一、導論——在不泄露秘密的前提下，如何證明你擁有秘密？

1.1 定義范式：證明者、驗證者與三大支柱

所謂零知識證明（Zero-Knowledge Proof, ZKP），是一種精妙的密碼學協議。它讓一方（證明者）能向另一方（驗證者）確證某個論斷為真，卻不必透露任何與論斷內容相關的蛛絲馬跡。整個證明過程，除了“此話為真”這一結論外，不泄露分毫證明者所持有的“秘密知識”（即“見證”，witness）。

• 完整性（Completeness）： 若論斷為真，一個誠實的證明者總能成功說服一個誠實的驗證者。簡單說，真的假不了。
• 可靠性（Soundness）： 若論斷為假，一個欺騙的證明者幾乎不可能說服一個誠實的驗證者。這意味著偽造有效證明在計算上是行不通的。零知識證明本質上是概率性的，但通過重復驗證或引入更強的密碼學假設，可以將“被蒙騙”的概率降至無窮小。
• 零知識性（Zero-Knowledge）： 若論斷為真，驗證者在交互結束后，除了確信“論斷為真”外，一無所獲。證明過程不會泄露任何關于秘密的知識。在理論定義中，這個特性通常用一個叫“模擬器”（Simulator）的概念來刻畫：想象一個聰明的“模擬器”，它根本不知道秘密，卻能憑空偽造出一段看起來完全真實的交互記錄。既然如此，那段真實的交互記錄自然也就沒有泄露任何秘密。

1.2 直觀類比：從阿里巴巴的洞穴到現代密碼學

為了將這些抽象概念拉下神壇，密碼學界構想了許多巧妙的類比，“阿里巴巴的洞穴”便是其中最經典的一個。

想象一個環形洞穴，它有一個入口，延伸出A、B兩條通道，兩通道的盡頭由一扇需要密碼才能打開的門相連。證明者Peggy聲稱她知道開門密碼，而驗證者Victor想確認此事，但Peggy不愿泄露密碼。

他們的證明游戲這樣進行：

1. Victor在洞口等待，不看Peggy進入哪條通道。
2. Peggy隨機選擇一條通道（比如A）進入深處。
3. Victor走到洞口，隨機喊出一條通道的名字（比如B）。
4. Peggy必須從Victor指定的通道（B）走出來。

這個看似簡單的捉迷藏游戲，卻完美詮釋了ZKP的三大屬性：

• 完整性： 如果Peggy真有密碼，無論Victor喊A還是B，她都能從容地打開中間的門，按要求現身。
• 可靠性： 如果Peggy是騙子，她只能從她進去的那條路原路返回。她猜中Victor選擇的概率僅有50%。如果游戲重復N次，她每次都僥幸過關的概率是 。當N足夠大時（比如30次），這個概率小到可以忽略不計，Victor幾乎可以百分百確信Peggy掌握著密碼。
• 零知識性： Victor全程只看到Peggy從他指定的通道走出，他沒有學到關于密碼的任何信息。即便他錄下整個過程，這段錄像也無法向第三方證明Peggy知道密碼，因為整個互動可以被輕易“模擬”——Victor和Peggy完全可以事先串通好每一次的選擇。

類似的類比還有很多，比如證明自己知道一個數獨的解法卻不展示任何數字，或是在《威利在哪里？》的畫中找到了威利卻不指出其具體位置。它們都指向同一個核心思想：傳遞關于知識的知識，而非知識本身。

1.3 ZKP的時代價值：隱私、擴容與可驗證計算

零知識證明正從密碼學的理論奇珍，迅速成長為解決現代數字世界核心矛盾的基石技術。

它首先重塑了我們對隱私的想象。在這個數據被肆意采集和利用的時代，ZKP開創了一種革命性的數據交互范式。用戶可以證明自己符合特定條件（如年齡達標、收入滿足貸款門檻），而無需暴露任何具體數據。這從根源上切斷了數據泄露的風險，因為驗證方自始至終都未曾接觸過原始敏感信息。ZKP的價值在于將數字交互的范式從“信任”轉向“驗證”。傳統系統要求我們將數據托付給銀行、社交平臺等中心化機構，并祈禱它們誠實可靠。ZKP則讓驗證方在無需被信任的情況下完成驗證，為構建更安全、更去中心化的系統鋪平了道路。

