数字护照：一条谁都无法撤销的记录

一份活在开放网络里的身份凭证是怎么运作的：它能证明什么、不能证明什么，以及为什么"不可撤销"这件事要付出代价。

「可被收回的身份证明，证明的不是你，而是签发它的人。」

— 公案 第46则，Maksim Valentinovich Galatin

引子。那一夜之后，这个人就看不见了

邮件在凌晨 3:40 送到。标题是"您的账号已被停用"。正文只有一句话，说违反了社区规则：违反了哪一条、哪一条内容、哪一天——都没写。人还在睡，早上才知道。

早上他打开邮箱——里面没有邮件，只有同一句话。打开手机——应用把他弹回登录界面，密码是对的，但再往里就进不去了。九年来自动攒进云端的照片打不开了。和一个已经不在人世的人的聊天记录，也打不开了。

他找到了申诉表单。说明栏只能填两百来个字，附件无处可传。他写下自己没有违规，点了提交。

四小时后回复来了：维持原决定。没有指向具体内容的链接，没有审核者的名字，也没有可以回信的地方。从时间和措辞看，处理申诉的正是作出第一次决定的那套自动系统。

接下来发生的事，在被封的那一刻是想不到的。这个邮箱地址还是另外十来个地方的入口：工作群、装着文件的云盘、存着五年发票的商店、运营商的个人中心。"用……账号登录"这个按钮现在只会返回错误。个人网站的域名注册在同一个地址下，续费通知会寄到一个打不开的信箱。攒了多年的读者留在了另一侧——既带不走，也没法通知。

一周过去，他仍然不知道究竟发生了什么。不是因为有人拒绝解释，而是因为没人可以解释：对面没有人。

这一幕不是为了好看编出来的。下面是有据可查的真实案例，情形与此别无二致；随后是对一个问题的拆解：究竟能不能存在一条关于人的记录，它不会随着账号一起被关掉。

第一章。你的任何证件都由某人签发——也就能被某人收回

问题的构造

拿起任何一份能证明你身份的东西，问一个问题：这是谁发的？

答案总是有的。而这同一个答案也告诉你：谁能把它收回去。

这不是阴谋，也不是恶意，这是结构。证件不是一件东西，而是一种承认：某个有权威的人宣称你就是你。只要这个宣称还在维持，证件就有效。一旦宣称者沉默了或者改主意了，证件就变成一张图片。

国家护照和网络账号的区别不在性质，而在期限和程序上。护照依法扣押，要有依据，可以上法庭。账号则按服务方自己写的规则关闭，而申诉只能向它本人提出。

这个念头值得停一停，因为它反直觉。我们总觉得证件是个物件：一张塑料卡、一张盖了章的纸、个人资料里的一行字。其实物件只是宣称的载体。创造价值的不是它，而是与那个维持宣称的人之间那条活的联系。切断联系，手里剩下的就是没有内容的物。正因如此，丢账号比丢东西更难受：消失的不是文件，而是"你一直站在这些文件背后"的凭据。

公司自己是怎么说的

这不是揣测：关闭账号的权利明明白白写在用户协议里，而且写得心平气和。

Google 在服务条款中保留了这样的权利：在用户实质性或反复违反条款和政策时，在法律有此要求时，或在用户行为造成损害或法律风险时，暂停访问或删除账号。同一份文件里也承诺会事先通知、给出解释的机会——但带着一句限定：在合理可行的情况下，并附有一份例外清单。

YouTube 的表述类似：服务方有权暂停或终止对部分或全部服务的访问，包括在它认为某种行为对用户、第三方或公司本身构成风险时。

请注意这句话的构造。它整个建立在单方的判断之上："如果我们合理地认为""在合理可行的情况下"。另一方在这个结构里不参与，她只是得知结果。

顺带说一句，这不是在指责法务。这样的文件也换不了写法：服务方必须能对滥用行为快速反应，而"每一起都要人工、按对抗式程序审理"的义务会让这份工作根本干不下去。问题不在协议的文本，而在于用户没有第二个支点——没有任何东西能在第一个支点被撤走之后继续工作。

有据可查的案例

2021 年 2 月，美国。 两位父亲——一位在旧金山，一位在休斯敦——应医生要求给自己年幼孩子身上的炎症拍了照片，好让医生远程看诊。照片自动上传到了云端。算法把它们识别成儿童性虐待材料。Google 向执法部门作了报告，而没有通知这两位父亲本人，并且查看的不只是被标记的照片，还有其中一人的整个相册。旧金山警方和休斯敦警方各自完成了核查，未发现任何问题：不构成犯罪。此后账号并没有恢复——即便错误已经显而易见，公司仍然拒绝恢复。这两个人失去了邮箱、照片、视频，其中一人还失去了手机号码。此案由 Kashmir Hill 发表于《纽约时报》，并由权利组织 EFF 在 2022 年 8 月作了梳理。

这里重要的不是算法出错——算法会出错，这在预料之中。重要的是：由警方出具的无罪结论，在一个并非由警方签发凭证的系统里没有效力。一个签发者不承认另一个签发者的文书，只要它没有义务这么做。

2025 年，Meta 旗下平台。 据英国广播公司报道，全球有数以万计的用户投诉在 Instagram 和 Facebook 上被误封，其中包括被指控犯有最严重的违规行为。有 500 多人直接联系了编辑部，讲述自己失去了珍视的照片，生意也因此受到冲击。反对大规模封号、反对没有人工支持的请愿书，签名者超过 25000 人。在编辑部就具体个案提出询问之后，一部分账号被恢复；在其中一起事件里，公司为错误道了歉。

第二点值得慢慢再读一遍。真正管用的申诉方式，原来是找一家大媒体。不是申诉表单，而是记者。这是绝大多数人用不上的办法，而它对程序本身什么也没说明——它说明的是程序的缺席。

