间攻击者成功概率可忽略。这里的“one more”与“gap”分别对应多完成一次和额外判定接口，不能省略后只写“基于CDH”。[3]

JKK14的具体2HashDH-NIZK协议在随机预言机模型中把这类假设接到理想功能。RFC9497的编码、上下文和组合证明与原协议有差别，§7.2.1明确提示其多钥匙/批处理分析边界。本页执行单钥匙基本求值，给出了去盲和输入视图的证明；完整恶意客户端伪随机性使用相应论文/RFC模型，不能由上述双射推出，也不把固定SHA-256当成无条件随机函数。

代价与终点任务 ​

一次诚实在线求值需要客户端盲化、服务器求值、客户端去盲三次标量乘法，另有哈希到曲线、一次标量求逆和一次Finalize。线上各发一个33字节点，客户端存输入和盲因子。参考程序以二进制倍加做一次标量乘法，至多 $O(\log q)$ 次点加；仿射点加还包含模 $p$ 求逆，不能漏算。固定套件下，输入字节处理及拼接空间为 $O(|x|+1)$，其余群/域操作单列。

终点任务：用同一 $k,x$ 和两个不同盲因子复算请求、响应、相同输出；让服务器改用 $k+1(\mathrm{mod}q)$，解释基本客户端为何仍能结束。随后在错误 $h(x)G$ 版本里只查询一次，输出另一条从未查询消息的正确函数值。共同终点练习给出完整运行入口。