问在Ed25519中，为什么不让批验证和未批验证都遵循核因素验证方法而不是使用无因素的批处理？

EN

考虑一下未批处理的无代码验证R\overset{?}{=} sB-kA，用于签名(R,s)。

有7个不同的小扭转点，可以添加到R，以使它走出素数阶子群。(它是7，而不是8，因为第八点是无穷远点，在素数阶子群中)。

无论使用的是k值还是s值，都不可能通过无因素的单独验证。

然而，根据在执行无代码批处理验证时使用的随机标量的选择，批处理验证有时会通过，有时会失败，当批处理中至少有一个签名的点不在素数级子群中时。

因此，我们必须作出选择。我们是否应该：

1. 允许不一致的批验证结果，以及由此产生的混乱？
2. 防止不一致的批验证结果与协因子相乘，强制所有点进入素数阶子群。

备选案文2最有意义。它提供了一致性。您可能会争辩说，这是以成功验证签名为代价的，而这些签名不会使用无cofactorless的单独验证进行验证。然而，这种情况并没有看上去那么可怕。这并不是说不属于素数级子群的带有R值的签名是伪造的。只是它已经被调整了，所以它不会单独验证。它仍然是私钥a知识的充分的零知识证明.

正如您所链接的文件所解释的，个人验证最初是以无因素形式实现的原因：

伯恩斯坦等人的原始论文。并没有乘以8，这就是所谓的无因素验证。几乎所有的密码库都使用无因素版本来使验证速度更快。

无因子验证消除了点的标量乘8的需要，因此，如果您知道永远不需要执行任何批处理验证，那么就有意义了。