EdDSA 与 ECDSA 的差异
EdDSA（Ed25519 与 Ed448）与 ECDSA 都基于椭圆曲线，但签名生成方式、编码与容错性不同。EdDSA 采用确定性签名，不需要一次性随机数，签名与公钥长度固定，实现更不容易被误用；ECDSA 依赖随机数 k，签名使用可变长的编码。两者安全强度相当，选择主要看生态兼容与实现风险。
基本信息
| 标准 | RFC 8032，并与 FIPS 体系并列使用 |
|---|---|
| 随机数依赖 | 无，确定性签名 |
| 签名长度 | Ed25519 固定 64 字节 |
| 公钥长度 | Ed25519 固定 32 字节 |
典型使用场景
- 远程登录与自动化：以 Ed25519 密钥作为默认选择
- 现代签名服务：追求实现简单与确定性输出
- TLS 1.3：证书与握手签名均支持该算法族
- 与既有证书体系兼容：仍需使用 ECDSA
- 迁移评估：把高风险的自研签名实现替换为成熟算法
用途选型
用途选型
需要与现有证书体系兼容 → ECDSA（常用 P-256 或 P-384）
新设计、关注实现简单与确定性 → Ed25519
注意：Ed25519 并非被全部旧版协议栈支持，主流实现已普遍支持对比
| 维度 | ECDSA | EdDSA |
|---|---|---|
| 随机数 | 需要唯一 k 或确定性派生 | 确定性派生，无随机数依赖 |
| 签名长度 | 编码后约 70 到 72 字节 | 固定 64 字节 |
| 公钥长度 | 约 64 到 65 字节 | 32 字节 |
| 典型用途 | 证书体系兼容场景 | 登录、现代签名服务 |
两者的安全强度相当，选择主要看生态兼容与实现风险；确定性签名免去了随机数管理的负担，是它在工程上更受欢迎的主要原因。
落地注意
- 确认目标协议栈与客户端是否支持所选算法
- 密钥格式与曲线标识不同，跨工具导入时需转换
- 签名编码固定，解析失败通常意味着数据结构已被改动
- 在证书体系内使用时确认签发方的支持情况
把某一族的私钥当另一族的通用椭圆曲线私钥导入，往往会失败或产生不可预期的行为；跨工具链转换时应优先使用通用封装格式作为中间格式。