认证标识。 2023 年 4 月 20 日，Twitter（现 X）取消了所有在易主之前完成认证的账号的蓝色勾号。这个标识变成了付费订阅的标志——当时在美国网页端为每月 8 美元。勾号不是因为过错被收走的：是规则变了。那个"这确实是本人"的标记，原来并不是人的属性，而是平台的一项服务。

服务关停。 Google+ 于 2019 年 4 月 2 日对普通用户关闭，随后账号和页面的内容开始被删除。Skype 由微软于 2025 年 5 月 5 日停止运营；聊天与通话记录的访问权限保留到 2026 年 1 月。没有人违反任何规定。只是产品结束了，而那一部分只活在产品内部的人生履历，也跟着结束了。

域名。 域名不是买断的，而是按期注册的。ICANN 有一份专门的指引，写给准备就域名扣押提出司法和侦查要求的人——里面说明注册局和注册商需要哪些资料才能快速执行要求。被扣押的域名通常会开始显示一个带有主管部门通知的页面。这些都是合法机制，这里不讨论它们好还是不好；这里要说的是：别人用来找到你的那个地址，并不属于你。

为什么申诉很少管用

申诉是提给作出决定的那一方的。这不是滥权——这是同一个结构的必然结果：既然证件靠签发者的承认才存在，那么关于证件的争议自然由签发者裁决。

接下来是算术问题。决定由自动系统作出，因为人工处理不了这个量。自动决定之后的申诉数量和决定数量一样多——那就意味着申诉也由自动系统处理。于是形成闭环：系统检查自己，并确认自己。

监管者注意到了这一点。欧盟《数字服务法》（DSA）要求平台在删除内容、限制展示、取消变现或封禁账号时，向用户出具明白的说明理由——需注明该决定是否由自动化方式作出，并说明申诉途径。这些说明会汇入欧盟的公开透明度数据库。这是明显的进步。但请看它指向的是什么：它改善的是签发者那一侧的程序。对签发者的依赖本身，仍然原封不动地留在原地。

到底失去了什么

值得直接列出来，因为在被封的那一刻，这份清单看起来比实际短：

• 多年的往来消息，包括与那些已经问不到的人的对话；
• 照片和视频，如果唯一的副本只活在云端；
• 联系人，以及提醒那些读你的人的办法；
• 进入其他服务的入口，凡是你点过"用……账号登录"的地方；
• 支付记录、发票、订阅、绑定的号码；
• 收入，如果受众和订单只在那里；
• 还有最难命名的那一样：你这些年一直在场的凭据。

最后一条不是抒情。一个人今天在网络上的存在，就是他的履历：在哪儿读的书、做过什么、和谁说过话、三十岁时怎么想。当这一切被一个决定抹掉时，被抹掉的不是档案，而是过去的可证性。

这篇文章要问的问题

有没有可能存在一种身份凭证，它不取决于签发它的人？一条不会随账号一起被关掉、不会随服务一起被关停、不会被指令扣押、不会因规则变更而丢失的记录。不是因为签发者心善、承诺不这么做——而是因为他在技术上根本没有这个能力。

这个问题不是我们提出来的。W3C 联盟于 2022 年 7 月 19 日批准了去中心化标识符（DID）标准——按联盟自己的描述，这类标识符不需要中央签发机构，并且可以在不同服务提供者之间携带。也就是说，业界已经承认：把身份绑定在单一签发者身上，这是构造上的缺陷，而不是自然法则。

下面就来看看，在实践中回答这个问题的一次尝试长什么样：什么东西可以记录得让它熬过所有记录者——以及同样重要的：这样一条记录做不到什么，而且永远做不到。

第二章。用大白话讲自主主权身份

"自主主权身份"（self-sovereign identity，SSI）这个词组背后，是一句话就能说清的想法：关于人的证件应当放在人自己手里，而不只是放在签发者的数据库里。其余全是推论。要弄明白这为什么会成为一个问题，我们把任何一次证件核验拆开来看。

三方

任何一个有证件出现的场景里，都有三方。

证明的一方（issuer）。大学、银行、部委、雇主。他就某人作出断言："已毕业""自 2019 年起是客户""准予驾驶 B 类车辆"。

出示的一方（holder）。人本人。他手里有毕业证、卡片、证明。

核验的一方（verifier）。人事部门、房东、边检人员、网站上的表单。

这不是比喻。正是这三个角色写在 W3C《Verifiable Credentials Data Model 2.0》标准里：issuer 形成断言并创建凭证，holder 持有并出示它，verifier 接收并处理它。

这个图示看上去理所当然，直到一个问题出现：核验方的把握究竟建立在什么之上？

为什么核验方不得不信任签发方

人事部门看着毕业证。带章的纸本身证明不了什么——能证明的是它背后的东西：学校的登记档案，那里可以打电话去问。所谓真伪核验，就是向数据库的主人发出请求。由此有三个通常被忽略的推论。

1. 核验能力的寿命，恰好等于签发者的寿命。 学校倒闭了、银行破产了、部门重组了——证件还在手上，却没地方去确认它。
2. 签发者看得见每一次核验。 谁问的、什么时候、因为什么事。这是关于人的数据，而人从未把它交给任何人：它是从核验这个事实本身产生出来的。
3. 签发者可以改主意。 撤销、冻结、关闭数据库访问、修改规则。在这个结构里，出示方一根杠杆都没有。

防伪底纸——水印、全息图——推翻不了上述任何一条。它能证明这张纸是在正确的机器上印的，但证明不了登记档案里那条记录还存在。

当证件躺在开放网络里，什么发生了变化

密码学给出两样不必再去别处求证的东西。完整性： 改动一个字符就会让签名失效——不是"看起来可疑"，而是算术上对不上。来源： 签名只与唯一一个密钥吻合，与相似的密钥不吻合。

