OPRF (RFC 9497) 详解：遗忘伪随机函数

在现代隐私保护协议中，我们经常遇到这样一个需求：客户端拥有一个输入 $x$，服务器拥有一个密钥 $k$，双方希望计算 $y F(k, x)$，但有两个严格的隐私限制： 1. 服务器不能知道客户端的输入 $x$，也不能知道计算结果 $y$。 2. 客户端不能知道服务器的密钥 $k$。