我想我终于理解了 Dory PCS。对此稍微发发牢骚。 这个想法是我们从 bulletproofs 开始。 在 BP 中，验证者必须 "相信" 证明者正确地折叠了左侧和右侧生成器，并使用适当的组合 L+alpha R 进行下一轮。 为了使这一过程合理，V 最终会进行线性时间组合。 Dory 说 - 当我们有一个配对群时，我们可以在配对目标群中 *预处理* L 和 R，从而可验证地计算 L+alpha R 的承诺。 这最终使我们能够避免线性时间组合。 到目前为止，这已经消除了 V 的线性时间计算，但我们假设有一个配对，因此至少在可信设置的情况下，也可以使用 KZG，并拥有常数时间的 V。 因此，为了产生更大的 "影响"，Dory 将这个想法与通过配对实现的二次承诺结合起来（早在 Abe 等人的旧论文中就已知）。 也就是说，把你的多项式想象成一个矩阵，在 G1 中对每一行进行承诺，然后在 G_t 中对这些承诺进行承诺。 这种组合使得验证者的时间复杂度为对数，开启证明者的时间复杂度为平方根，承诺大小为常数。