核验不再是一次请求，而变成一次计算。实际差别在于：

• 核验方不必向签发方询问任何事——因此签发方也不会知道有过这次核验；
• 签发方的服务器还开不开着，不再有任何意义；
• 任何人都可以自己重做这次核验，一年之后，在另一个国家，无需谁的许可。

这个转变听起来技术，但它关乎权力。只要核验还是一次请求，数据库的主人手里就握着开关和日志：他可以不回答，而且他看得见谁在问。当核验变成一次计算，开关没有了，日志没有了，也没有谁需要被请求许可。

我们的数字护照就是这套图式最简单的一种情形：文件一次性写入 Arweave 开放网络，从那一刻起，任何人无需我们参与即可读取。它内部如何构造，第三章会讲；这里只需要知道它属于这一类方案，而不属于"网站上的个人主页"那一类。

标准：DID 与 Verifiable Credentials

业界用两块砖来建这座房子——两块都是 W3C 的开放标准。

DID（Decentralized Identifiers，去中心化标识符） —— 一种不由注册机构签发的标识符。它解析成一份包含持有者公钥的文档，人们据此核验他的签名。DID 1.0 于 2022 年 7 月成为 W3C 推荐标准——是在 Google 与 Mozilla 提出正式反对意见的情况下通过的。Mozilla 指出实际互操作性并未得到展示，而规范把一切都委托给了一份包含数十种"方法"的注册表；Google 则要求至少等到三种成熟方法出现再说，因为脱离这些方法就无法评价核心规范。反对意见被驳回了，但就实质而言并没有被消解。1.1 版本已于 2026 年 3 月 5 日作为候选推荐标准发布，到 2026 年 8 月仍是候选状态。

Verifiable Credentials（可验证凭证） —— 凭证本身的格式。VC 2.0 家族于 2025 年 5 月 15 日成为 W3C 推荐标准，一次性推出七份文件：数据模型、Data Integrity 1.0、EdDSA 与 ECDSA 密码套件、基于 JOSE/COSE 的保护、Controlled Identifiers 1.0 以及 Bitstring Status List 1.0。

这在实践中带来什么：

• 通用格式 —— 核验方无需双边协议就能解析一个陌生签发者出具的凭证；
• 选择性披露 —— 可以只出示"已满 18 岁"，而不出示出生日期；
• 撤销 —— Bitstring Status List：签发者发布一张状态位图，核验方查看对应的那一位。

而在这里，是对我们的主题最关键的一点。标准并没有取消对签发者的信任，它只是把信任形式化了。规范说得很直白：核验方就特定断言信任特定签发者，并适用自己的规则。数学能证明这份证明确实是这所大学签的。至于该不该相信这所大学，是数学之外的问题。而状态列表又把一部分旧的依赖关系还了回来：既然撤销由签发者维护，那就又得去找他了。

我们的护照不是 VC 标准的实现——它是自定义结构的 JSON。里面没有撤销机制：没有可撤销的东西。这是一个有意识的岔路口，第四章会把它作为一次取舍来讨论，而不是作为一处未完工。

eIDAS 2.0：欧洲的身份钱包

欧盟第 2024/1183 号条例于 2024 年 5 月 20 日生效。据此，27 个成员国每一个都必须向公民提供至少一款数字身份钱包（EUDI Wallet）。期限从 2024 年 11 月 28 日通过的实施细则起算——按通行算法，也就是 2026 年 12 月 24 日。受监管的私营部门——银行、电信、医疗、大型平台——需在大约一年之后开始接受该钱包。

技术上，这款钱包接近 SSI 的构想：凭证放在手机里，支持选择性披露。强制格式有两种——SD-JWT VC 与 ISO/IEC 18013-5 mdoc（与移动驾驶证使用的相同）；W3C VC 2.0 作为第三种被允许，但非强制。

与我们做法的区别在信任根。每个国家维护一份国家信任清单：谁有权签发凭证，谁可以做钱包提供方。欧盟委员会维护一份"清单的清单"（LoTL）并为其签名。核验是一条链条：文件签名 → 签发者在国家清单中 → 该清单在 LoTL 中 → 委员会的签名。

国家并没有消失。它不再是人们带着请求跑去的地方，但依然是"该信谁"的来源。对驾驶证和税务证明来说，本就不该是别的样子——那只是与我们不同的另一项任务。

准备情况参差不齐：德国宣布 2027 年 1 月 2 日启动——比法定日期晚了九天；荷兰已经表示来不及；马耳他打算以部分功能上线。

中国走的是另一条路，而且这条路对本文的主题很有说明意义，因为它把"国家作为信任根"这件事推到了最彻底的形态。中国的网络实名制并非某一部法律的一次性规定，而是层层叠加起来的：手机实名制自 2010 年 9 月 1 日起正式实施；2012 年全国人大常委会《关于加强网络信息保护的决定》第六条要求网络服务提供者在为用户办理入网、提供信息发布服务时要求用户提供真实身份信息；2016 年 11 月 7 日通过的《网络安全法》把这一要求写进了基本法律。2019 年 2 月 15 日起施行的《区块链信息服务管理规定》第八条更是直接落到了本文的技术领域：区块链信息服务提供者应当依据《网络安全法》，按组织机构代码、身份证件号码或者移动电话号码对使用者进行真实身份信息认证；用户不进行真实身份信息认证的，不得为其提供相关服务。

在这个基础上，2025 年出现了新一层。公安部、国家网信办等六个部门联合发布《国家网络身份认证公共服务管理办法》，自 2025 年 7 月 15 日起施行。它引入了两样东西：网号——由字母和数字组成、不含明文身份信息的网络身份符号；网证——承载网号和自然人非明文身份信息的凭证。持有法定有效身份证件的自然人可以自愿向公共服务平台申领。未满 14 周岁的需由父母或监护人同意并代为申领，14 至 18 周岁的需在监护人陪同下申领。到 2026 年 7 月，也就是办法施行满一年时，公开报道的数字是：约 4000 万人申领，接入的 App、小程序和网站超过 530 个，累计提供网络身份认证约 2.8 亿次。

