BB84：窃听必留痕

两个人想共享一串只有他们知道的密钥。传统办法靠数学难题，量子办法靠一条更硬的规则：在理想单光子、无侧信道的模型里，偷看必然扰动量子态，在筛后密钥里留下误码；设备漏洞（探测器致盲、效率失配）是另一类风险，需要单独防护。

两种基，四种态

Alice 每一位随机选一个比特（0 或 1）和一个基（+ 或 ×），编码成四种偏振态之一。Bob 收到后也随机选基测量：基相同，结果必然等于 Alice 的比特；基不同，结果与比特无关。两人公开比对用了哪个基——只说基，不说比特——保留相同基的位。这一步叫筛后，大约剩一半。

Eve 若截获、测量、重发，她不知道 Alice 的基，只能猜。猜错的概率是一半；猜错之后，她发出的态与 Alice 的原态不同，Bob 即使基选对了，结果也有一半概率是错的。对筛后保留的位，误码率就是：

Alice 与 Bob 抽一部分密钥公开比对。误码率明显高于约 11%，整批丢弃——这个阈值来自安全性证明里的容错上界，不是拍脑袋的经验值。

先关着 Eve 跑几批，误码率应为 0；再打开 Eve 多跑几批，累计误码率会升到 25% 上下，越过 11% 的判决线，判决行变红。单批只有 8 轮、筛后约 4 位，样本太少时判决行会停在「先别下结论」——这正是真实 QKD 要累计足够多位才敢判断的原因。

QKD 与 PQC 是两件事

量子密钥分发常被说成「用量子计算机保护通信」，这是两回事。它不靠计算难度，靠的是测量会扰动状态、未知量子态不可克隆。对手就算有无限算力，偷看也会留下误码。

后量子密码走的是另一条路：仍然是经典算法，只是把难题换成量子计算机也不擅长的，比如格上的问题。NIST 已经发布相关标准。一个管分发密钥，一个管公钥算法，经常被媒体混成一句话。

现实限制也要说清：光纤损耗让距离上不去，量子中继还不成熟；长链路要靠可信节点中继，而可信节点本身是一个信任假设；设备还可能被侧信道攻击。QKD 不是「无条件安全」的魔法。