ZKP的另一重磅價值在于衍生出了可驗證計算（Verifiable Computation）。它允許我們將繁重的計算任務外包給一個強大但未必可信的計算方（如鏈下服務器），計算方在返回結果時，附帶一個極其簡短且易于驗證的證明。驗證方（如鏈上智能合約）只需檢查這個小巧的證明，便能確信計算過程準確無誤，而無需親自重復一遍漫長的計算。這正是ZK-Rollup等區塊鏈擴容方案的精髓，它能極大地提升區塊鏈網絡的處理能力和效率。

在分布式系統中，ZKP還能保障計算完整性。一個節點可以向全網證明它正確執行了某個狀態轉換，而無需所有節點都重復執行。這不僅提升了效率，也鞏固了系統的安全與去中心化。

二、無（零）信任證明的起源：歷史視角

2.1 奠基性突破：GMR的1985年里程碑論文

零知識證明的理論曙光，出現在1985年。三位后來的圖靈獎得主——Shafi Goldwasser、Silvio Micali和Charles Rackoff——共同發表了劃時代的論文《交互式證明系統的知識復雜性》。這篇論文引入了數個革命性概念，徹底顛覆了人們對“證明”的傳統認知。

• 交互式證明系統（IP）： 此前，數學家們熟悉的NP類問題，其“證明”是一個靜態的字符串，驗證過程是確定性的。GMR論文則開創了一種全新的證明模型：一個算力有限的驗證者與一個算力無限的證明者之間展開多輪對話。通過引入概率和隨機性，這種交互式系統能夠處理比NP更廣泛的問題。
• 知識復雜性（Knowledge Complexity）： 論文的洞見超越了“什么可以被證明”，而深入探尋“證明過程中究竟泄露了多少信息”。他們首次提出了“知識復雜性”這一度量，并在此基礎上，為“零知識”——即知識泄露量為零——給出了嚴格的數學定義。
• 首個實例： 為了證明這不僅是理論游戲，論文還給出了第一個不屬于已知高效可識別語言的零知識證明實例：二次剩余問題。這宣告了ZKP作為一種強大應用工具的潛力。

2.2 從交互到宣告：非交互式證明的誕生

早期的ZKP協議有一個致命的實踐局限：它們是交互式的。證明者和驗證者必須同時在線，像打乒乓球一樣來回傳遞信息。這種模式對于區塊鏈這類異步的分布式系統而言，幾乎是無法部署的。

為了掙脫這種實時通信的束縛，研究者們發展出了非交互式零知識證明（NIZKPs）。在NIZKP的世界里，證明者可以獨立生成一個單一、緊湊的證明字符串。任何持有公共參數的人，都可以在任何時間、任何地點獨立驗證它，無需與證明者有任何瓜葛。

實現這一飛躍的關鍵，是一種名為Fiat-Shamir啟發式的通用轉換技巧。其神來之筆，在于用一個密碼學哈希函數巧妙地“取代”了驗證者的角色。在交互式協議中，驗證者會在關鍵步驟拋出隨機的“挑戰數”；在非交互式版本里，證明者則將協議中已產生的所有消息打包，進行哈希計算，并將哈希結果作為那個“挑戰數”。由于密碼學哈希的輸出被認為是不可預測的（偽隨機），這便有效地模擬了驗證者的隨機挑戰。

GMR論文的精髓在于揭示了“交互”與“隨機性”可以用來提煉知識的證明，而無需提煉知識本身。Fiat-Shamir啟發式則更進一步，表明這種隨機性可以在非交互環境中被模擬出來，從而將一個動態的對話過程，“固化”成一個靜態的證明對象。這一轉變，為所有現代實用的NIZKP系統鋪平了道路。

三、“知識證明”的革命：現代ZKP系統的演進之路

從理論走向實用，零知識證明分化出了幾條截然不同的技術路線，它們各自懷揣著不同的理想，在效率、安全和靈活性之間尋求著獨特的平衡。

首先登場的是zk-SNARKs，它以極致的簡潔性和實用性震驚了世界。zk-SNARKs生成的證明尺寸小到令人難以置信，通常只有幾百字節，驗證過程快如閃電，且這一切都與被證明的計算任務本身的復雜程度無關。這種特性使其成為在區塊鏈這樣資源寶貴的“寸土寸金”之地進行驗證的理想選擇。其技術內核，是將復雜的計算問題通過“算術化”（如QAP）翻譯成多項式方程，再借助橢圓曲線配對這種密碼學“魔法”，在不暴露多項式本身的情況下，高效地驗證方程是否成立。

