门限签名

门限签名让达到法定数量的参与者在私钥材料保持分散的情况下生成一个普通可验证签名。了解 M-of-N、DKG、签名、恢复与操作风险。

仅供教育参考，不构成投资或安全建议。只有协议、实现、参与者和恢复流程都得到独立保护时，门限设计才能降低特定的密钥风险。

直接答案

门限签名方案允许 N 个参与者中至少 M 个协作，以一个公钥生成签名。少于 M 份有效份额既不应生成签名，也不应泄露签名密钥。在设计正确的协议中，日常签名不需要重构完整私钥。

验证者通常使用该签名类型的普通验证算法。它看到的可能是一个 ECDSA、EdDSA 或 Schnorr 签名，而不是链上签名者名单。这种互操作性很有用，但也意味着链上未必能看出门限、参与者或其控制是否真正独立。

门限签名是安全多方计算（MPC）的一种应用，两者并非同义词。MPC 钱包可以使用门限签名协议，而 MPC 也包含许多与签名无关的计算。同样，如果使用前必须重构秘密，把种子备份拆分开也不属于门限签名。

安全结论带有前提。它取决于具体协议、攻击者模型、经认证的通信、随机数、份额存储、参与者独立性、软件供应链、策略引擎和恢复设计。只有“M-of-N”不足以构成安全评估。

选择方案与威胁模型。 明确签名算法、M-of-N 门限、参与者身份、失陷假设、网络模型和所需安全性质。能抵御静态失陷的协议，未必能抵御随时间先后攻破不同参与者的攻击者。
创建分布式密钥材料。 可信经销方可以拆分秘密；也可以通过分布式密钥生成（DKG），由各方在不组合私钥的情况下共同建立份额和公钥。DKG 消除了经销方，却增加了交互轮次、证明、投诉处理和失败情形。
授权一条确切消息。 参与者必须分别把请求绑定到链、账户、金额、目的地址、费用、nonce 和策略上下文。密码学法定人数不能替代交易审查。
运行签名协议。 选定的法定参与者交换承诺、证明和签名份额。协议规定的 nonce 材料必须唯一且受保护；复用或偏差可能泄露密钥材料。有些方案需要预处理，而 FROST 规定的是两轮 Schnorr 门限协议。
验证并维护。 广播前，用群组公钥检查合成结果。随后应按需保留记录、监测故障、依照明确仪式刷新份额或轮换密钥，并测试恢复流程不会暗中降低门限。

设计	验证者看到什么	门限在哪里执行	主要审查边界
门限签名	一个签名和一个公钥	链下密码学协议	协议、客户端、份额、协调器、策略与恢复
链上多签	多次批准或合约状态	区块链或智能合约	合约、签名者集合、门限、模块与升级权力
拆分备份	重构后的普通密钥	恢复流程	份额保管、重构环境与恢复后处理

不同签名家族和安全模型使用不同的门限协议。线性结构让 Schnorr 类构造相对直接，但具体协议仍然关键。ECDSA 签名不具备相同的线性，因此门限 ECDSA 需要额外的多方技术。签名聚合、多签和门限签名的输出可能表面相似，其参与和安全主张却不同。

设想一个 2-of-3 托管设计，份额分别由交易团队、独立风险团队和恢复服务商持有。普通提款由交易与风险团队处理。一个份额不可用时，其余任一获授权组合仍可保持可用性。

数字本身不能证明独立性。如果前 2 个份额运行在同一云账户、接受同一个身份令牌，或依赖一个已被攻破的服务作出策略决定，一次事件就可能控制法定人数。应根据威胁模型分离设备、管理员、凭证、网络、地域、供应商和批准证据。

部署前至少测试以下路径：

记录每次仪式生成的公钥和软件版本。恢复后的份额即使在密码学上可用，如果绕过当前批准策略，也不算成功恢复。