Chương 13 — Mô hình hóa danh tính và quan hệ của các bên liên quan

第十三章　利益相关者身份与关系建模

共同创造首先发生在人与组织之间。技术系统可以记录一次提交、一次签名或一次转移，但在据此确认贡献之前，仍然需要回答：行动涉及谁，行动者以什么身份参与，代表自己还是代表他人，以及这次行动处于怎样的协作关系之中。如果这些问题没有得到处理，完整的记录也可能把贡献归给错误的主体，把组织行为归给经办人，或者把一个账户拥有的操作能力误认为其背后的制度权利。

上一章讨论现实事实怎样形成能够核验的输入。本章进一步讨论这些事实怎样与参与者及其关系对应。身份建模为记录提供明确的主体指向，关系建模则说明主体之间在特定事项、期间和规则下怎样连接。二者共同为承诺、贡献确认、资本形成和责任追溯提供基础。

本书主张，利益相关者身份应当围绕共同创造中的具体关系建立。模型既要保持主体的连续性，也要容纳角色和授权的变化；既要能够发现冒用与重复主张，也要允许合理的多重身份和隐私保护。它的目标，是让参与者能够被准确地承认，让行动能够被适当地归属。

一、自然人、组织与代理关系

主体是制度安排中被识别、承接行动和权利义务的对象。在利益相关者资本治理中，自然人与组织是两类基础主体。自然人可以投入劳动、知识和其他资源，也可以代表组织工作；组织可以安排协作、承担承诺并持续管理共同形成的能力。模型需要表达这两类主体的联系，同时保留各自的边界。

数字标识承担的是指向功能。姓名、组织名称、内部编号和链上地址都可以帮助识别对象，但其含义不同。名称可能重复或发生变化，地址可能由多人共同控制，也可能在不同期间由不同人员操作。把一个地址直接设置为现实主体的全部身份，会使控制方式的变化被错误地理解为主体本身的变化。

在技术标准中，这种区分也有明确表达。W3C 的去中心化标识符规范区分标识所指向的主体与控制该标识相关文档的控制者，两者可以相同，也可以不同。控制者能够管理有关验证方法，并不能仅凭这一点说明其就是被标识的自然人或组织。W3C：去中心化标识符的主体与控制者〔1〕

因此，一个适当的模型至少需要区分现实主体、系统标识、操作账户和验证密钥。主体可以关联多个账户，账户可以按用途配置不同密钥，密钥也可以被更换。每项关联都需要有建立依据、适用范围和变更记录。保持这些层次的可区分性，才能使账户迁移与密钥恢复不必重新制造一个“新人”，也不致悄然转移原有身份所关联的主张。

主体识别的充分程度，应当由需要处理的关系决定。公开提交一般意见，可能只需要一个能够持续联系的标识；代表组织确认重大义务，则需要核实组织指向、代表资格和授权范围。所有参与都要求同等强度的身份材料，会增加不必要的负担；对重要行动仅核验账户控制，又可能留下实质性缺口。

组织身份尤其不能停留在名称层面。需要明确记录指向的是哪个组织、哪个内部单位或哪个协作集合，并说明其与承诺承担者的联系。部门、项目组和临时联盟可以成为业务记录对象，但不能因为系统给它们分配了编号，就预设它们具有相同的独立承担能力。涉及法律主体资格与对外责任时，还需要依据组织文件及适用制度另行判断。

内部层级也不应被自动解释为外部代表权。一个人属于某个部门，部门属于某个组织，只能先说明隶属关系。是否能够代表组织接受交付、修改约定或处分资源，还要有相应授权。系统可以沿层级查找授权依据，却不能把每一条组织结构上的连接都当作权限传递。

代理关系由此成为身份模型的独立部分。它说明谁授权谁，在什么事项、期限和条件下，以谁的名义行动。有效的代理记录应当能够回答授权从何而来、允许哪些操作、有哪些限额、是否需要共同批准，以及代理人是否可以进一步委托他人。这些内容使“代表组织”成为可检查的制度关系。

代理还需要保持行动者与被代表者的双重指向。经办人提交材料，是一次实际操作；该材料是否构成组织的正式声明，需要结合代理关系确认。贡献由谁作出、谁负责验收、谁代为上传，也应分别记录。代为上传不意味着取得贡献，代为收取不意味着成为最终受益者。