这套设计的核心思路常被概括为"前台匿名、后台实名"：平台拿不到你的姓名和证件号，只拿到一个不可读的凭证；而主管部门那一侧，身份仍然是完整可查的。同一方向上还有更接近本文技术的一步：2023 年 12 月 12 日，公安部第一研究所与区块链服务网络（BSN）推出了 RealDID——一套基于区块链的实名去中心化标识符体系，用户在完成真实姓名、人脸和证件核验之后，可以生成任意多对公私钥用于在各平台注册。它在名称和数据结构上与 W3C DID 同源。

这里要说的正是那个区别，而且必须说清楚，因为容易混淆。RealDID 与网号网证解决的是平台看不见你的问题，不是签发者管不着你的问题。它们把隐私从平台那一侧收了回来，这是实实在在的改善——数据泄露的面确实变小了。但信任根仍然是国家：由它核验，由它签发，由它维护有效性，也由它决定一份凭证是否继续有效。自主主权身份要处理的是另一半问题：让核验不必回到任何签发者那里去。两者不是竞争关系，也谈不上谁更好——它们回答的是不同的问题，而代价的分布正好相反。国家签发的凭证有法律效力、有可以主张的救济渠道、丢了能补办；写进开放网络的记录谁都撤不掉，但也没有任何机构承认它，丢了钥匙没人能补。谁需要哪一种，取决于他要解决什么。

区别可以浓缩成一句话。在 eIDAS 2.0 里，证件由你携带，但由国家签发和撤销。在写进开放网络的记录里，证件由你携带，而且没有任何人能撤销它——包括写下它的人。

自主主权身份在哪些地方不管用

它不核验人。 密码学回答的是"这条记录是真的、没被改过吗"，而不是"这个人是他自称的那个人吗"。把记录与活生生的人绑定，SSI 并没有解决：研究里管这叫 binding 问题，紧挨着的是 Sybil 问题——没有中心化注册，一个人想开多少个身份就能开多少个。

它不赋予权利。 网络里的一条记录不会打开国境，不会给你贷款，不能代替护照、驾照或签证。

它不取消信任，只是转移信任。 该信签发者还是得信。消失的只是对他的服务器和他的善意的依赖。

不可逆是双刃的。 写下的东西既不能改，也不能删，更不能撤。这防住了任意抹除——同时也意味着名字里的错别字会永远留着，而一个改了主意的人也拿不回自己的记录。唯一的动作是再写一条，让两条并存。

薄弱环节是人。 丢失的密钥没有人能恢复——这正是"没有人能夺走它"的反面。

标准仍在路上。 VC 2.0 自 2025 年 5 月起是推荐标准，DID 1.1 自 2026 年 3 月起是候选标准，至今仍是候选。那种"任意凭证可由任意核验方在无需事先约定的情况下核验"的基础设施，目前还不存在。

说"这是我"的三种方式

"谁能撤销"这一行，正是这一切的初衷所在。而它同样也是不要轻率签发这种证件的理由。

第三章。CODE Eternal 数字护照是怎么造出来的

它是一个文件，不是一张图片

只要先说清最要紧的一点，一半的问题就没了：护照是一个 JSON 格式的文本文件。用记事本就能打开。里面没有印章，没有签名，也没有照片——只有字段和取值，用普通字符写成。

这个文件一次性写入 Arweave 网络，并获得一个 43 个字符的交易地址。这个地址同时是链接和校验和：换一组字节就会得到另一个地址。通过网络的任意网关都能打开文件——https://arweave.net/<地址>——返回的正是当初写入的那些字节。写入之后，文件既不能修改也不能删除——护照的持有人不能，我们也不能。

它由这些部分构成：

文件里没有邮箱。这大概是整个构造中最重要的一个决定，值得单独拆开来讲。

为什么是邮箱的指纹，而不是邮箱本身

单向函数（one-way function）是一种做起来容易、却不可能倒回去的操作。生活中的例子：把一罐蓝颜料和一罐黄颜料倒在一起。一秒钟的事——绿色就出来了。要把它重新分成蓝色和黄色，用什么办法都不行：颜料不记得自己是由什么做成的。

sha256 也一样。它接受任意文本，输出 64 个字符。同样的文本永远给出同样的 64 个字符，在世界上任何一台计算机上都如此。但由这 64 个字符回到原文是不可能的——不是因为被禁止，而是因为无从下手。

在一份真实的护照里，它长这样：

378e447d96ee98f8c44ce50c75a9805d68cede0886ccec932a9a4050bee41bc2

为什么我们不把邮箱地址以明文写进去。这份文件同时是公开的和永久的，而这个组合比其中任何一项单独存在都更危险。开放网络里的公开地址，会被第一个爬邮箱的采集器收走，然后被邮件淹没。地址还是登录名的一半：知道了它，剩下的只是猜密码。而永久意味着收不回来：这样一条记录没有"删除"按钮，将来也不会有。一个不可逆的动作——这个人就得到了一个终身靶子。

指纹用另一种方式解决了这个问题。持有人随时可以证明这条记录是自己的：拿自己的邮箱，算一遍 sha256——一行命令，任何电脑上都有——再与文件里写的对照。一致，记录是他的；不一致，是别人的。

这里需要诚实。指纹不等于匿名。它妨碍读出地址，但不妨碍验证猜测：一个已经怀疑某人用哪个邮箱的人，会照样算出 sha256 来比对，做法和持有人自己完全一样。不加盐的邮箱指纹早就被视为化名而非匿名——用泄露地址名单，一本普通词典就能穷举出来。

