> ## Documentation Index
> Fetch the complete documentation index at: https://docs.intention.xyz/llms.txt
> Use this file to discover all available pages before exploring further.

# 信任假設

> 所有能查的都查完之後，還剩下什麼要信任——驗證者集合、價格法定人數、治理、跨鏈橋，以及軟體本身。

每一家交易場所都聲稱自己去掉了信任，幾乎沒有一家說清楚留下了什麼。這讓那個聲稱無法被證偽，而無法被證偽等於一文不值。這一頁就是那份清單。

它寫成的是**上界**，不是緩解措施。緩解措施回答的是**你為此做了什麼**；上界回答的是**最壞能壞到哪**，而只有後者是讀者能自己核對的。哪一處目前還沒有上界，條目裡就直說。

<div className="dg" data-dg="trust-surfaces">
  <div className="dg-c" style={{aspectRatio:"720 / 434"}}>
    <svg className="dg-w" viewBox="0 0 720 434" aria-hidden="true" />

    <div className="dg-b dg--blue dg-left" style={{left:"0.0000%",top:"6.9124%",width:"59.7222%",height:"14.2857%"}}><span className="dg-t">共識</span><span className="dg-s">拜占庭權益始終低於三分之一</span></div>
    <div className="dg-b dg-plain dg-left" style={{left:"63.6111%",top:"6.9124%",width:"36.3889%",height:"14.2857%"}}><span className="dg-s">在門檻之內，沒有哪個少數能扣住批次或提交第二份定序。越過它，安全性論證就停了。</span></div>
    <div className="dg-b dg--sky dg-left" style={{left:"0.0000%",top:"23.5023%",width:"59.7222%",height:"14.2857%"}}><span className="dg-t">價格</span><span className="dg-s">法定人數認證的是觀測本身，不是它的準確</span></div>
    <div className="dg-b dg-plain dg-left" style={{left:"63.6111%",top:"23.5023%",width:"36.3889%",height:"14.2857%"}}><span className="dg-s">箝制與場所多樣性為單一來源能推動的幅度封頂。兩者都造不出市場本來沒有的資訊。</span></div>
    <div className="dg-b dg--yellow dg-left" style={{left:"0.0000%",top:"40.0922%",width:"59.7222%",height:"14.2857%"}}><span className="dg-t">治理</span><span className="dg-s">在紀元邊界上的重新配置</span></div>
    <div className="dg-b dg-plain dg-left" style={{left:"63.6111%",top:"40.0922%",width:"36.3889%",height:"14.2857%"}}><span className="dg-s">範圍限於驗證者集合、共識與風險參數，以及緊急操作。這份權限歸誰，尚未公開。</span></div>
    <div className="dg-b dg--orange dg-left" style={{left:"0.0000%",top:"56.6820%",width:"59.7222%",height:"14.2857%"}}><span className="dg-t">跨鏈橋</span><span className="dg-s">託管合約，加一條驗證者背書的訊息通道</span></div>
    <div className="dg-b dg-plain dg-left" style={{left:"63.6111%",top:"56.6820%",width:"36.3889%",height:"14.2857%"}}><span className="dg-s">提領限速為爆炸半徑封頂。深於確認深度的來源鏈重組和簽章金鑰外洩不在其內。</span></div>
    <div className="dg-b dg-left" style={{left:"0.0000%",top:"73.2719%",width:"59.7222%",height:"14.2857%"}}><span className="dg-t">軟體</span><span className="dg-s">範圍內只有一項第三方稽核，其餘靠內部控制</span></div>
    <div className="dg-b dg-plain dg-left" style={{left:"63.6111%",top:"73.2719%",width:"36.3889%",height:"14.2857%"}}><span className="dg-s">重放證明的是各節點彼此一致，不是規格被獨立實作了兩遍並且一致。</span></div>
    <div className="dg-free" style={{left:"0.0000%",top:"0.0000%",width:"59.7222%"}}><div className="dg-n">你仍然需要假設的</div></div>
    <div className="dg-free" style={{left:"63.6111%",top:"0.0000%",width:"36.3889%"}}><div className="dg-n">什麼為它封頂</div></div>
    <div className="dg-free" style={{left:"0.0000%",top:"90.3226%",width:"100.0000%"}}><div className="dg-n">驗證為「必須假設的東西」封頂，但它清不空這張表——沒有任何協議清得空。</div></div>
  </div>
</div>

<h2 id="consensus">
  共識
</h2>

**需要假設的是：** 拜占庭權益始終低於總量的三分之一。

[IntentionBFT](/zh-Hant/protocol/architecture/intention-bft)容忍一個控制至多三分之一權益的敵手。因此誠實權益始終超過三分之二，而任何事情的法定人數，都是一組合計權益超過三分之二的驗證者。在這個門檻之內，安全性無條件成立；活性在網路穩定之後成立。

**這個上界買到了什麼。** 是兩件具體的事，不是一種泛泛的安全感。交易批次必須先證明三分之二權益加權的可得性，提案才能引用它，所以一個區塊永遠不可能依賴只有拜占庭少數握著的資料。而定序是共識提交的物件、被區塊雜湊覆蓋，所以沒有哪個誠實驗證者會在同一輪裡簽過同一批交易的第二種定序。

**它沒有買到什麼。** 越過門檻，這套論證不會優雅降級——它直接停止。而在門檻之內，還有一個面是敞開的：一個 leader 會選擇把哪些可得的批次放進自己的提案、以及怎麼排列它們。共識那一頁把這一點明寫為殘餘面，靠 leader 聲譽、以及「沒有有效價格觀測就根本產不出區塊」這一點來緩解。更強的公平定序構造被列為候選升級，而不是已經交付的東西。

