Go crypto/mldsa NewPrivateKey 从32字节种子恢复私钥

我第一次把 ML-DSA 接进一个需要可重复加载密钥的 Go 小实验时，最容易误判的一点是：NewPrivateKey 接收的不是一段“已经展开的私钥文件”，而是固定长度的种子。实际做法很直接：准备恰好 mldsa.PrivateKeySize 字节的种子，明确选择一个参数集，再调用 mldsa.NewPrivateKey。相同种子和相同参数集可以恢复同一把私钥，但种子本身必须按密钥材料保护。

先把种子长度和参数集定死

官方接口把种子长度暴露为 PrivateKeySize，这是最稳妥的入口检查。不要先把随机字节转成十六进制字符串再把字符串传进去：十六进制展示会让长度变成原始字节的两倍，传入时还要先解码回字节。参数集则决定派生出的公钥、签名尺寸和后续协议标识，不能只靠“默认值”猜测。

用 NewPrivateKey 恢复一把可复现私钥

下面的示例用随机源准备一次种子，再立刻用同一份种子恢复私钥。示例中的随机源只负责演示输入准备；在真实系统里，种子通常来自密钥管理流程，而不是由业务请求临时生成。

package main

import (
    "crypto/mldsa"
    "crypto/rand"
    "fmt"
    "log"
)

func main() {
    // 先准备固定长度的种子；种子属于敏感密钥材料，不要打印内容。
    seed := make([]byte, mldsa.PrivateKeySize)
    if _, err := rand.Read(seed); err != nil {
        log.Fatal(err)
    }

    // 参数集必须显式记录，恢复和后续验证都要使用同一选择。
    sk, err := mldsa.NewPrivateKey(mldsa.MLDSA44(), seed)
    if err != nil {
        log.Fatal(err)
    }

    // Bytes 返回种子；这里只用长度和 Equal 做恢复检查，不输出种子。
    restoredSeed := sk.Bytes()
    fmt.Println("seed bytes:", len(restoredSeed))
    fmt.Println("public key bytes:", len(sk.PublicKey().Bytes()))

    sameKey, err := mldsa.NewPrivateKey(mldsa.MLDSA44(), restoredSeed)
    if err != nil {
        log.Fatal(err)
    }
    fmt.Println("same key:", sk.Equal(sameKey))
}

这里的关键结果不是某个固定的公钥文本，而是三件事：种子长度正确、参数集明确、第二次恢复后 Equal 返回 true。如果只保存了种子却丢失参数集，后续无法可靠判断应该按哪套 ML-DSA 参数解释它。

错误边界要在恢复入口处理

最常见的确定性错误是种子长度不对。可以用一个短种子专门确认错误路径，但不要把真实种子写进错误信息：

// 这个片段只演示长度错误的处理，不打印种子内容。
badSeed := make([]byte, mldsa.PrivateKeySize-1)
_, err := mldsa.NewPrivateKey(mldsa.MLDSA44(), badSeed)
if err != nil {
    // 生产日志只记录参数集和错误类型，避免泄露密钥材料。
    log.Printf("restore ML-DSA key failed: %v", err)
    return
}

除了长度，还要留意运行环境。如果工具链的加密模块策略不提供 crypto/mldsa 的实现，生成、恢复或验证可能返回错误；应用应把它当成能力不可用来处理，而不是偷偷切换参数集。生产流程中，种子也不应进入普通配置文件、请求日志、错误追踪或业务表。

恢复、备份和使用要分开

NewPrivateKey 解决的是“从种子得到内存中的私钥对象”，并不替你完成密钥托管。恢复成功后可以取出公钥交给协议层，签名操作也应由最小权限组件完成；种子则应留在密钥管理边界内。测试环境可以用固定种子验证幂等恢复，生产环境应把审计记录和密钥内容分离，只记录参数集、版本和操作结果。

我更建议把参数集和种子封装成同一份受控元数据，再在应用启动时一次性恢复。这样既不会在业务代码里散落 MLDSA44()，也能在参数变化时明确触发迁移，而不是让一把“看起来能用”的私钥悄悄改变含义。

相关问题

同一种子能不能直接切换到 MLDSA65？

不应把它当作同一把私钥的参数切换。参数集会影响派生结果和密钥尺寸；如果要迁移，应按协议重新登记公钥和签名能力。

Bytes 返回的是完整私钥吗？

官方接口把它定义为私钥种子。它足以恢复私钥，因此仍然属于敏感密钥材料，不能因为返回值短就降低保护级别。

为什么不直接保存 PrivateKey 对象？

对象只存在于进程内存。需要跨进程或重启恢复时，受控保存种子和参数集更明确，但必须配合专门的密钥保护和访问审计。