RSA-PSS 签名编码与严格验证

盐让同一消息可以形成不同编码；掩码把盐所在的数据块与摘要H绑定，固定零前缀、分隔符和尾标则让验证者确认自己解析的是同一种结构。每一层都需要准确的长度和位置，不能从“RSA模幂相等”直接跳到“消息格式合法”。

最高位清零是为了保证EM代表整数小于N。验证时若先把收到的最高位清掉再检查，就会把不合法编码悄悄改成另一个合法候选；规范检查的任务是拒绝输入，而不是修复输入。

1024位与1025位模数 ​

在1024位教学模数下，$k=128,emBits=1023,emLen=128$。PS长$128-32-32-2=62$字节，DB长95字节，MGF1需要三次SHA-256并取前95字节。maskedDB首字节最高一位必须为零；最后是32字节H及1字节bc。

改用1025位教学模数后，$k=129,emBits=1024,emLen=128$。DB、H、盐长度不变，但此时没有需要清除的高位，签名却必须是129字节。验证者不能把129字节S直接当成129字节EM；RSA公开运算后的m还须通过128字节表示检查。

下载器的消息是ASCII Theoryroad offline PSS lesson，盐为依次递增的字节00到1f。这组输入在两种模数下恰好得到相同EM，因为其首字节本来就没有最高位；两把密钥的RSA签名不同。完整EM和S由下载输出逐字给出，这种偶合不意味着两套最高位合同可以合并。

把坏编码真的签出来 ​

单纯翻转S的一个位，通常只得到一个无法解释的RSA像，不能单独说明哪个编码检查救了验证者。更有区分力的实验是：解出合法DB，把01分隔符改为02，保留盐与H，重新掩码；再用公开教学私钥对这份坏EM执行RSA私钥运算。公开模幂会精确还原坏EM，但PSS验证仍因分隔符错误拒绝。

同样可以分别构造非零PS、错误尾字节和设置了保留位的EM。在设置高位的外层签名实验中还须先确认整数小于N；若已经越界，拒绝来自RSA输入范围，不应误记为PSS最高位门禁的功劳。下载器另在EM层翻转每一个位，直接核对编码验证，避免混淆两层责任。

盐长也是验证政策。32字节盐的签名不能按20字节盐合同接受。显式选择$sLen=0$是另一个参数组；空盐时不能在程序中使用会把整个DB取出的DB[-0:]，应明确得到空字节串。SHA-256空盐的最小emLen是34字节，即允许的最小emBits为265，PS可以恰为空。

主例用Go项目保留的RSA Laboratories公开1024/1025位测试密钥数值；旧资料的原签名向量使用SHA-1及20字节盐，本页SHA-256结果是重新计算的教学输出。固定公开私钥和递增盐只用于离线复算，不是安全密钥生成或生产随机盐策略。

设消息长m字节、EM长n字节，SHA-256和MGF1编码需要$O(m+n+1)$字节工作及O(n)额外缓冲；生成掩码采用一次扩展缓冲，不反复复制增长中的不可变字节串。MGF1允许的掩码长度至多$2^{32}hLen$，否则四字节计数器不够。RSA签名和验证另计各自模幂；公开指数短可以减少乘法次数，但这不消除解析与哈希工作。

验证结果不包含具体失败原因时，更容易保持统一接口；下载器的测试定位则分层进行。实际部署还需经过审计的恒定时间运算、私钥保护和规范协议参数协商，不能直接把教学Python大整数代码接到真实签名服务。

签名执行实验的结构迁移从1024位换成1025位模数，并要求分别列S、EM、DB、PS长度及保留位数。再保持消息与密钥不变、把盐长设为0，重新推导边界和分隔位置，而不是只替换一个数字后沿用旧解析器。