安全多方计算要解决的核心问题是多个参与方各自持有私有输入，希望共同计算某个函数，但不向其他方泄露输入。SPDZ协议是其中一类具备恶意安全性质的协议，它不假设参与方会严格按照规则执行，而是允许参与方篡改数据、发送错误消息。为了让这种恶意行为无法影响最终结果而又不被发现，SPDZ在秘密分享的基础上引入消息认证码，即MAC。
一、带MAC的加法秘密分享
SPDZ的底层数据表示并不直接持有明文。假设有n个参与方，所有数据都被表示成域F上的加法秘密分享。一个值x被拆成n个份额x_1到x_n，第i方只持有x_i，真正的x等于所有份额之和。单独看任意一个份额，都像随机数一样不包含原值信息。
仅靠秘密分享无法抵抗恶意敌手，因为一方完全可以在后续计算时把x_i改成x_i加δ，最终打开的结果就会偏移δ而其他人毫无察觉。SPDZ增加了一个全局MAC密钥α。α同样被加法分享，每个参与方持有α_i，但任何人都不知道完整α。对于每个被分享的值x，还会生成它的MAC份额m_i，满足所有m_i之和等于α乘x。于是每个参与方同时持有x_i和m_i，形成认证分享。
打开一个值时，参与方不能直接公开各自的x_i就结束。正确做法是先公开x_i，再公开或检查m_i是否等于α乘x。由于α是分享的，检查过程需要所有方一起执行一次安全的MAC验证。若某个参与方在打开前篡改了x_i，那么为了通过验证，它还必须同时篡改m_i，但m_i依赖全局α，敌手不知道完整α，所以无法正确伪造。这样篡改行为会以极高概率被检测到。
# 简单的SPDZ风格认证份额模拟
import random
P = 101 # 模拟有限域
n = 3 # 参与方数量
def share(secret, alpha_shares):
# 生成x的加法份额
xs = [random.randrange(P) for _ in range(n-1)]
xs.append((secret - sum(xs)) % P)
# 生成mac份额，满足总和为alpha * secret
mac_sum = (sum(alpha_shares) * secret) % P
ms = [random.randrange(P) for _ in range(n-1)]
ms.append((mac_sum - sum(ms)) % P)
return list(zip(xs, ms))
# 假设alpha份额只有各自参与方知道
alpha_shares = [random.randrange(P) for _ in range(n)]
secret = 42
auth_shares = share(secret, alpha_shares)
print(auth_shares)
二、离线预处理与在线计算分离
如果每一步乘法都即时执行复杂的密码学操作，协议会非常慢。SPDZ把协议分成两个阶段。离线预处理阶段与具体要计算的函数无关，只负责生成随机乘法三元组。三元组是三个被认证分享的值a、b、c，且满足c等于a乘b。这个阶段可以使用同态加密或不经意传输等技术，开销较高，但可以提前完成。
在线阶段则由函数输入触发，计算过程只使用普通加法公开和乘法三元组。对于加法门，参与方在本地把份额相加即可。对于乘法门，SPDZ使用Beaver三元组技巧。要计算x乘y，先让参与方本地计算x减a和y减b的份额，然后公开恢复d和e。由于a和b是随机值，d和e不会泄露x或y。最后每一方本地计算c加e乘a_i加d乘b_i，再加d乘e，得到x乘y的认证份额。在线阶段通信量小，速度较快。
离线阶段生成的三元组需要保证c确实等于a乘b。恶意参与方可能篡改生成过程，因此SPDZ引入了牺牲检查。简单来说，每生成一批三元组后，牺牲一部分用于打开验证正确性，如果验证通过就把剩余部分交给在线阶段使用。这种批量生成加抽查的思路显著降低了总开销。
# 在线阶段Beaver乘法局部份额计算
P = 101
def beaver_mult_local(x_share, y_share, triple, d, e):
a_i, b_i, c_i = triple
# 返回本地乘法结果份额，最后一方的处理由调用者控制
return (c_i + e * a_i + d * b_i) % P
# 假设某个参与方持有x_share、y_share和三元组份额
x_share = 15
y_share = 22
triple = (3, 4, 12)
d = 8
e = 6
local_result = beaver_mult_local(x_share, y_share, triple, d, e)
print(local_result)
三、批量MAC校验与打开安全
SPDZ协议中，任何公开值之前都要做MAC验证。逐个检查每个值的MAC份额会造成很大通信开销。实际实现通常使用随机线性组合批量检查。把所有待检查的值和一个随机向量做内积，同时把所有对应MAC份额也做相同内积，然后仅检查这个组合值是否满足MAC关系。随机向量的每个分量由所有参与方共同生成，敌手无法提前预知。
