后量子密码｜通识认知 02｜量子威胁核心原理：Shor 算法如何击穿传统公钥密码

- 前言
- [一、RSA 为什么依赖整数分解](#一、RSA 为什么依赖整数分解)
- - [1.1 RSA 密钥生成的关键关系](#1.1 RSA 密钥生成的关键关系)
  - [1.2 为什么经典计算机难以分解大整数](#1.2 为什么经典计算机难以分解大整数)
- [二、Shor 算法的核心：把分解变成阶查找](#二、Shor 算法的核心：把分解变成阶查找)
- - [2.1 什么是模 N N N 的阶](#2.1 什么是模 N N N 的阶)
  - [2.2 为什么找到 r r r 可以帮助分解 N N N](#2.2 为什么找到 r r r 可以帮助分解 N N N)
  - [2.3 为什么有时需要重新选择 a a a](#2.3 为什么有时需要重新选择 a a a)
- [三、手算示例：使用 Shor 思路分解 N = 15 N=15 N=15](#三、手算示例：使用 Shor 思路分解 N = 15 N=15 N=15)
- - [3.1 选择随机底数](#3.1 选择随机底数)
  - [3.2 计算模指数序列](#3.2 计算模指数序列)
  - [3.3 通过最大公因数恢复因子](#3.3 通过最大公因数恢复因子)
- 四、量子计算机怎样找到周期
- - [4.1 量子叠加不是直接给出全部答案](#4.1 量子叠加不是直接给出全部答案)
  - [4.2 量子傅里叶变换提取周期信息](#4.2 量子傅里叶变换提取周期信息)
  - [4.3 为什么不能把它理解成暴力枚举](#4.3 为什么不能把它理解成暴力枚举)
- [五、Shor 算法怎样击穿 RSA](#五、Shor 算法怎样击穿 RSA)
- [六、Shor 算法为什么也能攻击 ECC 与 SM2](#六、Shor 算法为什么也能攻击 ECC 与 SM2)
- - [6.1 椭圆曲线公钥关系](#6.1 椭圆曲线公钥关系)
  - [6.2 不是整数分解，为什么仍然受影响](#6.2 不是整数分解，为什么仍然受影响)
  - [6.3 ECDH、ECDSA 与 SM2 的具体后果](#6.3 ECDH、ECDSA 与 SM2 的具体后果)
- 七、现实中的量子计算机已经能做到吗
- - [7.1 逻辑量子比特与物理量子比特](#7.1 逻辑量子比特与物理量子比特)
  - [7.2 密码学相关量子计算机](#7.2 密码学相关量子计算机)
  - [7.3 为什么"不知道时间"反而要求提前行动](#7.3 为什么“不知道时间”反而要求提前行动)
- [八、关于 Shor 算法的常见误区](#八、关于 Shor 算法的常见误区)
- - 误区一：量子计算机会同时输出所有私钥
  - [误区二：Shor 算法可以破解 AES](#误区二：Shor 算法可以破解 AES)
  - [误区三：ECC 密钥短，所以比 RSA 更容易被量子破解](#误区三：ECC 密钥短，所以比 RSA 更容易被量子破解)
  - [误区四：把 RSA-2048 升级到 RSA-8192 就完成抗量子改造](#误区四：把 RSA-2048 升级到 RSA-8192 就完成抗量子改造)
  - [误区五：SM2 是国产算法，所以不受 Shor 影响](#误区五：SM2 是国产算法，所以不受 Shor 影响)
  - 误区六：只要量子计算机还没出现，就不需要关心
- 九、总结
- - 免责声明

专栏说明 ：《后量子密码》专栏，本专栏面向零基础读者，循序渐进讲解后量子密码理论、NIST标准算法、攻击分析、工程落地与迁移实践。

https://blog.csdn.net/r_feynman_/category_13197405.html

前言

谈到量子计算破解密码，最常见的一句话是："量子计算机可以同时尝试所有密钥。"

这句话听起来直观，却容易把量子算法误解成速度无限快的并行暴力破解。量子计算真正的优势不在于把所有答案同时打印出来，而在于通过量子叠加、相位干涉和测量设计，让正确答案对应的结构被放大，让错误路径相互抵消。