指纹能可靠给出的是这一点：没法给一个哈希值写信。那些在网上到处扒地址的机器人，从我们的记录里一个能用的都拿不到。

证件编号 CE-XXXXXXXX

编号不是发出来的，也没有存在任何地方。它是算出来的：取指纹的前八个字符，转成大写，前面加上 CE-。

378e447d96ee98f8...  →  CE-378E447D
6495fb95eae56f47...  →  CE-6495FB95

这两个编号现在就能核对：打开下面任意一条真实链接，Passport ID 字段里写的正是它。

编号之所以稳定，是因为它是推导出来的，而不是分配的。没有可能出错的计数器。没有会在数据库搬迁时丢失的对照表。没有谁需要记住哪个号发给了谁。同一个邮箱给出同一个指纹，指纹给出同一个编号，二十年后依然如此——哪怕我们既不剩服务器也不剩数据库：编号可以由任何人从文件本身重新算出来。

这里同样需要诚实。八个十六进制字符大约是 43 亿种组合。要让编号能在电话里念出来而不与相邻的混淆，这个量够了；但要把它当成永远唯一的标识，这个量不够。真正的识别特征是另外两个：43 个字符的交易地址和 64 个字符的完整指纹。CE- 编号是给人看的，那两个是用来核验的。

为什么记录改不了

普通网站在你付主机费的期间保存数据。停止付费——数据就没了。Arweave 反过来：只在写入时付一次钱。

这一笔付款会被拆分。一小部分给到此刻接收文件的人，其余进入公共的存储基金。基础价格按今天的硬盘价格测算的 200 年存储量计算，而基金靠收益维持。由于存储成本几十年来持续下降，基金的购买力会增长，期限也就会拉得比测算值更长。这个构造牢不牢，以及万一假设不成立会怎样，第四章会讲——风险也在那里点名。

再往下就是网络本身的构造在起作用。文件进入一个区块，区块被确认，副本扩散到各节点。协议里根本不存在"修改"这个操作——只有"写入"。可以写入一份新文件，但旧的会留在原处，两份都看得见。区块之间的连接方式尤其重要：每一个新区块不只引用前一个，还引用一个随机选中的旧区块，因此事后替换某一条记录会破坏整个结构，而不只是一个环节。

对我们的例子来说是这样。网络对交易地址 mGLT… 的应答：

block_height: 1975726
number_of_confirmations: 130

第一项是这条记录所在区块的编号。第二项是从那以后网络在上面又叠了多少个区块；这个数字自己会涨，而且永远不会减少。

反面也如实说出来：我们这边同样没有"删除"按钮。宣言里的错别字会一直是错别字。一个人一年后会后悔的文字，会一直是那段文字。这是不可撤销的代价，付这个代价的是出具文件的人。

外人能看见什么，看不见什么

另外说一点：这条记录被标注为 CODE Eternal 护照，因此即使不知道地址也能在网络中找到它——通过这类记录的公共列表。这里的"公开"是真正意义上的公开，没有保留。不希望自己的姓名和宣言以明文形式永远躺在那里的人，就不该签发这份文件。而这个决定作出之后，将无人可以请求撤回。

如何在不信任我们的前提下核验

核验的设计原则是：不需要我们参与。

第一步。 打开 https://arweave.net/<地址>——你会看到那个 JSON。不是我们做的带样式的页面，而是原始文件。

第二步。 在另一个网关上打开同一个地址。网关有几百个，分属不同国家的不同人，没有一个是我们的。内容必须一字不差地一致：Arweave 里的交易地址本身就是数据的指纹，被替换过的文件根本不会按这个地址被交付。

第三步。 核对日期。文件里有签发日期字段，而网络另外会告诉你这条记录落在了哪个区块里。文件里的日期是我们写的；区块编号是网络固定下来的。如果我们在文件里倒填日期，这个出入所有人都看得见。

第四步。 如果你核验的是自己的文件，就算一遍自己邮箱的 sha256，与指纹比对。

走完这四步，任何东西都不取决于我们了。我们没法给你看一个版本、给别人看另一个版本：文件只有一份，而且不在我们手里。

为什么需要一个展示页面

文件不用网站也能读——但读出来是文件的样子。带花括号和英文字段名的那些行，开发者看得懂，其他人几乎都看不懂。把这个拿给人看，就等于不递护照而递一张数据库打印件。

所以我们有一个 /passport/<地址> 页面。它从网络取来文件，据此画出一张证件：全息条、国徽式印章、照片边框、VERIFIED 标记、证件字段、指纹纹样、底部的机读区和二维码。二维码指向这同一个页面——这是"来验我"的码，不是"给我转钱"的码。

重要的是这个页面不是什么。它什么都不保存。每一次它都重新向网络的网关请求文件——如果第一个没有应答，就去找第二个、第三个，免得别人的故障看起来像是"护照不存在"。页面在物理上无法修改文件：它是读者，不是主人。如果明天我们所有的网站都消失了，文件仍在原处，仍可按交易地址读取——只是没有边框和印章而已。

昵称被永久占用

普通的服务在删除账号之后会把名字放回流通：位置空出来了，让下一个人用。对我们来说不能这样。

昵称写在文件里，文件躺在区块链上，从那里拿不出来。把空出来的名字给一个新的人，就等于在一条永久记录里造出同名的两个不同的人——十年之后没有人分得清谁是谁。

因此删除账号时，名字不会随之消失，而是转入一份单独的"已占用"清单——并且保持被占用状态。选昵称时的占用检查也会查这份清单。人走了，他的数据被抹掉了，而名字仍然属于他。

你在真实链接里会看到什么

[马克西姆·加拉京（Maksim Galatin）的护照](https://www.codeofdigitaleternity.com/passport/mGLTBEbJM01kbau_sgSLboLzNmZOWwWflbdZiBXUCNM) —— 一张证件，编号 CE-378E447D，签发日期 2026-08-08，等级 Digital DNA，昵称 @maksimgalatin，附有 Telegram、X 和网站的链接。下面是"关于自己"区块、宣言"CODE KOAN"，以及有两行内容的机读区：SUBJECT（指纹）和 TX（交易地址）。