多级代理应当能够向上追溯到被认可的授权依据。本书建议，后续委托的权限不得超过上一级在相应范围内可以授予的权限，并明确期限、再委托限制和撤销的影响。技术上能够生成一份签名授权，只说明授权内容被签署；是否有权签发这份授权，仍须回到授权链及其制度依据。

共享账户容易使这种联系模糊。多人使用同一套密钥时，一次签名通常不足以区分实际操作人。组织可以在适当范围内采用个人操作凭证与组织账户相结合的安排，记录经办、审批和最终提交的不同环节。多人签署也应当说明各自确认的内容，不能把签名数量直接当作责任已经合理分配的证明。

自动化程序同样应当进入代理与控制模型。程序可以在授权范围内提交材料、执行任务或生成记录，但其运行标识需要关联部署者、授权者和必要的监督责任。为程序分配身份，不等于赋予其独立法律人格、资本所有权或最终裁决权。有关人与智能体共同创造的进一步安排，将在后续章节专门讨论。

主体的连续性也不意味着关联关系永远不变。人员更替、组织更名和系统迁移，需要区分哪些只是标识变化，哪些涉及实际承接主体变化。模型应当保留有依据的前后联系，避免通过改名逃避追溯，也避免因名称相似就合并本来不同的主体。此处需要维护的连续性，是经过核验的制度联系。

身份与代理建模由此为共同创造建立了最初的归属秩序。系统不仅识别“谁进行了操作”，还能够检查“这次操作应当按谁的行动理解”。这种区分越清楚，后续贡献确认和责任判断就越少依赖含混的账户标签。

二、员工、客户、供应商与合作伙伴的角色

主体识别解决指向问题，角色则说明主体如何参与具体协作。员工、客户、供应商与合作伙伴，是观察共同创造的不同关系入口。它们不是对人的永久分类，也不是价值高低的等级。一个主体可以在不同事项中承担不同角色，各种角色所支持的主张需要分别说明。

角色具有相对性。员工身份需要指向相应组织和任职关系，客户身份需要指向一定交易或使用关系，供应商身份需要指向相应供给安排，合作伙伴身份则需要指向明确的共同活动。只在个人档案中写上一个角色名称，无法充分解释这个角色对谁、在何时、针对什么事项有效。

因此，关系应当成为可以单独核验的记录对象。它至少需要关联参与各方、关系类型、适用事项、成立依据、有效期间和当前状态。角色从这些关系中取得含义，再依据适用规则影响参与方式。这比给每个人固定分配一个覆盖全部活动的标签，更能表达共同创造的实际结构。

员工角色通常连接持续性的工作安排、职责分工与组织能力积累。岗位可以说明期待承担的工作，却不能单独证明实际贡献已经发生。工时、交付、被组织吸收的知识和协同形成的能力，需要结合实际事件分别确认。担任某个职务也不意味着可以将团队全部成果归于个人。

员工同时具有不同性质的主张和义务。日常工作职责、报酬安排、对工作记录的知情与异议，以及参与某项资本计划的资格，各有不同依据。制度设计应当使这些关系能够被分别表达，避免用一项贡献评价替代全部安排。进入一项额外的协作激励机制，也不应被系统设置成核验其他既有主张的唯一通道。

客户角色连接需求表达、交易、使用与反馈。客户可能参与产品改进、应用扩展或长期合作，但购买行为与具体贡献仍需分别识别。付款可以支持交易关系的确认，不能仅凭付款规模推定客户已经作出了相同比例的创新贡献，或者自动取得企业治理权。

客户关系中的行动者还可能不同。提出需求、实际使用、签订约定和支付费用的主体未必一致。模型若将这些角色统一归给付款账户，可能遗漏实际使用者的反馈，也可能把代表组织采购的个人误认为交易关系中的最终主体。角色分解的目的，是使不同事实能够找到恰当的对应者。

供应商角色连接资源供给、交付质量、履约持续性和供应协同。供给可能形成可长期利用的能力，但收到订单、完成交付、帮助改进流程以及承担额外风险，是需要分别记录的事项。供应商取得约定对价，与其是否因额外贡献进入长期资本安排，仍然需要不同的确认条件。

供应关系还可能包含分包与协同交付。签约主体、实际作业者和关键资源提供者可能处于不同层次。模型需要保留这些联系，以便适当解释贡献与责任；但记录了某个下游参与者，也不意味着其自动取得对所有上游主体的直接请求权。关系的可见性为制度判断提供材料，不能取代判断本身。

