> ## Documentation Index
> Fetch the complete documentation index at: https://docs.intention.xyz/llms.txt
> Use this file to discover all available pages before exploring further.

# 信任假设

> 所有能查的都查完之后，还剩下什么要信任——验证者集合、价格法定人数、治理、跨链桥，以及软件本身。

每一家交易场所都声称自己去掉了信任，几乎没有一家说清楚留下了什么。这让那个声称无法被证伪，而无法被证伪等于一文不值。这一页就是那份清单。

它写成的是**上界**，不是缓解措施。缓解措施回答的是*你为此做了什么*；上界回答的是*最坏能坏到哪*，而只有后者是读者能自己核对的。哪一处目前还没有上界，条目里就直说。

<div className="dg" data-dg="trust-surfaces">
  <div className="dg-c" style={{aspectRatio:"720 / 434"}}>
    <svg className="dg-w" viewBox="0 0 720 434" aria-hidden="true" />

    <div className="dg-b dg--blue dg-left" style={{left:"0.0000%",top:"6.9124%",width:"59.7222%",height:"14.2857%"}}><span className="dg-t">共识</span><span className="dg-s">拜占庭权益始终低于三分之一</span></div>
    <div className="dg-b dg-plain dg-left" style={{left:"63.6111%",top:"6.9124%",width:"36.3889%",height:"14.2857%"}}><span className="dg-s">在阈值之内，没有哪个少数能扣住批次或提交第二份定序。越过它，安全性论证就停了。</span></div>
    <div className="dg-b dg--sky dg-left" style={{left:"0.0000%",top:"23.5023%",width:"59.7222%",height:"14.2857%"}}><span className="dg-t">价格</span><span className="dg-s">法定人数认证的是观测本身，不是它的准确</span></div>
    <div className="dg-b dg-plain dg-left" style={{left:"63.6111%",top:"23.5023%",width:"36.3889%",height:"14.2857%"}}><span className="dg-s">钳制与场所多样性为单一来源能推动的幅度封顶。两者都造不出市场本来没有的信息。</span></div>
    <div className="dg-b dg--yellow dg-left" style={{left:"0.0000%",top:"40.0922%",width:"59.7222%",height:"14.2857%"}}><span className="dg-t">治理</span><span className="dg-s">在纪元边界上的重配置</span></div>
    <div className="dg-b dg-plain dg-left" style={{left:"63.6111%",top:"40.0922%",width:"36.3889%",height:"14.2857%"}}><span className="dg-s">范围限于验证者集合、共识与风险参数，以及紧急操作。这份权限归谁，尚未公开。</span></div>
    <div className="dg-b dg--orange dg-left" style={{left:"0.0000%",top:"56.6820%",width:"59.7222%",height:"14.2857%"}}><span className="dg-t">跨链桥</span><span className="dg-s">托管合约，加一条验证者背书的消息通道</span></div>
    <div className="dg-b dg-plain dg-left" style={{left:"63.6111%",top:"56.6820%",width:"36.3889%",height:"14.2857%"}}><span className="dg-s">提现限速为爆炸半径封顶。深于确认深度的源链重组和签名密钥泄露不在其内。</span></div>
    <div className="dg-b dg-left" style={{left:"0.0000%",top:"73.2719%",width:"59.7222%",height:"14.2857%"}}><span className="dg-t">软件</span><span className="dg-s">范围内只有一项第三方审计，其余靠内部控制</span></div>
    <div className="dg-b dg-plain dg-left" style={{left:"63.6111%",top:"73.2719%",width:"36.3889%",height:"14.2857%"}}><span className="dg-s">重放证明的是各节点彼此一致，不是规范被独立实现了两遍并且一致。</span></div>
    <div className="dg-free" style={{left:"0.0000%",top:"0.0000%",width:"59.7222%"}}><div className="dg-n">你仍然需要假设的</div></div>
    <div className="dg-free" style={{left:"63.6111%",top:"0.0000%",width:"36.3889%"}}><div className="dg-n">什么为它封顶</div></div>
    <div className="dg-free" style={{left:"0.0000%",top:"90.3226%",width:"100.0000%"}}><div className="dg-n">验证为「必须假设的东西」封顶，但它清不空这张表——没有任何协议清得空。</div></div>
  </div>
</div>

<h2 id="consensus">
  共识
</h2>

**需要假设的是：** 拜占庭权益始终低于总量的三分之一。

[IntentionBFT](/zh/protocol/architecture/intention-bft)容忍一个控制至多三分之一权益的敌手。因此诚实权益始终超过三分之二，而任何事情的法定人数，都是一组合计权益超过三分之二的验证者。在这个阈值之内，安全性无条件成立；活性在网络稳定之后成立。

**这个上界买到了什么。** 是两件具体的事，不是一种泛泛的安全感。交易批次必须先证明三分之二权益加权的可得性，提案才能引用它，所以一个区块永远不可能依赖只有拜占庭少数握着的数据。而定序是共识提交的对象、被区块哈希覆盖，所以没有哪个诚实验证者会在同一轮里签过同一批交易的第二种定序。