然而，這份極致的效率肯定不會沒有代價。早期的zk-SNARKs，如大名鼎鼎的Groth16協議，背負著一個沉重的“原罪”——可信設置。系統啟動前，必須舉行一次儀式生成公共參數，這個過程會產生一份被稱為“有毒廢料”的秘密數據。這份秘密一旦泄露，持有者便能偽造任意證明，顛覆整個系統的安全性，且無法被察覺。為了緩解這種信任危機，社區發明了“多方安全計算”（MPC），邀請眾多互不信任的參與者共同生成參數，只要其中一人誠實地銷毀了自己的秘密，系統就是安全的。即便如此，Groth16還有一個更棘手的限制：它的可信設置是“電路特定”的，意味著每開發一個新程序，就需要興師動眾地再搞一次儀式，這極大地阻礙了創新的步伐和靈活性。

對可信設置的普遍憂慮，催生了另一條截然不同的道路——zk-STARKs。它的核心追求是透明性和面向未來的安全性。STARKs徹底拋棄了可信設置，其安全性僅依賴于抗碰撞哈希函數（如SHA-256）這類更基礎、更久經考驗的密碼學假設。這意味著它從根源上杜絕了“有毒廢料”的風險，并且由于哈希函數被認為能抵抗量子計算機的攻擊，STARKs也天然具備了抗量子的特性。為了實現這一點，STARKs采用了全新的算術化方案（AIR）和一種名為FRI的高效協議。它的擴展性也極為出色，對于超大規模的計算，其證明生成速度甚至優于SNARKs。當然，STARKs的這份透明與穩健也需要權衡：它的證明尺寸比SNARKs大得多，通常達到數十KB，這使得它在鏈上驗證的成本相對高昂。

在SNARKs和STARKs這兩大主流之外，還存在著一些獨辟蹊徑的探索者，Bulletproofs便是其中之一。它同樣無需可信設置，但選擇了一條與STARKs不同的技術路徑。它沒有追求極致的驗證速度，而是專注于優化證明尺寸。其核心創新是一種高效的“內積論證”，使得證明大小僅隨秘密信息的規模對數增長，極為緊湊。然而，它的驗證時間卻與秘密信息的規模線性相關，這意味著它不適合驗證極其復雜的計算。這種獨特的性能取舍，使其在特定場景中大放異彩，例如隱私幣Monero就用它來做范圍證明，在無需信任的前提下，極大地壓縮了交易體積。

面對Groth16的僵化和STARKs的龐大，ZKP世界迫切需要一種更均衡的方案。PLONK應運而生，它被視為zk-SNARKs的一次重大進化。PLONK巧妙地引入了通用且可更新的可信設置。這意味著，只需一次MPC儀式，生成的公共參數便可以服務于生態中所有（在一定規模內的）應用，而且這個設置還可以隨時由新參與者加入來增強其安全性。這極大地降低了應用ZKP的門檻。通過新穎的“置換論證”等技術創新，PLONK在保留SNARKs高效驗證和緊湊證明優勢的同時，提供了前所未有的靈活性，迅速成為行業的新寵。

至此，一幅清晰的“ZKP三難困境”圖景浮現出來：開發者必須在證明尺寸/驗證速度、證明者效率和安全假設（可信設置/抗量子性）之間做出艱難抉擇。Groth16是追求極致性能的“速度之王”，STARKs是堅守透明與未來的“安全衛士”，Bulletproofs是在特定賽道精耕細作的“專家”，而PLONK則是在這個權衡三角中尋找最佳平衡點的“集大成者”。