合作伙伴角色最容易因名称宽泛而失去边界。共同研发、联合交付、渠道协作与资源共享都可能被称为合作，但其投入方式、决策范围和责任结构并不相同。有效建模应当返回具体安排，说明各方共同做什么、分别承担什么、哪些事项需要共同决定，以及合作在什么条件下结束。

这些角色并未穷尽所有利益相关者。资本提供者、社区成员及其他受到组织活动影响的主体，也可能具有需要承认的关系和主张。身份模型应当允许依据治理范围扩展角色，并解释准入和代表方式，不能因为某类主体不在最初的四个选项之中，就预先否定其提出利益主张的可能。

关系成立的依据也可以不同。有些关系由双方约定形成，有些由有权组织程序确认，有些仍处于一方提出、另一方有异议的状态。系统应当保留依据和确认状态。自称合作伙伴不能直接获得对方资源的操作权限；对方暂不确认，也不应导致提出关系主张及请求复核的记录被删除。

模型还需要区分参与角色与审查角色。作出贡献的人可以提交说明，但能否确认自己的结果，需要单独规定。一个人在某项工作中负责交付，在另一项工作中可以负责审核；对同一事项是否存在应当回避的关系，必须结合具体对象判断。仅靠统一的职位高低，难以完成这种检查。

利益相关者资本治理关注长期共同创造，因此角色建模也需要容纳关系的沉淀和结束。一次交易的结束未必终结全部支持义务，任职关系的结束也未必消除已经发生的贡献记录。模型应当让当前参与状态与历史行动保持联系，同时由各自制度决定后续权益如何处理。

本书据此提出，角色的作用是组织贡献确认的入口和解释条件。角色说明一个主体为什么进入某个协作过程，实际事件说明其作出了什么，资本与权益制度再说明这些结果将产生怎样的安排。三个环节相互连接，才能使利益相关者被承认，而不被一个标签替代。

三、身份凭证、访问权限与角色变更

身份和关系进入系统后，需要通过可供检查的材料表达。身份凭证可以支持对主体指向、任职关系、业务资格或代理授权的核验。它不是对一个主体全部情况的完整证明，而是某个出具者在一定范围内作出的声明。凭证能够支持哪些行动，取决于声明内容、出具资格以及采用它的规则。

W3C 的可验证凭证模型区分出具者、持有者、凭证所描述的主体和验证者，持有者不一定就是凭证主体。凭证验证可以检查来源和完整性等条件，但不会自动完成对其中事实的判断。这意味着，取得一份凭证副本与有权以其中所描述的身份行动，仍然是不同问题。W3C：可验证凭证的参与角色与验证边界〔2〕

关系凭证应当准确限定其声明。某组织证明一个人在某段时间任职，不等于证明此人可以无限额处分组织资源；业务平台确认某供应商完成登记，也不等于确认其全部交付合格。接收凭证的系统需要按本次用途解释声明，避免从一个窄范围事实扩张出过宽的权限。

身份核验、登录认证和行动授权也应当分别处理。身份核验检查所声称的主体及相关证据；认证检查当前请求者是否控制与账户绑定的认证手段；授权决定该请求在当前条件下是否可以执行。NIST 的数字身份指南区分身份核验、账户与认证手段管理，并将有关身份信息作为接收服务作出授权决定的依据之一。NIST：数字身份指南 SP 800-63-4〔3〕

据此，验证通过应当说明通过的是哪项检查。“签名正确”“资格有效”和“允许执行”不宜显示成含义相同的状态。一个请求可以由真实主体发起，使用有效密钥签署，却因超出业务范围或缺少共同批准而不能执行。保留这些区别，既有助于限制越权，也有助于向参与者解释拒绝的具体原因。

访问权限需要落实为对一定对象进行一定操作的条件。查阅材料、提交记录、确认交付、调整参数和执行支付，是不同的操作；同一种操作针对不同项目、期间和资源，也可能需要不同授权。只设置“普通成员”和“管理员”，往往无法表达共同治理中实际存在的职责分工。

角色可以提供一组基本权限，具体使用仍可结合对象、事项状态、有效期限和其他属性进行判断。NIST 对基于属性的访问控制的描述，就是依据主体、对象、请求操作及必要环境条件的属性，结合规则作出授权决定。这提供了将粗略身份标签细化为具体行动条件的一种技术方法。NIST：基于属性的访问控制指南〔4〕

