比特币签名机制革新：SIGHASH_ANYPREVOUT的原理与影响

本系列第三篇聚焦于比特币核心签名机制的演进，重点分析BIP 118提出的SIGHASH_ANYPREVOUT提案。该机制基于2015年闪电网络白皮书提出的基础概念，并于2016年由Joseph Poon正式提交至bitcoin-dev邮件列表，是推动比特币可编程性发展的关键一步。

签名承诺的重构：摆脱输出点绑定

SIGHASH_ANYPREVOUT并非新增操作码，而是一种用于软分叉升级的新型签名标志。它允许签名者不承诺具体的前一笔输出点（outpoint），从而实现对多个兼容UTXO的通用签名。这一设计仅适用于Taproot地址支出，依赖于软分叉带来的可升级架构。标准的SIGHASH_ALL模式要求签名覆盖所有输入、输出及特定出块点，确保唯一性；而ANYPREVOUT则移除了对输出点的强制约束，显著提升签名复用能力。

双变体设计：从部分到完全解绑

BIP-118定义了两种具体变体：SIGHASH_ANYPREVOUT保留对前一笔输出金额与锁定脚本的承诺，仅排除输出点信息；而SIGHASH_ANYPREVOUTANYSCRIPT则进一步剥离金额与脚本内容，使签名完全不受所花费输出结构的影响。前者适用于需保持脚本一致性场景，后者则更适配高度灵活的链上交互逻辑。

可重复使用的签名：重新绑定与实际应用

由于签名不再绑定单一输出点，同一预签名可用于多个满足条件的UTXO。例如，一个0.5 BTC的预签名可在后续收到相同金额的另一笔资金时直接复用，即便原始私钥已丢失。若新接收资金超过原值且未包含找零输出，则超额部分将归矿工所有。此特性极大简化了多路径支付流程，尤其适合需要预先生成交易模板的二层协议。对于Covenants类应用，保留脚本承诺的变体更具价值，而完全解绑的版本则难以保证资金流向可控性。

潜在威胁：签名重放攻击的风险评估

最突出的风险在于签名重放——同一签名可能被用于消耗非预期的其他兼容UTXO，只要其金额、脚本和序列号等字段匹配。当使用SIGHASH_ANYPREVOUT | SINGLE组合且输出可调整时，或存在同质化输出、公钥复用等情况，该风险加剧。此类问题通常源于设计疏漏或用户误用，而非协议缺陷。尽管理论上可通过消息构造实现密钥恢复机制，但该设想仍属研究范畴，尚未纳入正式提案。