四、權衡與妥協：技術選擇背后的戰略考量

為了更直觀地把握各技術路線的特點，我們可以借助一個簡明的矩陣來對比。

然而，技術選型遠非查閱這張表格那么簡單，其背后是深刻的權衡妥協和戰略博弈。在區塊鏈的世界里，每一字節數據和每一次計算操作都需支付gas費，鏈上空間是極其寶貴的“數字地產”。這使得zk-SNARKs（Groth16和PLONK）那小巧如斯的證明尺寸，直接轉化為更低的交易成本和更快的驗證速度，使其成為ZK-Rollup等擴容方案在以太坊主網上驗證的首選。反觀zk-STARKs，其龐大的證明雖然在理論上更安全、更具前瞻性，但高昂的鏈上驗證成本構成了現實的商業壁壘。這解釋了為何在當前的ZK-Rollup競賽中，基于SNARKs的方案在市場采用上暫時領先。

與此同時，當計算任務的規模變得異常龐大，例如需要證明一個虛擬機數百萬步的完整執行過程時，證明者的計算效率便成為主要瓶頸。此時，zk-STARKs優越的漸進可擴展性開始顯現威力，其證明生成速度有望超越SNARKs。

更深層次的考量則觸及了去中心化世界的哲學核心——信任模型。可信設置始終是去中心化理想的一塊心病。Groth16的電路特定設置，要求社區為每一個新應用組織復雜的MPC儀式并寄望于參與者的誠實，這無疑限制了無需許可的自由創新。PLONK的通用可更新設置極大地緩解了這一痛點，讓信任假設的頻率和范圍大幅降低。而STARKs的完全透明性，則被許多人奉為去中心化信任模型的“黃金標準”，它徹底消除了對任何秘密參數的依賴，其抗量子的特性更是為其贏得了長期的戰略優勢，使其在面對未來計算范式的變革時更具魯棒性。這便是靈活性與性能、當前經濟性與未來安全性之間的永恒權衡。

五、從理論到現實：ZKP的應用版圖

零知識證明的價值，早已通過一系列真實世界的應用得到了印證。在增強區塊鏈隱私方面，Zcash和Monero是兩個教科書級的案例。Zcash作為zk-SNARKs的先驅，利用該技術實現了完全匿名的“屏蔽交易”，其發展歷程本身就是一部zk-SNARKs從理論走向實用的進化史。而Monero則另辟蹊徑，選擇了Bulletproofs來高效地隱藏交易金額，這充分體現了“為特定任務選擇最合適工具”的工程智慧。

而在引爆整個行業想象力的區塊鏈擴容領域，ZK-Rollups正扮演著主角。它通過在鏈下捆綁處理成千上萬筆交易，并為整個批次生成一個單一的有效性證明提交上鏈，從而實現了吞吐量的指數級飛躍。在這條賽道上，不同的項目展現了涇渭分明的戰略抉擇。以StarkNet為代表的陣營，全面擁抱zk-STARKs，他們押注于技術的長期優勢——極致的可擴展性、透明性和抗量子安全，甚至為此打造了專用的編程語言Cairo。他們相信，壓倒性的性能最終會吸引開發者克服學習和遷移的成本。另一邊，以zkSync Era和Polygon zkEVM為代表的陣營，則選擇了基于SNARKs的路線，將與以太坊虛擬機（EVM）的兼容性作為核心戰略。他們致力于讓以太坊開發者能夠無縫遷移應用，旨在最大化地利用以太坊龐大的開發者生態和網絡效應。這場“性能為王”與“生態為王”的路線之爭，正在通過市場的實際采用情況，檢驗著兩種關于區塊鏈未來的不同假設。

當然，ZKP的潛力遠不止于加密世界。隨著技術的成熟，它的應用版圖正在迅速擴張。在去中心化身份（DID）領域，人們可以證明自己的年齡或國籍等屬性，而無需暴露身份證上的所有敏感信息。在可驗證人工智能（Verifiable AI）領域，可以證明一個機器學習模型正確執行了推理，而無需泄露模型本身或輸入數據。此外，在私密金融審計、安全電子投票等眾多場景，ZKP都展示出重塑行業規則的巨大潛力。

六、通往可驗證的未來：ZKP的前景與挑戰

零知識證明的故事遠未結束，它仍是一個充滿活力的前沿研究領域。當前，研究的焦點正集中于突破性能瓶頸和降低使用門檻。通過硬件加速（專門的FPGA和ASIC芯片）來指數級縮短證明生成時間，已成為業界的共同追求。以Nova為代表的折疊方案（Folding Schemes） 等新一代證明系統，正在為實現更高效的遞歸證明開辟道路。同時，如何將高級編程語言高效地“編譯”為ZKP友好的數學表示，即 改進算術化，也是降低開發者門檻、釋放ZKP潛能的關鍵。