本书在这一技术思路上强调，权限规则应当能够返回其制度来源。一个人被允许审核某类贡献，应当能够查明是谁授予、依据什么职责安排以及是否存在回避条件。系统维护人员可以负责录入和配置，但能够修改权限表，不应成为其自行决定全部治理资格的依据。

角色的叠加尤其需要限制自动扩权。一个人同时担任提交者和审核者时，可以拥有两类功能入口，但是否能够审核自己的事项，应由独立规则判断。多个角色的权限不能简单取并集后不再检查限制条件。禁止事项、共同批准要求和利益冲突约束，应当在具体请求中继续有效。

身份与角色还具有不同的生命周期。主体识别完成后，某项任职可以尚未生效；任职已经结束后，主体仍然存在；一个业务资格暂停期间，其他无关关系也可能继续有效。模型应当支持分别变更这些状态，避免一次账户冻结不加区分地中断全部协作和必要查询。

角色变更需要记录决定依据、生效时间、实际录入时间、受影响的权限和通知情况。生效时间与系统获知时间可能不同，追溯时不能仅凭当前页面覆盖过去。对于执行中的任务，还需要明确变更从哪个检查点影响请求：提交时有效的权限，是否还须在最终批准或执行时再次核验，应按事项性质事先规定。

权限撤销也不是修改一处记录就自然完成。业务系统、链上合约、缓存和已经建立的会话，可能在不同时间获知变化。制度需要规定同步责任、可接受的延迟，以及状态无法确认时的处置。短期凭证、重新认证或关键操作前查询当前授权，可以作为不同场景下的实现选择。

撤销当前资格，与否定历史行动仍须分开。曾在有效任职期间作出的合格操作，不应仅因今天离职便自动改写为越权；若发现凭证曾被冒用或资格自始存在错误，则需要按证据确定受影响的期间和事项。旧签名需要结合当时的授权、密钥状态和证据解释，不能只查当前状态就作出全部结论。

同样，停止工作权限不等于取消既有权益。离职、合作结束或供应资格到期，可能要求立即关闭新增业务操作，但已经发生的贡献、尚未结算的款项、有效期间内形成的主张以及必要的申诉访问，应当依据各自安排处理。账户生命周期不应代替贡献和权益的生命周期。

密钥恢复则是另一类变更。若主体不变，只是丢失了原有认证手段，恢复程序需要重新建立该主体与新手段的可靠联系，限制旧手段，并检查关联权限是否仍然成立。不能因为新密钥获得控制，就把恢复过程解释为一次资本或权利转让；也不能允许协助恢复的人因此取得被恢复主体的全部身份能力。

跨组织使用凭证时，技术上的可读取与制度上的可采用需要进一步衔接。接收组织应当明确认可哪些出具者、认可其证明哪些事项，以及本组织采用的有效性和权限条件。相同的“合作伙伴”名称，在不同组织可能具有不同含义。可携带凭证可以减少重复取证，却不保证角色和权利原样迁移。

在此基础上，区块链可以承担需要多方共同检查的授权或状态记录，敏感身份材料则可以保留在适当的链下系统中。具体选择应当服务于共同验证和责任安排。身份系统是否有效，最终要看每次行动能否得到适当授权，变更能否及时反映，以及参与者是否仍有可靠的纠错和恢复路径。

四、多重身份、虚假身份与责任追溯

一个主体拥有多个标识，并不必然意味着身份虚假。不同账户可以用于区分个人行动与组织代理，隔离不同业务，或者减少无关活动被关联。利益相关者身份模型需要容纳这种现实，同时防止同一主体借助多个标识重复取得本来受到限制的资格。

因此，需要区分三个问题：标识是否指向所声称的主体，主体是否具有所声称的关系，以及同一项规则下的资格是否被重复计算。冒用他人材料主要破坏主体对应关系，虚报任职主要破坏关系真实性，多账户重复申领则可能利用资格计算的缺口。它们需要不同证据和处理方式。

女巫攻击揭示了其中一种典型结构：同一实际控制者呈现多个身份，使系统把这些身份误当作独立参与者，从而削弱依靠多方参与建立的保障。Douceur 的相关研究讨论了这种攻击对点对点系统冗余和身份确认的影响。John R. Douceur：The Sybil Attack〔5〕

在利益相关者资本治理中，这种结构可能表现为重复取得成员资格、用多个账户相互确认贡献，或制造看似独立的支持意见。防止这些问题，首先需要明确规则究竟按什么单位计数。一个自然人、一个组织、一段有效关系和一项独立贡献，是不同的计数对象，不能统一用地址数量替代。

