ZK 从原理到 Rollup：证明系统与 zkEVM 四类

先去掉神秘感。零知识证明（Zero-Knowledge Proof）是为了解决一个很朴素的信任问题：我手里有一份证据，但我不想把证据本身给你，我只想让你相信「我知道这份证据」。

形式化地说：证明者（Prover）要向验证者（Verifier）证明「我知道一个值 w，使得公开函数 f(x, w) = true」，而验证者除了「这个陈述为真」之外，什么都学不到。举个区块链里的具体例子：假设某笔转账要满足「转账之后我的余额仍然非负」，我不想公开我的全部余额明细，但我想让你相信这个条件成立——零知识证明允许我把这个条件变成一个数学陈述并给出证明。

关键认知：ZK 证明的是「某个计算被正确执行了」，它默认不隐藏输入本身。 你以为的「ZK 等于匿名」，其实需要额外的隐私设计才能实现。

一个能称为「零知识证明」的方案必须同时满足三条，缺一条就不成立。完备性（Completeness）：如果陈述为真、且证明者诚实，那么验证者一定会被说服——这条保证「真话总能被证明」。可靠性（Soundness）：如果陈述为假，任何（哪怕算力无限的）作弊证明者都无法让验证者相信——这条保证「假话永远骗不过」。

工程实践中常讨论知识可靠性（knowledge soundness）：不仅陈述为真，证明者还必须真的知道那个证据，防止「瞎蒙也蒙对」。零知识（Zero-Knowledge）：验证者除了「陈述为真」之外学不到任何额外信息——这条是隐私的来源。

你可以用一句话记住三者的分工：完备性防「冤枉好人」，可靠性防「放过坏人」，零知识防「顺带泄露」。 在 Rollup 场景里，最被依赖的是前两条，第三条反而是可选的——这正说明「zkRollup 不等于隐私链」。

要让验证者相信「一大段计算是对的」，需要一种能把大规模数据压缩成一个极短的承诺、并支持抽查的技术，这就是多项式承诺（Polynomial Commitment）。

直觉是：把待验证的数据编码成多项式的一部分，验证者随机挑几个点让你「打开」，如果你能每次都打开正确，就极大概率说明整段数据没问题。主流两派：KZG 承诺依赖可信设置（trusted setup）——需要在仪式中生成一组参数，只要有一方诚实地销毁了自己的随机数，整套系统就是安全的；它的优点是承诺与证明都很小（一个椭圆曲线点或几十字节），链上验证便宜，这也是以太坊 EIP-4844 里 blob 承诺采用 KZG 的原因。

FRI（Fast Reed-Solomon Interactive Oracle Proofs）是另一派，不需要可信设置（属于透明设置），代价是证明体积更大、验证计算更多，但避免了「仪式被做过手脚」这一整类风险。

两条路线的取舍，本质是「你要不要接受一次性的可信设置」。

由承诺方案衍生出两大证明系统家族。SNARK（简洁非交互式知识论证）：证明体积极小（几百字节）、验证极快，链上验证 Gas 低，但通常需要可信设置，且多数实现依赖椭圆曲线配对——不具备后量子安全性。

STARK（可扩展透明知识论证）：不需要可信设置、只依赖哈希函数，因此后量子安全、透明可审计，代价是证明体积大（几十到几百 KB，比 SNARK 大两三个数量级）、验证计算量更高，所以早期链上验证费用偏贵。

这解释了为什么不同项目选择不同：追求「链上验证最便宜」的倾向 SNARK，追求「不要可信设置、抗量子」的倾向 STARK（StarkNet 就是 STARK 路线的代表）。近年两个方向都在互相借鉴、迭代（比如更小的 STARK、混合方案），但没有免费的选择：你要么支付可信设置，要么支付证明体积。

理解这一点，看到「我们的证明只有 200 字节」或「我们无需可信设置」的宣传时，你就知道对方在强调哪个方向的取舍。

回到 L2 场景。有效性证明（validity proof）在这里承担的角色是：L2 的排序器把一批交易执行完，得到新的状态根，然后生成一个证明「从旧状态根出发，按这批交易执行，一定得到这个新状态根」。

这个证明被提交到以太坊主网的合约里，主网合约验证通过后才接受这个新状态。与 Optimistic Rollup 的欺诈证明相比，差别在时间与信任结构：Optimistic 默认「先接受、有异议再挑战」，所以要等挑战期（通常 7 天）才能确认提现，期间靠「至少有一个诚实挑战者」这个假设；有效性证明则是提交时就必须证明对，因此提现无需等待挑战期，安全假设更少。

