默克尔树（Merkle）

原创于 2025-09-26 10:40:57 发布 · 439 阅读

9 ·

CC 4.0 BY-SA版权

文章标签：

#哈希算法

核心概念：默克尔树就像一个“公司组织结构图”

想象一下，一个公司有8笔交易（TX0 到 TX7）要记录。为了高效管理，它不会把所有人的名字都写在老板的笔记本上，而是这样组织：

底层员工（叶子节点）： 每个员工（一笔交易）都有自己的工牌（交易哈希 H(TX)）。
小组长（中间哈希）： 每两个员工组成一个小组（例如，H(TX0) 和 H(TX1)），他们的工牌合在一起生成一个小组标识符（H(H(TX0) + H(TX1))）。
部门经理（更高层的哈希）： 每两个小组的标识符合在一起，生成一个部门标识符。
CEO（根哈希）： 最终，所有部门标识符合在一起，生成一个唯一的公司总标识符，这就是默克尔根（Merkle Root）。这个根哈希会被写在区块头里，相当于CEO的印章。

现在，我们要证明“员工TX3”确实在这家公司（这个区块）里。

详细例子：证明TX3在区块中

假设一个区块包含8笔交易：TX0, TX1, TX2, TX3, TX4, TX5, TX6, TX7。
它们的默克尔树结构如下图所示，其默克尔根是 Hash 0-7：

                [Root: Hash 0-7]  <- 区块头中包含的这个！
                /               \
       [Hash 0-3]                 [Hash 4-7]
       /         \                /         \
 [Hash 0-1]     [Hash 2-3]   [Hash 4-5]     [Hash 6-7]
 /       \     /       \     /       \     /       \
H(TX0) H(TX1) H(TX2) H(TX3) H(TX4) H(TX5) H(TX6) H(TX7) <- 我们的TX3在这里

目标： 向一个轻节点（比如手机钱包）证明 TX3 确实在这个区块里，而无需将 TX0-TX7 全部发给它。

第一步：提供“证据”（默克尔路径）

轻节点已经知道区块头的默克尔根（Hash 0-7）。它需要从全节点获取以下关键的三样东西：

要验证的交易本身： TX3。
通往根哈希的路径上所需的“兄弟节点”的哈希值： 这就是“默克尔证明”或“验证路径”。
- 为了从 H(TX3) 计算出根，我们需要：
  - H(TX3) 的兄弟节点是 H(TX2)。
  - Hash 2-3 的兄弟节点是 Hash 0-1。
  - Hash 0-3 的兄弟节点是 Hash 4-7。
所以，全节点提供给轻节点的 默克尔路径 就是：
[H(TX2), Hash 0-1, Hash 4-7]

第二步：轻节点自行“验算”

轻节点拿到 TX3 和路径 [H(TX2), Hash 0-1, Hash 4-7] 后，开始自己进行哈希计算验证，这个过程如下图所示：

flowchart TD
    A[轻节点收到 TX3 与路径<br>H(TX2), Hash 0-1, Hash 4-7] --> B

    subgraph LightClientVerification [轻节点自行验算]
        B[计算 H(TX3)] --> C[结合兄弟节点 H(TX2)<br>计算 Hash 2-3 = H(H(TX2) + H(TX3))]
        C --> D[结合兄弟节点 Hash 0-1<br>计算 Hash 0-3 = H(Hash 0-1 + Hash 2-3)]
        D --> E[结合兄弟节点 Hash 4-7<br>计算 Final Root = H(Hash 0-3 + Hash 4-7)]
    end

    F[已知的区块头中的<br>默克尔根 Hash 0-7] --> G(对比结果)
    E --> G

    G -- 两者相等 --> H[✅ 验证成功！<br>TX3确实存在于该区块中]
    G -- 不相等 --> I[❌ 验证失败！<br>证据或交易无效]

为什么这是安全的？

抗篡改： 如果全节点想骗你，伪造一笔不存在的 TX3'，它必须为你构造一条能计算出正确默克尔根的路径。但由于哈希函数的碰撞阻力（无法找到两个不同的输入产生相同的输出），这在实际计算中是不可能的。只要最终算出的根与区块头里的根对不上，验证就失败。
高效至极： 对于一个有几千笔交易的区块，轻节点也只需要进行大约 (log₂(N)) 次哈希计算（例如，4096笔交易只需计算12次哈希）和传输很少的数据，就可以完成验证。而不需要下载整个区块（可能几MB大小）。