[Fil 的护照](https://www.codeofdigitaleternity.com/passport/tU82S6VwyX3I4yAGSn_M95o-Cap-sc2QrY_wR_YRq6M) —— 编号 CE-6495FB95，昵称 @fizikfil，日期相同。这里能看到字段未填写时证件是什么样子：介绍和宣言的位置是"记忆卷轴"，资费名称的位置写着 Eternal Member。

这两个地址在 codeofdigitaleternity.com、aifa.digital 和 aifa.works 上打开的效果是一样的。而如果把交易地址接在 https://arweave.net/ 后面，你会看到源头——那两张证件都是由这个文件画出来的：

https://arweave.net/mGLTBEbJM01kbau_sgSLboLzNmZOWwWflbdZiBXUCNM

第四章。边界：这份文件不做什么

关于一份文件，知道它不给什么，往往比知道它给什么更有用。对数字护照来说尤其如此：它看起来像一份身份证件——版式、国徽式印章、VERIFIED 标记、底部的机读区。外观会带来它承受不住的期待。所以边界要直说，不打折扣。

它不是国家发的，也没有任何法律承认

没有任何国家、部门、银行或大学有义务看它，也不会去看。它不能代替护照、驾照、签证、学位证、出生证明。凭它不能过境，不能开户，不能登记结婚，不能入职。

给文件以承认的是法律，不是网络里的记录。国家建设自己的数字身份走的正是这条路——如第二章讲过的 eIDAS 2.0：那样的文件背后有接受它的义务，而我们的文件背后只有数学和记录的可读性。

它不证明你就是你

这里是最主要的误会，值得慢慢拆。

"证明身份"意味着：某个有权限的人核验了此人和他的证件，并以自己的责任担保：站在你面前的正是他。这件事我们不做——签发文件时不做，之后也不做。

"固定一条记录的存在"意味着另一回事：在某年某月某日，网络里写入了一份文件，其中昵称是这个、指纹是这个、字段是这些。可以核验的是：这条记录存在，并且自那以后没有变过。不可核验的是：站在它背后的，是"姓名"字段里那个人。

不能在两者之间画等号。文件担保的是时间，不是身份。它回答的是"写了什么、什么时候写的"，不是"这是谁"。

关于指纹另说一句。如第三章所述，它把地址挡在了外人的目光之外，但没有让记录变成匿名。监管者正是这样理解哈希的——把它当作假名化而非匿名化，哈希后的数据仍然属于个人数据。指纹防的是随手读到，防不住一个已经知道你邮箱、想要确认猜测的人。

作为对照：在成熟的 W3C Verifiable Credentials 2.0 模型里，撤销和暂停被内建在构造之中——为此有一份单独的规范 Bitstring Status List v1.0。我们这里在构造上就没有撤销。这是一次取舍，不是一处未完工。

记录不能撤销，而这在两个方向上都成立

人改主意了：退出了项目，改了名字，与自己三年前的宣言分道扬镳。

我们能做的： 把文件从我们网站的展示位上撤下，把它与账号解绑，帮助签发一条新的记录，说明旧的那条不再代表这个人。

我们不能做的： 从网络里删除记录，改动其中哪怕一个字符，或者撤销它。不论是应本人请求，还是出于我们自己的决定，还是应任何人的要求。能取消它的那把钥匙，谁手里都没有。

被遗忘权在这里与不可篡改性正面相撞。GDPR 第 17 条赋予个人要求删除的权利——例如当数据对收集目的不再必要时，或者当同意被撤回时。这项权利不是绝对的：同一条的第 3 款列举了例外——表达和信息自由、履行法律义务、公共利益中的存档和科学研究、法律主张的抗辩。但这份清单里没有"我们技术上不方便"这一项。

监管者如何看待这一冲突：

• CNIL（法国），2018 年指引：个人数据放在链外，链上只放假名化标识符或哈希，而删除通过销毁密钥或销毁链外关联来实现——此时记录不再可读。
• EDPB（欧洲数据保护委员会），Guidelines 02/2025：2025 年 4 月通过，2.0 版本为 2026 年 7 月 7 日。立场更严：不要把个人数据写入链上，明文不行，加密不行，哈希也不行；删除方案应在选择技术的阶段就想清楚，而不是收到请求之后。

中国的框架在这一点上给出了一个值得并排放着看的答案。《个人信息保护法》第四十七条列出了处理者应当主动删除个人信息的情形：处理目的已实现、无法实现或者为实现处理目的不再必要；停止提供产品或者服务，或者保存期限已届满；个人撤回同意；处理者违反法律、行政法规或者约定处理个人信息；以及法律、行政法规规定的其他情形。处理者未删除的，个人有权请求删除。而同一条还有一句对本文尤其要紧的补充：如果法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，处理者应当停止除存储和采取必要的安全保护措施之外的处理。

这一句在法条层面承认了一件事：确实存在删不掉的情形，而法律为此规定的是替代动作——停止进一步处理，只保留存储和必要的安全保护。它并没有把"技术上难以实现"变成免责金牌：主动删除的义务仍在，只是在物理上做不到时，义务转化成了别的形式。对一条写进开放网络的记录来说，这个转化能覆盖的部分很有限——我们可以停止在自己的网站上展示、停止关联、停止任何进一步的处理，但我们无法让网络忘记。也正因如此，我们不把数字护照说成"数据库里的一条记录"。

这对我们意味着什么，不作自我辩解。邮箱不进链——这恰恰是被推荐的解法。但昵称、姓名和指纹在链上，而按监管者的理解，哈希也是个人数据。所以诚实的框架是这样的：数字护照是一次出版，而不是数据库里的一行。最接近的类比不是个人中心里的一条记录，而是一本印了一版、散进各家图书馆的书。印数是收不回来的。护照因此才被设计成一个单独的、有意识的动作，而不是注册时自动发生。

