Go crypto/ecdh 怎样把 ECDSA 公钥转换成 ECDH 公钥

Go 里把 ECDSA 公钥交给 ECDH，关键不是强制类型转换，而是先按它的实际编码解析，再调用 ecdsa.PublicKey.ECDH()。如果公钥文件是 PKIX DER，先用 x509.ParsePKIXPublicKey 得到 *ecdsa.PublicKey；如果直接把整段 DER 传给 ecdh.P256().NewPublicKey，就很容易得到 invalid public key。

先把公钥格式与曲线对上

crypto/ecdsa 用于签名，crypto/ecdh 用于密钥交换。两者可以在 NIST 曲线上衔接，但接口边界不同。若数据来自 x509.MarshalPKIXPublicKey，它是带算法标识的 DER 容器；解析后才是 ECDSA 公钥对象。若手里只有原始点编码，则必须确认它是对应曲线的未压缩点，而不是压缩点、PEM 文本或被截断的数据。

用 ECDH 方法完成公钥转换

下面的最小示例生成两把 P-256 ECDSA 密钥，模拟“本端私钥 + 对端公钥”的场景。注意 ECDH() 返回的是新类型；它不会改变原来的 ECDSA 公钥，也不会替你完成身份认证或协议握手。

package main

import (
	"crypto/ecdsa"
	"crypto/ecdh"
	"crypto/elliptic"
	"crypto/rand"
	"fmt"
)

// convertPublicKey 只负责把支持的 ECDSA 公钥转换为 ECDH 公钥。
func convertPublicKey(pub *ecdsa.PublicKey) (*ecdh.PublicKey, error) {
	if pub == nil {
		return nil, fmt.Errorf("ECDSA public key is nil") // 先挡住空指针输入。
	}
	return pub.ECDH() // 标准库负责曲线支持和公钥有效性检查。
}

func main() {
	local, err := ecdsa.GenerateKey(elliptic.P256(), rand.Reader)
	if err != nil {
		panic(err) // 示例直接终止；服务代码应返回带上下文的错误。
	}
	peer, err := ecdsa.GenerateKey(elliptic.P256(), rand.Reader)
	if err != nil {
		panic(err)
	}

	localECDH, err := local.ECDH()
	if err != nil {
		panic(err) // 私钥转换失败时不要继续计算共享秘密。
	}
	peerECDH, err := convertPublicKey(&peer.PublicKey)
	if err != nil {
		panic(err)
	}
	secret, err := localECDH.ECDH(peerECDH)
	if err != nil {
		panic(err) // 两端曲线不一致或对端点无效时会在这里失败。
	}
	fmt.Printf("curve=%T shared_secret_len=%d\n", localECDH.Curve(), len(secret))
}

这个实验的重点不是打印秘密内容，而是确认转换链条成立。实际协议中应把共享秘密交给 KDF，再结合身份绑定、随机数和消息认证；不要把 secret 直接当作长期密钥保存。

PKIX 公钥文件的解析顺序

公钥文件常见形态是 PEM 包裹的 PKIX DER。先去掉 PEM 外壳，再解析算法容器；类型断言失败时，说明文件并不是 ECDSA 公钥，不能靠更换曲线继续尝试。

func parsePKIXECDHPublic(der []byte) (*ecdh.PublicKey, error) {
	parsed, err := x509.ParsePKIXPublicKey(der)
	if err != nil {
		return nil, fmt.Errorf("parse PKIX public key: %w", err) // 先报告外层编码错误。
	}
	ecdsaPub, ok := parsed.(*ecdsa.PublicKey)
	if !ok {
		return nil, fmt.Errorf("public key is %T, want ECDSA", parsed) // 防止把 RSA 等类型送入 ECDH。
	}
	return ecdsaPub.ECDH() // 这里才进入 NIST 曲线到 ECDH 的转换。
}

若输入是 PEM，需要先用 pem.Decode 取出 block.Bytes。反过来，如果输入已经是 *ecdsa.PublicKey，不要再次走 DER 解析；直接调用 ECDH() 即可。

invalid public key 的排查清单

先看错误发生在哪一层：ParsePKIXPublicKey 失败是 DER/PEM 问题，ecdsaPub.ECDH() 失败通常是曲线不受支持或对象无效，ecdhPrivate.ECDH() 失败则要检查双方曲线和对端点。NIST 曲线的 NewPublicKey 要求未压缩点，压缩编码、无穷远点、错误前缀、截断数据都不能直接通过。

• 整段 DER 直接 NewPublicKey：先解析 PKIX，再调用 ECDH()。
• 压缩点：改用能提供未压缩 SEC 1 点的编码流程，不要只补一个字节前缀。
• 曲线不一致：本端 P-256 只能与同曲线的对端交换，P-384/P-521 也同理。
• 数据被截断：检查 PEM 解码、Base64 解码和网络读取长度，不要吞掉解析错误。

常见问题

ECDSA 公钥能直接用于 ECDH 吗？

在支持的 NIST 曲线上可以转换后使用，但签名用途与密钥交换用途仍是两个协议角色，不能省略身份认证和密钥派生。

为什么 NewPublicKey 报 invalid public key？

最常见原因是把 PKIX DER 当成原始点，或传入压缩点、截断点、错误曲线。先确认编码层，再确认曲线。

可以用 ScalarMult 替代吗？

不建议把底层椭圆曲线乘法当作 ECDH 接口。使用 ecdh.PrivateKey.ECDH 让标准库处理共享秘密计算和相关边界。