在零知识证明的众多方案中，Groth16 以其极致的验证效率成为行业事实标准。它由密码学家 Jens Groth 在 2016 年提出，其验证流程只需要三次椭圆曲线配对运算，与证明的规模完全无关，这使得它在移动端与高频场景中具有不可替代的优势。
Groth16 的构造基于二次算术程序（QAP）。开发者先把业务规则编译为算术电路，再把电路约束转化为多项式方程，证明者需要找到一组满足全部约束的赋值，并据此构造三个群元素作为证明。验证者只需做少量配对与指数运算即可完成校验。
极致的效率来自精心的结构设计。证明被压缩为三个群元素，验证等式被整理为三个配对的组合；配对运算的输入大多可以预计算，进一步削减了验证方的在线计算量。在 BLS12-381 曲线上，一次 Groth16 验证在普通服务器上仅需数毫秒。
Groth16 的另一大优势是证明尺寸恒定。无论电路包含十万个约束还是百万个约束，证明始终是固定大小的三个群元素，链上存储与传输成本可控。这一特性让 Groth16 成为众多数字资产协议的首选：验证成本可预测，网络负载可规划。
代价在于 Groth16 依赖可信设置（Trusted Setup）。系统上线前需要多方共同参与生成公共参考串，任何一方若销毁秘密参数，都可能影响系统的可靠性。为此，行业提出了仪式化的多方计算流程：只要有一位参与者诚实销毁自己的秘密，整个参考串就是安全的。
PLONK 等新一代方案尝试用通用参考串替代特定电路的设置流程，但 Groth16 的验证效率在多数场景下仍然领先。工程实践中，开发者往往根据约束规模、部署频次与信任假设综合选型：追求极致验证速度时选 Groth16，追求部署灵活时选 PLONK。两种方案共同构成了现代零知识栈的基石。