Shor 算法就是其中最具代表性的例子。

它并不直接枚举 RSA 私钥，也不逐个尝试椭圆曲线私钥，而是把整数分解、离散对数转换成适合量子计算的周期或隐藏结构问题，再利用量子傅里叶变换提取关键周期。

因此，理解 Shor 算法的重点不是背诵复杂量子电路，而是回答三个问题：

RSA 为什么可以被转换成周期查找问题？
找到周期后，为什么能够分解模数？
ECC 与 SM2 看起来没有大整数分解，为什么仍然会被攻击？

本文不要求读者具备量子力学基础，将从一个可以手算的 N = 15 N=15 N=15 示例开始，逐步建立完整攻击逻辑。

本节小结：Shor 算法不是量子暴力枚举，而是利用问题内部的周期结构。理解"分解---阶查找---量子周期提取"这条链路，就抓住了传统公钥密码面临量子威胁的核心。

一、RSA 为什么依赖整数分解

1.1 RSA 密钥生成的关键关系

RSA 选择两个大素数 p p p 和 q q q，计算：

N = p q N=pq N=pq

再计算欧拉函数：

φ ( N ) = ( p − 1 ) ( q − 1 ) \varphi(N)=(p-1)(q-1) φ(N)=(p−1)(q−1)

选择公钥指数 e e e，使其满足：

gcd ⁡ ( e , φ ( N ) ) = 1 \gcd(e,\varphi(N))=1 gcd(e,φ(N))=1

私钥指数 d d d 是 e e e 关于模 φ ( N ) \varphi(N) φ(N) 的乘法逆元：

e d ≡ 1 ( m o d φ ( N ) ) ed\equiv1\pmod{\varphi(N)} ed≡1(modφ(N))

公钥可以表示为：

P K = ( N , e ) PK=(N,e) PK=(N,e)

私钥核心参数为：

S K = d SK=d SK=d

攻击者知道 N N N 和 e e e，如果能够分解：

N = p q N=pq N=pq

就可以计算 φ ( N ) \varphi(N) φ(N)，再通过扩展欧几里得算法求出：

d = e − 1 m o d φ ( N ) d=e^{-1}\bmod\varphi(N) d=e−1modφ(N)

因此，RSA 的典型攻击链为：

text 复制代码

公开模数 N
   │
   ▼
分解得到 p、q
   │
   ▼
计算 φ(N)
   │
   ▼
计算 d=e⁻¹ mod φ(N)
   │
   ▼
恢复私钥

1.2 为什么经典计算机难以分解大整数

两个大素数相乘非常容易，但从乘积恢复因子没有已知的经典多项式时间通用算法。

经典计算机并非只能从 2 2 2 开始逐个试除，还可以使用数域筛法等高级算法。但随着模数位数增长，分解成本仍会迅速上升。

RSA 的工程安全性正是建立在这种不对称性上：合法用户掌握 p p p、 q q q，可以高效生成私钥；攻击者只看到 N N N，难以恢复因子。

Shor 算法改变了这一点。它把整数分解规约为"寻找某个模指数函数的周期"，而周期查找恰好能够被量子傅里叶变换高效处理。

本节小结 ：RSA 私钥并不是凭空隐藏的，它与 p p p、 q q q 和 φ ( N ) \varphi(N) φ(N) 直接相关。只要大整数分解能够被高效完成，RSA 加密和签名的私钥安全性都会随之失效。

二、Shor 算法的核心：把分解变成阶查找

2.1 什么是模 N N N 的阶

选择一个满足：

1 < a < N 1<a<N 1<a<N

且：

gcd ⁡ ( a , N ) = 1 \gcd(a,N)=1 gcd(a,N)=1

的整数 a a a。

定义函数：

f ( x ) = a x m o d N f(x)=a^x\bmod N f(x)=axmodN

由于模 N N N 的可能余数有限， f ( x ) f(x) f(x) 会周期性重复。

满足：

a r ≡ 1 ( m o d N ) a^r\equiv1\pmod N ar≡1(modN)

的最小正整数 r r r，称为 a a a 模 N N N 的乘法阶，记作：

r = ord ⁡ N ( a ) r=\operatorname{ord}_N(a) r=ordN(a)

Shor 算法的量子核心任务，就是高效找到这个 r r r。

2.2 为什么找到 r r r 可以帮助分解 N N N

由阶的定义：

a r ≡ 1 ( m o d N ) a^r\equiv1\pmod N ar≡1(modN)

等价于：

a r − 1 ≡ 0 ( m o d N ) a^r-1\equiv0\pmod N ar−1≡0(modN)