数据里的错误会永远留着

姓名里的错别字、写错的日期、一年后你会弃用的账号链接、凌晨三点写下的宣言——一切都会以进入网络时的样子凝固。改不了。可以签发一份新文件，那时两个版本会并存：带错误的旧版和不带错误的新版。

资费等级也是文件的一个字段，它固定的是签发那一刻的状态。你从 Spark 升到 Digital DNA，先前那条记录里的等级会永远是原来那个。

结论只有一个：签发之前，把所有字段念出声来读一遍。姓名、昵称、介绍、宣言、每一个链接。这是还能改动的唯一一分钟。

失去账号访问权限并不改变任何事

忘了密码、丢了邮箱、删了账号——这些都与文件无关。它已经不在我们的控制之内，而恢复个人中心的访问权限也不会带来对它的支配力：即使登录进去，也不能重发、编辑或隐藏它。

删除账号之后，昵称仍然保留给这个人。这既是保护也是限制——即使你请求，我们也没法把这个名字"腾出来"给别人。

平台账号的逻辑是相反的，值得放在旁边作对照：例如 Google 对已停用的账号最多受理两次申诉，此后账号保持停用状态并连同全部内容进入删除流程。我们的文件不能这样被拿走——但也不能把修改它的权利拿回来。

如果 Arweave 本身消失了会怎样

那里的存储靠的不是承诺，而是第三章描述过的经济构造：一次付款，较小的一部分覆盖最初约 200 年，较大的一部分进入基金。其基础是一个假设：数据存储成本每年至少便宜 0.5%；而从历史上看，过去半个世纪它下降得要快出许多倍，所以余量留得很大。

但这是一个押注，不是物理定律。风险如实列出：

• 存储持续变便宜的假设可能不成立，基金的投资也可能不顺利；
• 基金以网络代币计价，而汇率是波动的：今天绰绰有余的一笔钱，一年后可能只值几分之一；
• 矿工没有义务什么都存：各家有各家的内容策略，某个具体文件的留存取决于副本的数量和保留它们的经济动机；
• 数据访问要经过网关，而 arweave.net 在历史上曾长期是唯一的这样一个接入点——独立网关网络 ar.io 正是因此而出现的。

由此得到一条实用建议。"永远"意味着"只要网络的经济还撑得住"，而不是"在任何情况下"。文件是一个很小的 JSON：把它下载下来，自己留一份。如果这个网络有一天不复存在，内容你还留着——只不过随网络一同消失的，还有当初做这一切的目的：独立地确认这条记录正是那时写下的，而且自那以后没变过。

我们为什么仍然认为这份文件有用

因为它有一个性质，是社交网络账号、平台主页、乃至自有域名上的页面都不具备的：它无法被取消。我们不能，审核员不能，平台所有者不能，明天买下这个平台的人也不能。上面列出的一切都是为这个性质付出的代价，而这个代价值得睁着眼睛去付。

这份文件不说"这个人是他自称的那个人"。它说的是："在 2026 年 8 月 8 日，存在过一个昵称如此、指纹如此、宣言如此的记录"——而且只要网络还能读，它就会一直这么说，不管我们、我们的网站、乃至这个人本身发生了什么。

第五章。它在实践中有什么用

护照有五种今天就能用的用途，以及一条清晰的边界，越过它就没用了。两边都讲——从最有争议的一种开始。

在先性的证据

场景。你想出了一个表述：产品的名字、宣言里的一段、服务的运作方案。半年后，几乎同样的东西出现在另一个人那里，而你只能事后去证明。截图不管用——它的日期取自你自己的电脑。

写进 Arweave 的记录能部分地了结这场争论。交易进入区块，区块有时间，而事后补写是不可能的——区块之间的咬合方式第三章讲过。从这一刻起，这段文字有了一个日期，为它负责的不是你的笔记本电脑。

它和公证有什么不同。俄罗斯的公证员能做的正是同一件事：依据《公证立法基础》第 102 条和第 103 条，他可以保全证据，其中包括查看网页并固定该页面在某个时刻的内容；这样的笔录在向法院提交时不受期限限制。同一件事也有技术版本——RFC 3161 标准的时间戳：认证中心用自己的密钥为你文件的哈希签名。

法院对这类记录的态度各不相同。在中国，最高人民法院于 2018 年 9 月允许杭州、北京和广州互联网法院采信经区块链、哈希值和时间戳确认的证据。三年之后这一做法被推广到了全部法院：2021 年 8 月 1 日起施行的《人民法院在线诉讼规则》第十六条规定，当事人作为证据提交的电子数据，经区块链技术存储并经技术核验一致的，人民法院可以认定该电子数据上链后未经篡改，但有相反证据足以推翻的除外。这条规则的边界写得很克制，也正好说明了本文的要点：推定只覆盖"上链之后"。链上没被改过，法院可以推定；至于上链之前那份数据本身是真是假，规则不作任何担保。这与我们对自家文件的说法完全一致——它固定的是时间，不是内容的真实性。

在欧盟，第 2024/1183 号条例引入了合格电子登记簿的概念：其中的记录获得完整性和时间顺序正确性的推定。我们的记录不属于这个定义——这样的登记簿由经认证的提供者维护，而不是由公共网络维护。

而这就是极限所在。记录只证明一件事：这份带着这些字段的文件，在不晚于某一时刻就已经存在。它不证明你是作者，不证明你是世界上第一个，也不证明你没有抄别人的。可能有人更早想到了同样的东西而没有发表——护照对他只字不提。而权利本来就与记录无关：按《伯尔尼公约》（182 个缔约国），著作权在作品创作完成时产生，无需登记，也无需任何手续。记录不创造权利。它只在日期这一件事上帮忙——而且只在这一件事上。

