承诺 $f(x)=f(y)\iff y=x\oplus s$（$s\ne 0$）把 $2^n$ 个输入折叠成 $2^{n-1}$ 对 $\{x,x\oplus s\}$：取 $n=2$、$s=11$，全部输入对为 $\{00,11\}$ 与 $\{01,10\}$，共 2 对。一次碰撞即泄露答案：当 $x\ne y$ 且 $f(x)=f(y)$ 时，承诺的"仅当"方向直接给出 $s=x\oplus y$。经典算法因此必须撞出碰撞，而生日悖论标定了它的难度：固定 $x$，随机 $y\ne x$ 与之碰撞的概率为 $1/(2^n-1)$；$k$ 次查询含约 $k^2/2$ 个输入对，碰撞概率 $\approx k^2/2^n$。数值演算 $n=10$：$k=8$ 时 $64/1024=1/16\approx 6\%$；$k=32=\sqrt{2^{10}}=2^5$ 时概率升为常数。故经典需 $\Theta(2^{n/2})=\Theta(\sqrt{2^n})$ 次查询，与量子 $O(n)$ 的差距由本课逐步兑现。