“一人一份资格”需要在规定范围内检查自然人的重复登记；“一组织一个席位”需要识别组织及相关控制关系；“同一贡献不得重复申领”则需要检查贡献事件和请求依据。一个组织中有多名真实员工，并不意味着他们在每项组织决策中都构成相互独立的组织代表；多人共同完成一项任务，也不意味着只允许保留其中一人的贡献。

真实性、唯一性与独立性因而需要分别论证。两个账户可能属于不同的真实自然人，但其在某项审核中存在共同利益或受同一方指示。身份核实可以提高冒名的难度，却不能据此证明所有参与者没有串谋。参与关系、授权关系和必要的利益冲突声明，仍然是治理判断的重要材料。

核验强度应当与资格的重要性和潜在影响相称。接入更多材料、采用现场检查或提高操作认证强度，都可能增加某些攻击的难度，但也会增加成本和错误拒绝。缴纳保证金或持有某类资产可以约束部分行为成本，却不能单凭资源投入证明主体唯一，更不能证明其已经对共同创造作出相应贡献。

隐私保护要求唯一性检查具有清楚范围。为了防止某项资格重复使用，并不当然需要公开一个人全部账户及其他合作关系。系统可以在适当机制下检查限定范围内的重复性，同时只向有关审核者披露必要联系。上一章讨论的选择性披露与零知识证明可以提供部分支持，其前提仍是初始资格与持有人联系已经可靠建立。

合理化名也应当与逃避责任区别对待。在允许使用化名的协作中，持续可联系的标识、有效授权和必要的受控核验，可以共同支持参与。治理需要的是与具体事项相称的可追溯性，不应将公开全部身份资料作为任何活动的默认条件。披露更多信息未必能消除串谋，却可能扩大参与者承担的信息风险。

身份关联错误同样需要认真处理。姓名相同、共用网络、设备相似或行为接近，可以成为进一步核查的线索，但不宜单独作为合并主体或判定欺诈的依据。将两个人错误合并，可能取消其中一人的资格；把同一主体错误拆分，又可能造成重复计数。关联和解除关联都应当有证据、权限与复核记录。

责任追溯需要沿着行动过程展开。记录应当能够连接主体、当时的角色、代理依据、所使用的密钥、请求内容、适用规则和处理结果，并在必要时返回支持这些联系的业务证据。只有一个交易编号，通常不足以说明行为发生的完整制度条件。

追溯也需要区分操作、批准、控制与后果。经办人发起请求，审核者作出批准，系统执行动作，组织取得结果，各环节可能由不同主体承担。判断责任需要结合职责、授权、实际行为与因果联系。有效签名是重要证据，但在密钥被盗、共享控制或自动化运行等情况下，仍须查明其具体背景。

记录保存者与身份确认者也处于责任链之中。错误绑定主体、迟延撤销授权、未保留必要变更依据，可能影响对行为的判断。不能一方面由组织控制身份登记和权限维护，另一方面在发生问题时仅凭账户名称把所有后果推给账户所标记的人。责任模型应当覆盖这些基础服务的实际职责。

对可疑身份采取措施时，本书主张使措施与证据和影响范围相称。需要控制新增风险的，可以按授权程序限制有关操作，同时保留通知、补充材料与申诉途径。暂时无法核实不应直接写成已经证实欺诈；纠正身份关系也不应顺带删除尚待审查的历史贡献或未决主张。

更深一层的问题，是谁能够决定一个主体在共同制度中是否“存在”。如果唯一的身份服务商可以不说明理由地拒绝登记、撤销凭证或阻断恢复，它就可能实质控制参与、申诉和退出。身份基础设施自身也需要治理，包括准入依据、决定权限、复核安排以及必要的替代验证与迁移条件。

面向未来，本书提出一个需要检验的方向：在特定协作范围内保持主体和责任的连续性，同时允许不同关系使用适当分离的标识。其成立条件包括可靠的授权衔接、限定范围的重复检查、必要的历史证据和可实际使用的恢复程序。若这种安排增加了冒用、错误排除或追溯困难，就需要修订关联与披露规则，而不能仅凭“去中心化身份”的名称判断制度已经改善。

利益相关者身份与关系建模由此构成贡献确认的第一层制度基础。它使系统能够说明谁进入了协作、以何种关系参与、在什么范围内行动，以及变化发生后哪些联系继续有效。识别准确并不保证贡献已经发生，却能让贡献记录从一开始就具有可以检查的归属。

