比特币脚本与 UTXO 签名验证

比特币使用未花费交易输出（UTXO）。每个 UTXO 都是一枚带有锁定脚本（scriptPubKey）的币。要花费它，花费方必须提供满足该锁定脚本的解锁脚本（scriptSig）。UTXO 具有原子性——要么已花费，要么未花费，绝不会只花费一部分。

比特币脚本是一种基于栈且非图灵完备的语言。脚本通过压入数据并执行操作码来运行。没有循环，也没有递归——脚本始终会终止。这种有意的限制可以防止拒绝服务攻击，并使脚本验证的复杂度相对于脚本长度为 O(n)。

最常见的输出类型。scriptPubKey：OP_DUP OP_HASH160 OP_EQUALVERIFY OP_CHECKSIG。scriptSig： 。执行过程：压入签名和公钥，复制公钥，执行 hash160，将结果与内嵌哈希比较，验证 ECDSA 签名。全部通过后，该币即可花费。

P2PKH 的栈跟踪：压入 ；压入 ；OP_DUP → 压入副本；OP_HASH160 → 对栈顶执行 hash160；压入 ；OP_EQUALVERIFY → 弹出两个元素，不相等则失败；OP_CHECKSIG → 弹出签名和公钥，验证 ECDSA 签名，压入 TRUE/FALSE。结果为 TRUE 时脚本成功。

比特币在 secp256k1 上使用 ECDSA（科布利兹曲线，y^2 = x^3 + 7 mod p）。私钥 d ∈ [1, n-1]。公钥 Q = d*G。Sign(m)：k 为随机数；r = (k*G).x mod n；s = k^{-1}(H(m)+r*d) mod n。签名 = (r, s)，并在 scriptSig 中使用 DER 编码。

比特币签名会对交易的特定部分作出承诺：SIGHASH_ALL（默认）：签署所有输入和输出。SIGHASH_SINGLE：仅签署对应的输出。SIGHASH_NONE：不签署任何输出（有风险）。SIGHASH_ANYONECANPAY：仅签署自己的输入，从而支持协作交易。

P2SH 允许将复杂的花费条件隐藏在哈希之后。scriptPubKey：OP_HASH160 OP_EQUAL。scriptSig： 。执行过程：验证 hash(redeemScript) == scriptHash，然后执行 redeemScript。这样无需在花费之前公开条件即可实现多重签名。

redeemScript：OP_2 OP_3 OP_CHECKMULTISIG。scriptSig：OP_0 。OP_0 用于绕过 OP_CHECKMULTISIG 中的一个漏洞，该漏洞会额外弹出一个栈元素。2-of-3 多重签名要求 3 个签名中的任意 2 个。

隔离见证（SegWit，BIP-141）将签名从 scriptSig 移到单独的见证字段中。它修复了交易延展性问题（如果 scriptSig 改变，ID 也会改变）。P2WPKH 的 scriptPubKey：OP_0 <20-byte pubKeyHash>。见证字段：[ ]。

Taproot（BIP-340/341/342）使用 Schnorr 签名和默克尔化抽象语法树（MAST）。默认花费方式是单个 Schnorr 签名（与密钥路径花费无法区分）。复杂条件隐藏在默克尔树中，仅在使用时公开。这样兼顾了隐私性和效率。

Bitcoin Core 在栈解释器中验证脚本。CheckSig 调用 VerifyScript，后者运行合并后的 scriptSig+scriptPubKey。对于每个 CHECKSIG 操作码，它都会调用 CheckECDSASignature，使用 secp256k1 根据交易哈希验证 DER 编码的 (r,s)。

UTXO 使用基于栈的比特币脚本。P2PKH 是最常见的花费模式：先对公钥进行哈希验证，再检查 ECDSA 签名。SegWit 修复了延展性问题；Taproot 增加了 Schnorr 和 MAST。下一节：差分密码分析。