但代价是证明生成成本高、工程复杂（尤其 EVM 等价的证明极难做），且历史上各 zkRollup 的 prover 常由项目自己运营——这就是前面风险提示里说的「prover 集中化」，也是判断一个 zkRollup 成熟度最该看的指标之一。

以太坊的 EVM 是被大量工具、编译器、合约依赖的复杂系统，想为它生成证明，工程难度极高。Vitalik Buterin 提出按等价程度把 zkEVM 分成四类，这是理解各项目定位最好的框架。

Type 1（完全以太坊等价）：逐字节与以太坊一致，连区块结构、状态树都一样，好处是能直接验证主网区块、复用全部工具，代价是证明生成慢、成本高。Type 2（完全 EVM 等价）：EVM 行为完全一致，但改动了一些数据结构（比如状态树）以加速证明，对开发者友好、对验证主网区块不友好。

Type 2.5：在 Type 2 基础上牺牲一点性能来降低证明成本。Type 3（几乎 EVM 等价）：为便于证明去掉了少数预编译合约或边角特性，绝大多数合约能跑，少数可能不兼容。

Type 4（语言级等价）：不证明 EVM 字节码，而是直接证明高级语言的编译产物（例如某条 Solidity 到内部 IR 的路径），证明最快、兼容性最需要开发者留意。越靠 Type 1，兼容性越好、证明越贵；越靠 Type 4，证明越便宜、坑越多。

这是 ZK 在区块链上真正值钱的经济结构，值得单独理解。生成证明（proving）需要把整批计算的每个步骤都转成约束并求解，开销常常是执行本身的上万倍——跑 1 秒的计算，可能需要几分钟甚至更长时间来证明。

但验证（verification）只需检查一个几百字节的证明，Gas 成本恒定且很小（典型在几十万 Gas 量级，与计算规模无关）。这个不对称带来三个推论：一、规模化效应——一批交易证明一次，摊到每笔交易的成本随批量增大而下降，所以 L2 希望把批次做大；二、硬件竞争——证明是算力密集任务，专业团队会用 GPU/FPGA/集群来压低单位成本，这让 prover 容易走向专业化、进而集中化；三、链上验证便宜而链下证明昂贵，所以把验证放在主网、把证明放在链下，是这门技术最自然的落地方式。

理解这个不对称，你也就能明白为什么「zkRollup 在交易量低的时候并不便宜」——固定成本需要足够多的交易来摊薄。

这是关于 ZK 最常见、也最容易造成错误决策的误解，必须单独说清。zkRollup 里的交易数据默认仍然公开发布在主网上（否则无法验证），所以金额、地址、调用数据都是公开可查的——有效性证明解决的是「计算正确性」与「提现速度」，完全没有隐藏任何交易内容。

真正的隐私需要额外机制：隐藏发送方或接收方（如隐私池、混币式设计）、隐藏金额（如机密转账方案的加密金额与范围证明）、或全部隐藏（如 Zcash 一类完全私密链）。

为什么必须分清？因为有人会因为「用了 ZK」而误以为自己的转账记录不可追溯，从而把不该混用的地址混在一起、或在上面做本该保密的操作，结果链上分析工具照样把他的资金路径连起来。判断方法很简单：去看它的区块浏览器——如果一笔转账的金额和地址都能直接查到，那它没有任何隐私保护。

把技术差异落到实际使用上。StarkNet 走 STARK 路线、不依赖可信设置、生态与开发语言自成一套，性能取向明显；zkSync Era 与 Scroll、Linea 等属于 EVM 系 zkRollup，前者自建工具链、对开发者有额外抽象，后两者强调与现有以太坊工具链兼容；Polygon zkEVM 也是 EVM 兼容路线的一员。

作为用户，你不必按证明系统选链，而是按三件事选：一、数据发布在哪里（是否上主网）；二、提现延迟与桥的升级权限（能不能及时跑、谁能改规则）；三、prover 是否去中心化（有效性证明的信任结构是否真的成立）。

作为开发者，还要多问一句属于 zkEVM 哪一类、有哪些预编译不支持。把这四条问完再决定投放多少资金与精力，比对着一堆「ZK、高性能、低费用」的宣传语做判断要可靠得多。