curve25519 上的点不到 2^253 个,为什么公钥有 32 字节 256bit？

[liuidetmks]

[8520ccc]

因为 31 个字节是 248

[liuidetmks]

@8520ccc 我的意思是，这个曲线，任意 256bit 的都是合法的公约，不需要验证。这个是怎么做到的

[qbqbqbqb]

256bit 只是方便保存的，实际实现上有一个 clamping 操作把数值限制在合法范围内。

[chuckzhou]

其实只有 251 位有效。高 2 位是固定的，低 3 位是忽略的。