批量检查时，如果原始值中存在一个错误，组合后错误的幅度会被随机化。只要随机分量来自足够大的域，检查通过的概率可以压到非常低。这样就能在不显著降低安全性的前提下，把多次打开检查合并成一次，提升协议效率。
除了批量检查，打开值还需要防止泄露全局MAC密钥α。因为每次公开一个值都会暴露它与MAC之间的关系，如果直接公开太多认证分享，敌手可能反推出α。SPDZ在打开前通常会先给目标值加上一个随机掩码，公开掩码后的值，再用MAC检查验证掩码值无误。随机掩码也在离线阶段生成，因此在线阶段仍然轻量。
四、实现中的环选择与优化方向
SPDZ最初在有限域上描述，但后续实现和变体常选择环Z_2^k，比如64位或128位整数环。选择环的好处是可以利用CPU的整数运算和向量指令，避免大整数模运算的高昂成本。而选择较大有限域则更接近理论安全性参数，便于证明恶意安全。实际工程中需要根据电路规模和参与方数量做权衡。
在离线预处理方面，MASCOT方案使用不经意传输生成三元组，Overdrive等方案进一步改进批处理，使预处理吞吐量大幅提升。还有一些混合方案把部分三元组生成放在可信硬件中，或结合同态加密降低通信量。无论哪种优化，核心安全结构仍然是带MAC的认证分享和牺牲检查，差异主要在生成预处理的密码学原语。
对入门实现者来说，可以先在单一进程内模拟参与方之间的消息传递，把份额、MAC、三元组等抽象成数据结构，再逐步替换为真实网络通信和密码学原语。这样可以更清楚地理解SPDZ在线阶段的流程，也不会一开始就被离线协议的复杂度淹没。
五、一个简化的三方乘法模拟
下面给出一段更完整的Python伪代码，在模101域上模拟三个参与方生成认证份额、执行一次Beaver乘法并验证最终结果。代码只做本地模拟，没有实现真实网络和恶意检查，但能展示认证份额和MAC的基本关系。
P = 101
n = 3
# 模拟全局alpha份额，注意总和不能为0
alpha_shares = [17, 39, 50]
alpha = sum(alpha_shares) % P
def auth_share(secret, alpha_shares):
xs = [10, 20, (secret - 30) % P]
mac_total = (alpha * secret) % P
ms = [5, 7, (mac_total - 12) % P]
return xs, ms
# 两个输入
x = 7
y = 9
xs, ms_x = auth_share(x, alpha_shares)
ys, ms_y = auth_share(y, alpha_shares)
# 使用预先产生的三元组 a=3, b=4, c=12
a = 3
b = 4
c = 12
as_, ms_a = auth_share(a, alpha_shares)
bs_, ms_b = auth_share(b, alpha_shares)
cs_, ms_c = auth_share(c, alpha_shares)
# 在线阶段：公开d = x - a, e = y - b
d = (x - a) % P
e = (y - b) % P
# 每个参与方本地计算乘积份额
z_shares = []
z_macs = []
for i in range(n):
zi = (cs_[i] + e * as_[i] + d * bs_[i]) % P
if i == n - 1:
zi = (zi + d * e) % P
mi = (ms_c[i] + e * ms_a[i] + d * ms_b[i]) % P
# d和e是公开值，所有方都要增加对应的MAC份额
mi = (mi + d * e * alpha_shares[i]) % P
z_shares.append(zi)
z_macs.append(mi)
# 验证打开结果
z = sum(z_shares) % P
mac_z = sum(z_macs) % P
expected_mac = (alpha * z) % P
print('z =', z)
print('mac_z =', mac_z)
print('expected_mac =', expected_mac)
这段代码中的份额和MAC份额为了简洁使用了固定数值，真实协议必须使用随机数并保证通信安全。份额层面可以由最后一方加上d乘e，但MAC份额则需要所有方按各自的alpha份额增加，否则认证关系无法保持。通过检查mac_z和expected_mac是否相等，就能判断这次乘法结果是否仍然满足认证关系。
六、总结
SPDZ协议的核心贡献在于把秘密分享和MAC认证组合成可计算的结构，使得恶意参与方无法静默篡改数据。离线预处理与在线计算分离的设计，让复杂密码学操作不必在关键路径上反复执行。批量MAC检查和随机掩码则进一步降低了公开值的性能成本。
理解SPDZ不仅有助于选择安全多方计算框架，也能帮助设计自定义协议时判断哪些操作需要强认证。即使实际系统采用更轻量的半诚实协议，SPDZ中的认证思路仍然可以借鉴到审计和结果校验环节。