如果 r r r 为偶数，可以利用平方差公式：

a r − 1 = ( a r / 2 ) 2 − 1 a^r-1= \left(a^{r/2}\right)^2-1 ar−1=(ar/2)2−1

a r − 1 = ( a r / 2 − 1 ) ( a r / 2 + 1 ) a^r-1= \left(a^{r/2}-1\right) \left(a^{r/2}+1\right) ar−1=(ar/2−1)(ar/2+1)

由于 N N N 整除 a r − 1 a^r-1 ar−1，所以：

N ∣ ( a r / 2 − 1 ) ( a r / 2 + 1 ) N\mid \left(a^{r/2}-1\right) \left(a^{r/2}+1\right) N∣(ar/2−1)(ar/2+1)

如果同时满足：

a r / 2 ≢ − 1 ( m o d N ) a^{r/2}\not\equiv-1\pmod N ar/2≡−1(modN)

那么下面两个最大公因数很可能给出 N N N 的非平凡因子：

p = gcd ⁡ ( a r / 2 − 1 , N ) p=\gcd\left(a^{r/2}-1,N\right) p=gcd(ar/2−1,N)

q = gcd ⁡ ( a r / 2 + 1 , N ) q=\gcd\left(a^{r/2}+1,N\right) q=gcd(ar/2+1,N)

这里的"非平凡因子"是指结果不等于 1 1 1，也不等于 N N N 本身。

2.3 为什么有时需要重新选择 a a a

并不是任意一次选择都会成功。

可能出现：

一开始就有 gcd ⁡ ( a , N ) > 1 \gcd(a,N)>1 gcd(a,N)>1，此时反而直接得到因子；
找到的阶 r r r 为奇数，无法使用 r / 2 r/2 r/2；
a r / 2 ≡ − 1 ( m o d N ) a^{r/2}\equiv-1\pmod N ar/2≡−1(modN)，最终最大公因数只能得到平凡结果；
量子测量结果不足以恢复正确周期，需要重复运行。

Shor 算法是概率算法。失败并不意味着算法失效，只需要重新选择 a a a 或重复执行周期查找。

本节小结 ：整数分解的关键被转换为模指数函数的阶查找。找到合适的偶数阶 r r r 后，平方差分解与最大公因数计算就可能直接给出 N N N 的因子。

三、手算示例：使用 Shor 思路分解 N = 15 N=15 N=15

为了看清算法链路，下面使用一个极小的教学示例。真实 RSA 模数远大于 15，但数学结构相同。

3.1 选择随机底数

令：

N = 15 N=15 N=15

选择：

a = 2 a=2 a=2

先检查：

gcd ⁡ ( 2 , 15 ) = 1 \gcd(2,15)=1 gcd(2,15)=1

因此可以继续寻找 2 模 15 的阶。

3.2 计算模指数序列

计算：

2 0 m o d 15 = 1 2^0\bmod15=1 20mod15=1

2 1 m o d 15 = 2 2^1\bmod15=2 21mod15=2

2 2 m o d 15 = 4 2^2\bmod15=4 22mod15=4

2 3 m o d 15 = 8 2^3\bmod15=8 23mod15=8

2 4 m o d 15 = 16 m o d 15 = 1 2^4\bmod15=16\bmod15=1 24mod15=16mod15=1

之后序列重新开始：

1 , 2 , 4 , 8 , 1 , 2 , 4 , 8 , ... 1,2,4,8,1,2,4,8,\ldots 1,2,4,8,1,2,4,8,...

最小正周期为：

r = 4 r=4 r=4

因为：

2 4 ≡ 1 ( m o d 15 ) 2^4\equiv1\pmod{15} 24≡1(mod15)

并且 r = 4 r=4 r=4 为偶数。

3.3 通过最大公因数恢复因子

计算：

a r / 2 = 2 4 / 2 = 2 2 = 4 a^{r/2}=2^{4/2}=2^2=4 ar/2=24/2=22=4

检查：

4 ≢ − 1 ( m o d 15 ) 4\not\equiv-1\pmod{15} 4≡−1(mod15)

因为模 15 下的 − 1 -1 −1 等价于 14。

接下来计算：

gcd ⁡ ( 2 4 / 2 − 1 , 15 ) = gcd ⁡ ( 3 , 15 ) = 3 \gcd\left(2^{4/2}-1,15\right)= \gcd(3,15) =3 gcd(24/2−1,15)=gcd(3,15)=3

另一侧为：

gcd ⁡ ( 2 4 / 2 + 1 , 15 ) = gcd ⁡ ( 5 , 15 ) = 5 \gcd\left(2^{4/2}+1,15\right)= \gcd(5,15) =5 gcd(24/2+1,15)=gcd(5,15)=5