盡管前景光明，ZKP要走向大規模主流應用，仍需翻越幾座大山。首先是開發者體驗，目前編寫高效安全的ZKP程序仍是一項高度專業化的技能，需要深厚的數學功底。改善開發工具鏈、提供更高層次的抽象是當務之急。其次是標準化問題，當前ZKP領域“百家爭鳴”，不同系統之間缺乏互操作性，這阻礙了生態系統的成熟。最后，教育與可及性也是一個軟肋，ZKP復雜的理論內核使其對大眾而言仍是一個“黑箱”，打破這種神秘感，建立廣泛的理解與信任，是其被社會廣泛接納的前提。

結論

從一個深奧的理論構想，到驅動下一代互聯網基礎設施的核心引擎，零知識證明已經走過了一段非凡的旅程。它不再僅僅是密碼學家的智力游戲，而是我們用以解決數字世界中隱私與透明、安全與效率這對根本矛盾的強有力工具。通過用數學的確定性取代對中心化機構的脆弱信任，ZKP為我們描繪了一個更加安全、私密、高效且可信的數字未來。在這個未來里，信任將不再是一種必需品，因為我們每個人都將擁有驗證的能力。

附錄：里程碑論文與進一步閱讀

（這個學術引用列表中我盡可能把每個分支的重要論文都列在這里了，有興趣深入了解朋友可以照此研究參考）

理論基礎

• Goldwasser, S., Micali, S., & Rackoff, C. (1989). The knowledge complexity of interactive proof systems. SIAM Journal on computing, 18(1), 186-208. (會議初版發表于1985年)

貢獻： 首次提出了交互式證明系統和零知識證明的形式化定義，奠定了整個領域的理論基礎。

zk-SNARKs

• Gennaro, R., Gentry, C., Parno, B., & Raykova, M. (2013). Quadratic Span Programs and Succinct NIZKs without PCPs. EUROCRYPT 2013.

貢獻： 提出了QSP（二次跨度程序），這是一種高效的算術化方法，為后續許多實用的zk-SNARKs方案（如Groth16）奠定了基礎。

• Parno, B., Howell, J., Gentry, C., & Raykova, M. (2013). Pinocchio: Nearly Practical Verifiable Computation. IEEE Symposium on Security and Privacy.

     貢獻： 首個將QAP（二次算術程序）與配對密碼學結合，構建出接近實用的通用zk-SNARKs系統，是Zcash早期版本的技術原型。

• Groth, J. (2016). On the Size of Pairing-based Non-interactive Arguments. EUROCRYPT 2016.

     貢獻： 提出了Groth16協議，至今仍是證明尺寸最小、驗證速度最快的zk-SNARKs方案之一，被廣泛應用于Zcash Sapling升級和眾多ZK-Rollup項目中。

zk-STARKs

• Ben-Sasson, E., Bentov, I., Horesh, Y., & Riabzev, M. (2018). Scalable, transparent, and post-quantum secure computational integrity. IACR Cryptology ePrint Archive, 2018/46.

貢獻： 首次完整提出了zk-STARKs的理論框架，引入了AIR算術化和FRI協議，實現了第一個無需可信設置、具有可擴展性和抗量子安全性的實用證明系統。

Bulletproofs

• Bünz, B., Bootle, J., Boneh, D., Poelstra, A., Wuille, P., & Maxwell, G. (2018). Bulletproofs: Short Proofs for Confidential Transactions and More. IEEE Symposium on Security and Privacy.

貢獻： 提出了一種無需可信設置、證明尺寸呈對數增長的零知識證明方案，尤其適用于范圍證明，并被Monero等項目采用。

通用zk-SNARKs

• Gabizon, A., Williamson, Z. J., & Ciobotaru, O. (2019). PLONK: Permutations over Lagrange-bases for Oecumenical Noninteractive arguments of Knowledge. IACR Cryptology ePrint Archive, 2019/953.

貢獻： 提出了PLONK協議，引入了通用且可更新的可信設置，以及新穎的置換論證，極大地提高了zk-SNARKs的靈活性和實用性，成為新的行業標準。

本文轉載自??上堵吟??，作者：一路到底的孟子敬