下一章将进一步把这种关系放入行动过程：参与者承诺了什么，实际完成了什么，哪些投入形成交付，交付又怎样被使用并产生结果。主体与关系提供指向和解释条件，承诺、任务与贡献事件则使共同创造获得可以逐步核验的具体内容。

定稿补强：分级身份与合规触发

身份设计应同时避免识别不足和过度收集。一般协作、访问内部材料、取得不可转让资格、接收可转让价值、高额支付、跨境活动和受监管职能，可以采用不同的身份强度。系统不应为了所有低风险活动收集同样多的数据，也不能在高影响价值流转时只依赖一个无法追责的地址。

每个身份等级应写明证明目的、签发者、验证者、有效期、撤销、最少披露字段和升级触发器。涉及反洗钱、制裁、税务、消费者或其他监管要求时，应由相应责任主体根据法域确认，不由DID、可验证凭证或账户格式自动完成。身份凭证表达的是声明及其验证关系，不能替代对声明内容和使用目的的判断。

本章注释

1. [SRC-074] 万维网联盟（W3C）：Decentralized Identifiers（DIDs）v1.0。原文或官方页面

   • 本章引证：W3C：去中心化标识符的主体与控制者。
   • 支持范围：用于确认标准或技术规范对数据结构、验证条件、协议流程及接口语义的明文规定，本书引用主题包括：W3C：去中心化标识符的主体与控制者。
   • 使用边界：符合技术规范只说明相应格式或过程条件，不自动证明链下事实真实、权利合法或制度正当。
   • 证据等级：A（原始法律、正式标准、原始研究或正式规范）；链接状态：已完成可访问性核验，核验日：2026-10-08。

2. [SRC-076] 万维网联盟（W3C）：Verifiable Credentials Data Model v2.0。原文或官方页面

   • 本章引证：W3C：可验证凭证的参与角色与验证边界。
   • 支持范围：用于确认标准或技术规范对数据结构、验证条件、协议流程及接口语义的明文规定，本书引用主题包括：W3C：可验证凭证数据模型 2.0、W3C：可验证凭证中的选择性披露与隐私考虑、W3C：可验证凭证的参与角色与验证边界、W3C：可验证凭证的验证与业务判断、W3C：可验证凭证与数据最小化。
   • 使用边界：符合技术规范只说明相应格式或过程条件，不自动证明链下事实真实、权利合法或制度正当。
   • 证据等级：A（原始法律、正式标准、原始研究或正式规范）；链接状态：已完成可访问性核验，核验日：2026-10-08。

3. [SRC-066] 美国国家标准与技术研究院（NIST）：数字身份指南 SP 800-63-4。原文或官方页面

   • 本章引证：NIST：数字身份指南 SP 800-63-4。
   • 支持范围：用于说明公共机构对风险、身份、评估或技术能力的框架性要求，本书引用主题包括：NIST：数字身份指南 SP 800-63-4。
   • 使用边界：框架提供分析与控制依据，不替代组织对具体事实、成本和责任的独立判断。
   • 证据等级：B（官方机构、协议项目或公共组织发布的说明与指南）；链接状态：已完成可访问性核验，核验日：2026-10-08。

4. [SRC-009] 美国国家标准与技术研究院（NIST）：基于属性的访问控制指南。原文或官方页面

   • 本章引证：NIST：基于属性的访问控制指南。
   • 支持范围：用于说明公共机构对风险、身份、评估或技术能力的框架性要求，本书引用主题包括：NIST：基于属性的访问控制指南。
   • 使用边界：框架提供分析与控制依据，不替代组织对具体事实、成本和责任的独立判断。
   • 证据等级：B（官方机构、协议项目或公共组织发布的说明与指南）；链接状态：已完成可访问性核验，核验日：2026-10-08。

5. [SRC-058] John R. Douceur／Microsoft Research：John R. Douceur：The Sybil Attack。原文或官方页面

   • 本章引证：John R. Douceur：The Sybil Attack。
   • 支持范围：用于支持所引理论、模型、算法或经验研究的原始论证，本书引用主题包括：John R. Douceur：The Sybil Attack。
   • 使用边界：原始研究支持其设定范围内的结论，不直接证明本书提出的治理制度已获得普遍实证验证。
   • 证据等级：A（原始法律、正式标准、原始研究或正式规范）；链接状态：已完成可访问性核验，核验日：2026-10-08。