最终得到：

15 = 3 × 5 15=3\times5 15=3×5

完整过程可以压缩为：

text 复制代码

N=15，选择 a=2
        │
        ▼
寻找 2ˣ mod 15 的周期
        │
        ▼
r=4
        │
        ▼
计算 gcd(2²-1,15)=3
计算 gcd(2²+1,15)=5
        │
        ▼
15=3×5

需要强调，在这个小例子中可以手算周期；对于真实 RSA 模数，经典计算机难以高效完成的正是周期查找。Shor 算法的量子部分用于解决这一瓶颈，最大公因数等后处理仍可由经典计算机完成。

本节小结 ： N = 15 N=15 N=15 的示例展示了 Shor 算法最重要的逻辑链：选择底数、找到周期、利用平方差与最大公因数恢复因子。量子优势集中在大规模周期查找，而不是最后的简单算术。

四、量子计算机怎样找到周期

4.1 量子叠加不是直接给出全部答案

量子寄存器可以制备多个输入的叠加态。形式上可以写成：

1 Q ∑ x = 0 Q − 1 ∣ x ⟩ \frac{1}{\sqrt Q} \sum_{x=0}^{Q-1}|x\rangle Q 1x=0∑Q−1∣x⟩

再通过可逆量子电路计算模指数：

∣ x ⟩ ∣ 0 ⟩ ⟶ ∣ x ⟩ ∣ a x m o d N ⟩ |x\rangle|0\rangle \longrightarrow |x\rangle|a^x\bmod N\rangle ∣x⟩∣0⟩⟶∣x⟩∣axmodN⟩

得到：

1 Q ∑ x = 0 Q − 1 ∣ x ⟩ ∣ a x m o d N ⟩ \frac{1}{\sqrt Q} \sum_{x=0}^{Q-1} |x\rangle|a^x\bmod N\rangle Q 1x=0∑Q−1∣x⟩∣axmodN⟩

这里确实同时包含许多 x x x 的计算结果，但测量并不能把所有结果一次性读取出来。量子算法必须继续利用相位和干涉，把周期信息转化为高概率可测量结果。

4.2 量子傅里叶变换提取周期信息

对第一寄存器应用量子傅里叶变换 QFT 后，周期结构会在频率域形成峰值。

测量通常得到某个整数 y y y，使得：

y Q ≈ s r \frac{y}{Q}\approx\frac{s}{r} Qy≈rs

其中 s s s 为某个整数， r r r 为需要寻找的周期。

经典后处理再使用连分数算法，从 y / Q y/Q y/Q 中恢复候选分数 s / r s/r s/r，并验证：

a r ≡ 1 ( m o d N ) a^r\equiv1\pmod N ar≡1(modN)

整个过程可以理解为：

text 复制代码

构造所有输入的叠加
        │
        ▼
量子电路计算 aˣ mod N
        │
        ▼
周期结构写入量子态相位
        │
        ▼
QFT 把周期转换成频率峰值
        │
        ▼
测量得到 y
        │
        ▼
连分数恢复周期 r

4.3 为什么不能把它理解成暴力枚举

暴力枚举的思路是：

尝试候选答案 → 逐个验证 \text{尝试候选答案}\rightarrow\text{逐个验证} 尝试候选答案→逐个验证

Shor 算法的思路则是：

构造周期函数 → 提取全局周期 → 恢复因子 \text{构造周期函数}\rightarrow \text{提取全局周期}\rightarrow \text{恢复因子} 构造周期函数→提取全局周期→恢复因子

它利用的是函数的全局代数结构，而不是更快地试遍所有私钥。也正因为如此，Shor 算法只适用于某些具有特定数学结构的问题，并不能自动破解所有密码算法。

本节小结：量子叠加只负责承载多个计算分支，真正的算法优势来自干涉和量子傅里叶变换对周期结构的提取。Shor 算法是结构化量子算法，不是"同时试完所有密码"。

五、Shor 算法怎样击穿 RSA

假设攻击者获得 RSA 公钥：

( N , e ) (N,e) (N,e)

攻击流程如下。

第一步：使用 Shor 算法分解 N N N

得到：

N = p q N=pq N=pq

第二步：计算欧拉函数

φ ( N ) = ( p − 1 ) ( q − 1 ) \varphi(N)=(p-1)(q-1) φ(N)=(p−1)(q−1)

第三步：恢复私钥指数

d = e − 1 m o d φ ( N ) d=e^{-1}\bmod\varphi(N) d=e−1modφ(N)

