WASM 密码学：WebCrypto、WASM 密码库与安全计算

// WebCrypto 基础姿势
const key = await crypto.subtle.importKey(
  'raw', rawKeyBytes, { name: 'AES-GCM' }, false, ['encrypt', 'decrypt']
);
const ct = await crypto.subtle.encrypt(
  { name: 'AES-GCM', iv: new Uint8Array(12) }, key, plaintext
);

// crypto_box：非对称加密（X25519 + XSalsa20 + Poly1305）
import sodium from 'libsodium-wrappers-sumo';
await sodium.ready;
const bob = sodium.crypto_box_keypair(), alice = sodium.crypto_box_keypair();
const nonce = sodium.randombytes_buf(sodium.crypto_box_NONCEBYTES);
const ciphertext = sodium.crypto_box_easy(msg, nonce, bob.publicKey, alice.privateKey);
const plain = sodium.crypto_box_open_easy(ciphertext, nonce, alice.publicKey, bob.privateKey);

# libsodium 编译 WASM（官方 makefile 支持）
cd libsodium && emmake make -j8 \
  CFLAGS="-s WASM=1 -s ALLOW_MEMORY_GROWTH=1" \
  && cp dist/libsodium-wasm32.wasm ../../dist/

# OpenSSL 编译到 WASM（重，一般用 BoringSSL/RustCrypto 替代）
emconfigure ./Configure -DOPENSSL_SMALL \
  -Wl,--no-entry -s EXPORTED_FUNCTIONS=_EVP_EncryptUpdate,...

□ 禁止：if (secret_bit) {...}  /  array[secret_value] —— 分支与寻址依赖秘密
□ 允许：位运算掩码（select），如 (a & -flag) | (b & ~flag)
□ 必须：常量时间比较，如 crypto_verify_32(a, b)（libsodium 提供）

// 反例：分支比较（长度与内容时序泄露）；正例：XOR 累积
function badEq(a, b) { for (let i = 0; i < a.length; i++)
  if (a[i] !== b[i]) return false; return true; }        // 不恒定时间
function constEq(a, b) { let d = 0;
  for (let i = 0; i < a.length; i++) d |= a[i] ^ b[i]; return d === 0; }  // 恒定时间

□ WebCrypto CryptoKey：extractable=false 不可导出，可 structured-clone 进 IndexedDB
□ WASM 原始密钥：只能加密落盘，用「主密钥 + 包裹密钥 KEK」两层结构
□ 口令派生：PBKDF2/HKDF（WebCrypto）或 Argon2（WASM）

// 两层密钥：主密钥加密存储，包裹密钥（KEK）由口令派生
const kek = await crypto.subtle.importKey(
  'raw', await crypto.subtle.digest('SHA-256', passphrase), // 简化示意
  { name: 'AES-GCM' }, false, ['wrapKey', 'unwrapKey']
);
const wrapped = await crypto.subtle.wrapKey(
  'raw', dataKey, kek, { name: 'AES-GCM', iv }
);

生成（CSPRNG：crypto.getRandomValues / randombytes）→ 使用 → 轮换 → 销毁
□ 不可导出密钥永不离开 CryptoKey 对象；轮换加版本号 + 双密钥并行期
□ 销毁：WASM 内 memset 清零，JS 侧置 null 并等待 GC

□ 门限签名：n 方共享密钥，t 方即可签名（如 FROST）
□ 私密求交（PSI）：双方算交集而不泄露非交集
□ 零知识证明：证明「我知道 x 满足关系 R」而不泄露 x
  （zk-SNARK/STARK、Pedersen 承诺、Bulletproofs）
□ 同态加密：对密文直接做加法/乘法

// 浏览器端生成零知识证明（示意，如 snarkjs）
import * as snarkjs from 'snarkjs';
const proof = await snarkjs.groth16.prove(wasmFile, zkeyFile, witness);
const ok = await snarkjs.groth16.verify(vkey, proof, publicInputs);

// 加密流：大消息分块、防重放、密文自认证
const sk = sodium.crypto_secretstream_xchacha20poly1305_keygen();
const [stateOut, header] = sodium.crypto_secretstream_xchacha20poly1305_init_push(sk);
const ct1 = sodium.crypto_secretstream_xchacha20poly1305_push(stateOut, chunk1, null, 0);
const ct2 = sodium.crypto_secretstream_xchacha20poly1305_push(stateOut, chunk2, null, 1); // 末块

// 快速哈希（SHA-256 via WebCrypto）
const digest = await crypto.subtle.digest('SHA-256', data);
// 口令哈希（Argon2 via WASM，抗 GPU 爆破）
import { argon2id } from 'hash-wasm';
const hash = await argon2id({ password, salt, parallelism: 4, iterations: 3, memorySize: 65536 });

审计清单：
□ 只依赖审计过的库（libsodium/RustCrypto），不手写原语
□ secret 值 grep 审计：分支、索引、日志都不能碰
□ CSPRNG：crypto.getRandomValues / sodium.randombytes_buf
□ 密钥不可导出 + 加密落盘 + 明确轮换
□ 算法版本与参数写死在协议里，别让调用方随意选