<h2 id="price">
  價格
</h2>

**需要假設的是：** 法定人數認證的是「這些觀測是在這一輪提交的」。它不認證這些觀測是對的。

全部要害就在這個區分上。[預言機](/zh-Hant/protocol/architecture/oracle)那一頁把保證寫得很準：一筆交易結算所依據的價格，由一個驗證者法定人數在提交這筆交易的那一輪認證過，而且任何執行路徑都不可能讀到另一個價格。把價格綁定到交易，這是一條真實的性質；它和「價格是對的」不是同一條性質。

**什麼為它封頂。** 聚合規則箝制了任何單一來源能把結果推動多遠，而場所多樣性要求意味著一個商品的觀測取自不止一個獨立來源。標記價在指數價之上做了平滑與限幅，所以一次短暫的錯位不會逕直級聯成強平。

**它封不住什麼。** 底層若干場所之間的協同異動，或者全市場性的錯位。加權和箝制造不出市場本來就沒有的資訊。價格是這套交易系統影響最大的外部輸入，抗操縱在這裡是程度問題，不是有無問題。

<h2 id="governance">
  治理
</h2>

**需要假設的是：** 存在一個重新配置權限，而且在紀元邊界上它可以改動你正在依賴的東西。

在一個紀元之內，驗證者集合和大多數參數是恆定的。在紀元邊界上，一次由治理授權的重新配置可以改變驗證者集合、共識參數、風險參數，也可以採取緊急措施。這些轉換是原子的——每個誠實驗證者都在同一個區塊高度看到同一次轉換——但原子性描述的是變更**如何**落地，不是對**可以變什麼**的限制。

觸及範圍是實打實的，值得直說。市場上架、費率配置、槓桿級距和風險參數，全都是由治理授權的系統配置指令；而決定你強平價的那些保證金級距，是在治理設定的邊界內移動的。

<Warning>
  這份權限歸誰、經由什麼流程、有沒有通知期，本站尚未公開。在公開之前，這是本頁最大的**無上界**的面，應當照這個樣子讀，而不是把「沒寫」讀成「沒有」。
</Warning>

<h2 id="bridge">
  跨鏈橋
</h2>

**需要假設的是：** 外部鏈上的託管合約，以及它們與這條鏈之間那條由驗證者背書的訊息通道，兩者都成立。

擔保品經由[跨鏈橋](/zh-Hant/protocol/architecture/bridge)進入。來源鏈上的合約持有託管資產；這些合約或那條背書通道被成功利用，結果就是跨鏈擔保品的損失。這在結構上是整個系統裡最暴露的元件，因為它是唯一一個安全性取決於協議自身並不執行的軟體的元件。

**什麼為它封頂。** 提領有限速，這為一次**被發現的**利用封住了爆炸半徑，對沒被發現的則不然。跨鏈橋是內部審查優先級最高的領域，也在[漏洞獎金](/zh-Hant/protocol/security/bug-bounty)範圍內。

**限速封不住什麼。** 深於所配置確認深度的來源鏈重組、驗證者簽章金鑰外洩，以及背書邏輯自身的缺陷。

<h2 id="software">
  軟體
</h2>

**需要假設的是：** 規格被正確實作了，而且規格本身是對的。

[驗證](/zh-Hant/developers/verify)能確立的是：你被餵到的狀態，是按已公布的規則、在已提交的輸入上產出的。它確立不了這些規則本身沒有缺陷——把一個 bug 精確重現出來，重現出來的仍然是那個 bug。這正是[稽核](/zh-Hant/protocol/security/audits)和[漏洞獎金](/zh-Hant/protocol/security/bug-bounty)存在的理由；稽核那一頁也明說了，目前範圍內只有一項第三方稽核，而內核、共識和清算所靠的是內部控制而非外部審查。

有一個推論值得點名，因為它很容易被說過頭。逐位元組確定性只有在存在不止一個實作時，才成為一種**交叉校驗**。在第二個獨立客戶端投入生產之前，重放一個區塊確認的是各節點彼此一致——不是規格被獨立實作了兩遍、並且兩遍一致。

<h2 id="where-this-leaves-you">
  這把你放在什麼位置
</h2>

誠實的總結不是「信任被去掉了」。而是：信任被從那些你只能聽人一面之詞的地方——營運方給出的保證金數字、風險委員會的出手時機、在系統旁邊拼裝出來的報告——挪到了那些至少能被點名、被封頂、被盯住的地方。

上面這份清單就是剩下的部分。它會隨著客戶端多樣化、稽核完成、治理被寫進文件而縮短；它不會歸零。一個告訴你它已經歸零的場所，說的是關於它自己文件的事，不是關於它架構的事。

<h2 id="where-to-go-next">
  後續閱讀
</h2>

<CardGroup cols={2}>
  <Card title="自己驗一遍" href="/zh-Hant/developers/verify">
    能讓這份清單變短的那五項檢查。
  </Card>

  <Card title="IntentionBFT" href="/zh-Hant/protocol/architecture/intention-bft">
    容錯門檻、法定人數，以及一個 leader 仍然能選擇什麼。
  </Card>

  <Card title="預言機" href="/zh-Hant/protocol/architecture/oracle">
    認證到底保證了什麼，說得很準的那一頁。
  </Card>

  <Card title="風險" href="/zh-Hant/protocol/security/risks">
    同一片地，從交易者而不是架構師的角度看。
  </Card>
</CardGroup>