Groth16 和 PLONK 都需要一场仪式生成公共参数，Halo 用累加器加递归把这场仪式拆了。本文讲递归证明的压缩链条、为什么递归内部必须住一个 SNARK、累加器方案怎么把可信设置彻底请出去，以及它换来的体积与成本代价。

验证大规模计算太贵怎么办？sum-check 协议把『证明所有格子加起来等于某个值』拆成一串轮流点名的小问题，验证者只用随机抽查。本文讲 LFKN 1992 年的原始构造、GKR 怎么拿它给电路验证装引擎、它如何长成现代证明系统的积木，以及随机性从哪来才诚实。

EIP-8025 提议引入可选的执行证明：一小部分节点为区块生成执行证明，其余节点凭证明完成无状态验证，不必再重放执行层交易。本文拆解这份草稿的分工、边界与前提。

零知识与聚合签名都需要把任意消息变成曲线上的点，且不能知道离散对数。EIP-3068 提议给 BN256 加一个哈希进曲线的预编译来便宜地做这件事。本文解释为什么直接哈希会坏、标准方法长什么样，以及这条停在停滞状态的提案在生态里的位置。

circom 是一种给零知识证明写电路的语言：信号连成约束，编译器生成 R1CS 与 wasm witness 计算器。本文拆解它的信号与约束语法、编译器产物如何接进 Groth16 或 PLONK 证明系统，以及电路开发为什么和普通编程是两种活。

1986 年 Fiat 与 Shamir 给出一个通用手法：用哈希函数代替验证者掷骰子，让交互证明变成一次发完的非交互证明。今天的 Schnorr 签名、多数零知识证明系统都靠它落地。本文解释它换掉了什么、随机预言假设的真实含义，以及“在 ROM 里安全”与“现实中安全”之间已知的裂缝。

Poseidon 是 2019 年论文提出的一族哈希函数，专为在素数域电路上算哈希而设计：相比把 SHA-256 硬塞进约束系统，它每条消息位最多能省掉数量级的约束数。本文解释为什么 ZK 系统需要“域原生”哈希、它的轮函数长什么样、和 Pedersen 承诺什么关系，以及哪些项目在实际用它。

Zcash 同时维护比特币式的透明余额和零知识证明保护的屏蔽池。资金进出屏蔽池的那两笔边界交易，才是实际隐私的瓶颈。本文讲两种池子在链上各留下什么、搬家为何关键，以及默认设置替你做了哪些隐私决定。