- 主信息：难题崩塌 / 指数打折 / 构造崩溃——三类的公式与数值不可混谈
- 表格行（每行 = 核心恒等式 + 数值演算 + 一行证明思路）：
- Shor 行（红·难题崩塌）：核心恒等式 $a^r - 1 = (a^{r/2} - 1)(a^{r/2} + 1) \equiv 0 \pmod{N}$ + 两条检查（$r$ 偶、$a^{r/2} \not\equiv -1$）+ 两次 gcd；演算 $N=15$、$a=7$：$7^2 = 49 \equiv 4$、$7^4 \equiv 1$ → $r=4$，$a^{r/2} = 4 \not\equiv -1 \equiv 14$ → $\gcd(3,15) = 3$、$\gcd(5,15) = 5$；离散对数同理：$f(a,b) = g^{a+bx}$、$H = \langle(-x,1)\rangle$、采样方程 $-ux + v \equiv 0 \pmod{q}$ → $x \equiv v \cdot u^{-1}$；量级 $\mathrm{poly}(\log N)$ vs 数域筛 $\exp(O((\log N)^{1/3}(\log\log N)^{2/3}))$——对策：换难题。证明思路一行：平方差拆开后 $N$ 整除乘积却不整除任一因子 → $p$、$q$ 分居两侧
- Grover/BHT 行（黄·指数打折）：穷搜迭代 $(\pi/4) \cdot 2^{\kappa/2}$（$\pi/4$ 来自旋转角 $\theta \approx 2^{-\kappa/2}$ 的 $(\pi/2)/(2\theta)$）；演算 $\kappa = 128$ → $(\pi/4) \cdot 2^{64} \approx 1.4 \times 10^{19}$；并行 $P = 2^{20}$ 台 → 挂钟只缩 $1/\sqrt{P} = 2^{-10}$、总代价反涨 $\sqrt{P} = 2^{10}$；hash 原像 $2^n$→$2^{n/2}$；碰撞 BHT：$T(r) = r + \sqrt{2^n/r}$，令两项同阶 → $r^3 = 2^n$ → $r = 2^{n/3}$（表的存储与 QRAM 计费是保留条款）——对策：加大参数。证明思路一行：两项一升一降，最优在两项同阶处
- Simon 行（蓝·构造崩溃）：Even–Mansour $E(x) = P(x \oplus k_1) \oplus k_2$；构造 $F(x) = P(x) \oplus E(x)$，代入定义三行可验 $F(x \oplus k_1) = F(x)$；每次 Simon 采样给一个线性方程 $y \cdot k_1 = 0$，$O(n)$ 次 + 高斯消元得 $k_1$；$k_2 = E(x) \oplus P(x \oplus k_1)$（一个明密文对即得）；同族：3 轮 Feistel、CBC-MAC——对策：重新设计抗 Q2 构造。证明思路一行：两层 XOR 掩码 $k_1$ 在 $P(x \oplus k_1) \oplus P(x)$ 中相消
- 边界行：isogeny（次指数、仅特定参数区间）；lattice（区间或已被经典 LLL 覆盖，量子筛法只改常数或指数）；multivariate（Macaulay+HHL 要过 sparsity、条件数、overlap、读出、维数膨胀五道关）——"论文标题里的问题名 $\ne$ 密码系统实际依赖的问题实例"
类型seminar-table（三行对照大表：类别/核心恒等式/量级/对策，每行附一行证明思路）