**它没有买到什么。** 越过阈值，这套论证不会优雅降级——它直接停止。而在阈值之内，还有一个面是敞开的：一个 leader 会选择把哪些可得的批次放进自己的提案、以及怎么排列它们。共识那一页把这一点明写为残余面，靠 leader 声誉、以及「没有有效价格观测就根本产不出区块」这一点来缓解。更强的公平定序构造被列为候选升级，而不是已经交付的东西。

<h2 id="price">
  价格
</h2>

**需要假设的是：** 法定人数认证的是「这些观测是在这一轮提交的」。它不认证这些观测是对的。

全部要害就在这个区分上。[预言机](/zh/protocol/architecture/oracle)那一页把保证写得很准：一笔交易结算所依据的价格，由一个验证者法定人数在提交这笔交易的那一轮认证过，而且任何执行路径都不可能读到另一个价格。把价格绑定到交易，这是一条真实的性质；它和「价格是对的」不是同一条性质。

**什么为它封顶。** 聚合规则钳制了任何单一来源能把结果推动多远，而场所多样性要求意味着一个品种的观测取自不止一个独立来源。标记价在指数价之上做了平滑与限幅，所以一次短暂的错位不会径直级联成强平。

**它封不住什么。** 底层若干场所之间的协同异动，或者全市场性的错位。加权和钳制造不出市场本来就没有的信息。价格是这套交易系统影响最大的外部输入，抗操纵在这里是程度问题，不是有无问题。

<h2 id="governance">
  治理
</h2>

**需要假设的是：** 存在一个重配置权限，而且在纪元边界上它可以改动你正在依赖的东西。

在一个纪元之内，验证者集合和大多数参数是恒定的。在纪元边界上，一次由治理授权的重配置可以改变验证者集合、共识参数、风险参数，也可以采取紧急措施。这些转换是原子的——每个诚实验证者都在同一个区块高度看到同一次转换——但原子性描述的是变更*如何*落地，不是对*可以变什么*的限制。

触及范围是实打实的，值得直说。市场上架、费率配置、杠杆档位和风险参数，全都是由治理授权的系统配置指令；而决定你强平价的那些保证金档位，是在治理设定的边界内移动的。

<Warning>
  这份权限归谁、经由什么流程、有没有通知期，本站尚未公开。在公开之前，这是本页最大的**无上界**的面，应当照这个样子读，而不是把「没写」读成「没有」。
</Warning>

<h2 id="bridge">
  跨链桥
</h2>

**需要假设的是：** 外部链上的托管合约，以及它们与这条链之间那条由验证者背书的消息通道，两者都成立。

抵押品经由[跨链桥](/zh/protocol/architecture/bridge)进入。源链上的合约持有托管资产；这些合约或那条背书通道被成功利用，结果就是跨链抵押品的损失。这在结构上是整个系统里最暴露的组件，因为它是唯一一个安全性取决于协议自身并不执行的软件的组件。

**什么为它封顶。** 提现有限速，这为一次**被发现的**利用封住了爆炸半径，对没被发现的则不然。跨链桥是内部审查优先级最高的领域，也在[漏洞赏金](/zh/protocol/security/bug-bounty)范围内。

**限速封不住什么。** 深于所配置确认深度的源链重组、验证者签名密钥泄露，以及背书逻辑自身的缺陷。

<h2 id="software">
  软件
</h2>

**需要假设的是：** 规范被正确实现了，而且规范本身是对的。

[验证](/zh/developers/verify)能确立的是：你被喂到的状态，是按已公布的规则、在已提交的输入上产出的。它确立不了这些规则本身没有缺陷——把一个 bug 精确复现出来，复现出来的仍然是那个 bug。这正是[审计](/zh/protocol/security/audits)和[漏洞赏金](/zh/protocol/security/bug-bounty)存在的理由；审计那一页也明说了，目前范围内只有一项第三方审计，而内核、共识和清算所靠的是内部控制而非外部审查。

有一个推论值得点名，因为它很容易被说过头。逐字节确定性只有在存在不止一个实现时，才成为一种**交叉校验**。在第二个独立客户端投入生产之前，重放一个区块确认的是各节点彼此一致——不是规范被独立实现了两遍、并且两遍一致。

<h2 id="where-this-leaves-you">
  这把你放在什么位置
</h2>

诚实的总结不是「信任被去掉了」。而是：信任被从那些你只能听人一面之词的地方——运营方给出的保证金数字、风险委员会的出手时机、在系统旁边拼装出来的报告——挪到了那些至少能被点名、被封顶、被盯住的地方。

上面这份清单就是剩下的部分。它会随着客户端多样化、审计完成、治理被写进文档而缩短；它不会归零。一个告诉你它已经归零的场所，说的是关于它自己文档的事，不是关于它架构的事。

<h2 id="where-to-go-next">
  后续阅读
</h2>

<CardGroup cols={2}>
  <Card title="自己验一遍" href="/zh/developers/verify">
    能让这份清单变短的那五项检查。
  </Card>

  <Card title="IntentionBFT" href="/zh/protocol/architecture/intention-bft">
    容错阈值、法定人数，以及一个 leader 仍然能选择什么。
  </Card>

  <Card title="预言机" href="/zh/protocol/architecture/oracle">
    认证到底保证了什么，说得很准的那一页。
  </Card>

  <Card title="风险" href="/zh/protocol/security/risks">
    同一片地，从交易者而不是架构师的角度看。
  </Card>
</CardGroup>