定义 $f(a,b) = g^a h^b \bmod p$，代入 $h = g^x$ 得 $f(a,b) = g^{a+xb \bmod n}$——$f$ 的取值只依赖线性组合 $a+xb$，不关心 $a$、$b$ 各自是多少。于是 $f(a,b) = g^r \iff a+xb \equiv r \pmod{n}$，等值集为 $\{(r-xb \bmod n, b) : b \in \mathbb{Z}_n\}$，每个 $r$ 恰好对应 $n$ 个点；演算 $n = 12$、$x = 7$ 时取 $(a,b) = (3,5)$，得 $r = 3+7\times 5 = 38 \equiv 2 \pmod{12}$，即 $f(3,5) = g^2$。满足 $a+xb \equiv 0 \pmod{n}$ 的点集 $\Lambda$ 对加法封闭，是 $\mathbb{Z}_n\times\mathbb{Z}_n$ 的二维子群——一个斜铺的格；等值集恰为陪集 $\Lambda+(r,0)$。$f$ 在每个陪集上取常值、不同陪集取不同值，而 $\Lambda$ 的定义方程系数正是 $x$，故求 $\Lambda$ 等价于求 $x$：DLP 就此归约为二维隐藏子群问题，QFT 采样是其标准解法。