第四步：执行私钥操作

得到 d d d 后，攻击者可以执行与合法私钥持有者相同的运算，包括：

解密使用 RSA 公钥加密的秘密；
伪造 RSA 数字签名；
冒充证书主体；
破坏依赖 RSA 信任根的软件与固件验证。

因此，RSA 加密和 RSA 签名虽然用途不同，却共享同一个量子薄弱点：模数 N N N 可被分解。

增大 RSA 密钥能否修复

增大模数会增加量子电路规模、逻辑量子比特数量和运行深度，但不会改变 Shor 算法为多项式时间算法这一事实。

这意味着加长密钥可以延缓资源需求，却无法构造长期、可持续的量子安全路线。真正的解决方案必须换掉整数分解这一安全基础。

本节小结 ：Shor 算法一旦分解 RSA 模数，就能继续计算 φ ( N ) \varphi(N) φ(N) 和私钥指数 d d d。RSA 加密与签名会同时失守，单纯继续增加 RSA 密钥长度无法从根本上修复。

六、Shor 算法为什么也能攻击 ECC 与 SM2

6.1 椭圆曲线公钥关系

椭圆曲线密码的私钥为整数 d d d，公钥为：

Q = d P Q=dP Q=dP

其中 P P P 是公开基点。

攻击者的问题是：已知 P P P 和 Q Q Q，求解 d d d。这就是椭圆曲线离散对数问题 ECDLP。

6.2 不是整数分解，为什么仍然受影响

Shor 算法不仅能够解决整数分解，还能够解决有限阿贝尔群中的离散对数问题。

RSA 使用的是整数乘法结构；DH 使用有限域乘法群；ECC 与 SM2 使用椭圆曲线点群。虽然表面形式不同，但都存在可被量子算法提取的周期或隐藏子群结构。

因此，攻击目标从：

N = p q N=pq N=pq

变成：

Q = d P Q=dP Q=dP

最终仍然可以恢复秘密标量 d d d。

6.3 ECDH、ECDSA 与 SM2 的具体后果

如果攻击者恢复 ECDH 私钥，就可以计算密钥协商中的共享点，进而恢复会话秘密。

如果攻击者恢复 ECDSA、EdDSA 或 SM2 签名私钥，就可以生成合法格式的伪造签名。

对 SM2 而言，需要特别澄清：

SM2 使用国密推荐椭圆曲线和特定协议流程；
它不等于 ECDSA，也不等于 ECDH；
但其公钥困难性仍建立在椭圆曲线离散对数上；
因此在足够强的 Shor 攻击面前，SM2 同样属于量子脆弱公钥算法。

更换曲线参数或增加椭圆曲线密钥长度，只能增加量子攻击资源，无法消除离散对数存在量子多项式算法这一事实。

本节小结：Shor 算法的攻击范围不限于整数分解，它还能解决离散对数。ECDH、ECDSA、EdDSA、SM2 虽然协议不同，却共享椭圆曲线离散对数这一量子薄弱基础。

七、现实中的量子计算机已经能做到吗

7.1 逻辑量子比特与物理量子比特

量子硬件中的物理量子比特容易受到噪声、退相干和门错误影响。为了长时间可靠运行复杂算法，需要使用量子纠错，把大量物理量子比特组合成更稳定的逻辑量子比特。

真实攻击资源不能只看"量子比特总数"，还要关注：

可用逻辑量子比特数量；
双量子比特门错误率；
容错门实现成本；
电路深度；
量子纠错开销；
模指数电路优化；
设备能否连续稳定运行。

7.2 密码学相关量子计算机

能够运行小型 Shor 演示，不等于能够破解 RSA-2048。

小整数分解实验可能经过大量经典预处理和电路简化，不能直接外推到真实密码参数。真正具有安全意义的是能够运行大规模、容错 Shor 算法的密码学相关量子计算机。

截至 2026 年 8 月，公开量子设备尚不具备实用破解主流 RSA/ECC 的能力，而这种能力何时出现仍无法可靠预测。

7.3 为什么"不知道时间"反而要求提前行动

如果能够准确知道量子攻击会在 2045 年出现，组织可以倒排迁移计划。真正的问题是时间不确定，而密码迁移本身需要多年。

对于需要长期保密的数据，只要存在"今天捕获、未来解密"的可能，就不能把"当前还没有量子攻击设备"当作继续等待的充分理由。

因此，正确判断是：

不应宣传量子计算机今天已经破解 RSA；
也不应因为今天尚不能破解，就忽略长期迁移风险。

本节小结：当前量子硬件距离实用破解 RSA/ECC 仍有明显差距，但具体时间无法可靠预测。密码迁移周期和数据保密周期决定了防御必须领先于攻击能力出现。

八、关于 Shor 算法的常见误区

误区一：量子计算机会同时输出所有私钥

量子态可以包含多个分支，但测量只会得到有限结果。Shor 算法必须通过干涉和 QFT 提取周期，不能直接读取所有候选答案。

误区二：Shor 算法可以破解 AES

Shor 算法针对整数分解和离散对数，不适用于 AES 这类对称分组密码。AES 的通用量子分析主要讨论 Grover 算法。

误区三：ECC 密钥短，所以比 RSA 更容易被量子破解

ECC 在经典安全下以较短密钥获得较高安全强度；量子环境下，RSA 和 ECC 都存在多项式时间攻击。实际量子资源需求不同，但二者都不适合作为长期量子安全基础。

误区四：把 RSA-2048 升级到 RSA-8192 就完成抗量子改造

更长密钥只会提高攻击资源，不会消除 Shor 算法。真正的抗量子迁移需要替换算法家族。

误区五：SM2 是国产算法，所以不受 Shor 影响

算法来源不会改变数学安全基础。SM2 依赖椭圆曲线离散对数，因此同样处于 Shor 算法威胁范围。

误区六：只要量子计算机还没出现，就不需要关心

数据可以被提前窃取和长期保存，系统迁移也需要多年。是否立即采取行动，应由数据寿命和迁移周期决定，而不是只看今天能否破解。

本节小结：Shor 算法既不是万能量子破解工具，也不是遥远到可以忽略的理论玩具。它精确威胁整数分解和离散对数体系，并迫使公钥密码提前迁移。

九、总结

Shor 算法对传统公钥密码的威胁，可以浓缩成两条路径。

RSA 路径：

周期查找 ⟶ 分解 N ⟶ 恢复 φ ( N ) ⟶ 恢复私钥 d \text{周期查找} \longrightarrow \text{分解 }N \longrightarrow \text{恢复 }\varphi(N) \longrightarrow \text{恢复私钥 }d 周期查找⟶分解 N⟶恢复 φ(N)⟶恢复私钥 d

ECC 与 SM2 路径：

Q = d P ⟶ 量子离散对数 ⟶ 恢复私钥 d Q=dP \longrightarrow \text{量子离散对数} \longrightarrow \text{恢复私钥 }d Q=dP⟶量子离散对数⟶恢复私钥 d

本文的核心结论如下：

Shor 算法不是暴力枚举，而是结构化周期查找算法；
整数分解可以被规约为模指数函数的阶查找；
找到偶数阶后，可以使用平方差与最大公因数恢复因子；
RSA、DH、ECC、SM2 分别依赖整数分解或离散对数，因此都受 Shor 威胁；
加长传统公钥密钥只能增加量子攻击资源，无法恢复长期安全基础；
当前量子硬件尚不能实用破解主流参数，但迁移不能等到攻击设备出现后才开始。

本节小结：Shor 算法不是简单加速计算机，而是直接攻破整数分解、离散对数，RSA、ECC、SM2 底层安全假设被理论击穿。

免责声明

本文所有内容仅用于密码学科普、学术研究与安全技术学习交流，文中涉及的密码算法原理、攻击逻辑仅作理论剖析。

本文所阐述的后量子密码、Shor算法相关理论知识，仅限授权合规的安全研究、教学场景使用，严禁将文中理论知识直接或间接用于针对任何未授权系统、设备、业务的破解、入侵、窃密等非法行为，未经许可的密码破解行为违反网络安全相关法律法规，需要承担相应法律责任。
文中观点为技术科普视角，不构成任何商业产品选型、生产环境密码改造的直接落地建议。实际工程密码迁移、国密改造、后量子密码部署，请结合自身业务数据生命周期、合规要求，参考NIST后量子密码标准、国家密码管理局相关规范，经过完整安全评估后实施。
文中对RSA、ECC、SM2等算法的安全性分析仅针对量子计算理论层面的安全假设，不代表现实条件下现有国密、RSA/ECC体系已经失效；在容错量子计算机达到密码攻击级能力之前，现有合规密码体系依旧可以正常承担业务安全能力。
本文不保证全部内容可直接用于工业级实现，若引用本文内容用于论文、博客、技术文档二次发布，请注明原文出处。