一张能熬过平台更迭的名片

场景。你把指向自己的链接给出去——写在简历里、邮件签名里、名片上、演讲稿里。三年后这个链接指向了虚空。

这不是悲观，这是量出来的。皮尤研究中心在 2024 年 5 月发现：2013 至 2023 年间存在过的网页中，有四分之一到 2023 年 10 月已经无法访问；而 2013 年的网页中消失了 38%。最常见的情形是网站还活着，具体那个页面被删掉了。整个平台也会消失：Vine 于 2017 年 1 月关停，档案在 2019 年前被清除；面向消费者的 Google+ 连同全部资料于 2019 年 4 月 2 日被删除；自 2023 年 12 月 1 日起，Google 会删除两年未登录的个人账号——连同邮件、云盘和照片一起。

护照的地址不取决于上面任何一个决定。它不属于平台，也不属于我们：只要 Arweave 网络还在，凭这 43 个字符，任意一个网关都会把文件交出来。

如实说明一句：文件的字段同样凝固了。换了 Telegram——护照里留下的还是旧昵称。所以在网站字段里，更明智的做法是填一个你自己掌控的域名：域名可以做跳转，别人平台上的账号不能。

给后人的确认

场景。2090 年。曾孙知道你的名字和几个故事。账号早已不存在，装照片的云盘随着公司一起关闭了。

从你这里留下的是 43 个字符。凭它，他打开文件，看到你自己是怎么描述自己的：姓名、昵称、关于自己的一小段文字、宣言、日期。不是转述，不是别人出具的说明——是你自己的措辞。

要让这个奏效，地址得用人能传的方式传下去：写进遗嘱、打印出来放进证件里、写在照片背面、刻下来。它只占一行，而且不需要密码——意义全在这里。

紧接着就是边界。文件不确认写下的内容是真的。它确认的是：一个昵称如此、指纹如此的人，在某个日期存在过，并且关于自己写下了这些。就体裁而言，它更接近一则日记，而不是一份档案证明——只不过是一则带着可靠日期的日记。

丢了账号之后的重建

场景。Telegram 被盗了，X 上莫名其妙挨了封禁，绑定了一切的邮箱进不去了。你注册了新账号，而每一个熟人的第一个问题都是："这真的是你吗？"

护照在这里起的是汇合点的作用。你在新的个人资料里放上记录地址的链接；记录里能看到哪些昵称曾经是你的，从哪一天开始。认识你的人把两边对上：一样的联系方式，一样的宣言，日期早于事故。冒充者得拿出一份日期相同的记录，而他没有。

关于限度，如实说：护照不会把账号还给你，不会影响平台的决定，也拦不住别人在另一边注册一个相似的昵称。这是给人看的论据，不是开门的钥匙。

给社群用

场景。一群共同作者、一个游戏公会、一个项目的参与者圈子。需要把成员构成展示出来，而且核验时不必去找组织者。

一份地址清单就解决了问题：每个成员一条链接，任何人都能直接从网络里读取文件。没有人在维护名册，也就没有人能把它弄丢、按心情编辑，或者随网站一起关掉。组织者走了，清单还在每个人手里。

诚实的对比：第二章讲过的去中心化标识符标准解决的是另一个问题——那里有密钥、有身份认证，还有密钥轮换。我们的护照不含密钥，凭它哪儿也登录不了。它是展示窗，不是通行证。

哪些地方帮不上忙

我们不核验这个人是不是他自称的那个人。我们固定一个事实：某个昵称、某个指纹，在某个日期存在过。其余的都是读者的解读。

如何签发自己的

不需要资费。任何登录了个人中心的人都可以签发：Spark、Family Archive、Digital DNA，或者根本没有资费。等级会作为单独一个字段写进文件——没有资费的话，那里会是零。

第一步。填写草稿，在个人中心的护照标签页。字段及其限制：

草稿想改多少次都行。只要你没按签发，网络里什么都不会有。

第二步。签发前检查。 清单不长，但值得全部走一遍：

• 昵称——逐个字母重读一遍：它会永远跟着你，而且即使删除账号也不会发给别人；
• 姓名——用你希望留下的那种写法；
• 宣言——念出声来；文字会比你活得久，而错别字也一样；
• 链接——每一条都打开，确认它们能用，而且是你的；
• 照片——二十年后拿出来也不觉得难为情的那一张；
• 邮箱——指纹正是从它算出来的；它不会进入文件，但绑定是绑在它上面。

第三步。按下签发。 网站会再确认一次："护照将被永久写入 Arweave 区块链。数据将无法更改。是否继续？"这是唯一的回头点。

第四步。保存地址。 写入之后，你会拿到那 43 个字符。用两种方式核验文件：在我们任意一个网站上的 /passport/<地址> 页面，以及直接访问 https://arweave.net/<地址>——第二种更重要，因为它表明这条记录离开我们也活着。

签发按钮在第一次按下之后就永远熄灭。同一个账号不会有第二本护照：系统会把原来那个地址返回给你，而不是创建新的。字段里的错误改不了——我们改不了，你也改不了。所以第二步要花五分钟，而不是三十秒。

第六章。问与答

下面是被问得最多的那些。

这和 NFT 有什么区别？

NFT 是一条关于所有权的记录：它可以卖、可以送，也会随钱包一起丢失。大多数 NFT 的数据本身并不在区块链里，而在一个链接后面——链上存的是一个指针，当那一侧的服务器死掉时，代币就只剩一个壳。护照的构造不同：进入网络的是整份文件，而对它并不存在所有权——只有发布这个事实。它买不到，也不能转到另一个地址。交易市场可以在自己那里把一个系列藏起来——而这份文件根本没有交易市场这样的展示位。

这不就是互联网上的一个 JSON 文件吗？价值在哪儿？

价值不在文件，而在于没有人能事后改写它、也没有人能把它拿走。普通文件只活到有人还在付主机费、并且还没改主意为止；第五章引用的皮尤研究中心的测量，说明了十年之后这会变成什么样。这里只付一次钱，此后文件既不依赖我们的域名，也不依赖任何人的心情。

谁能拦住别人用他人的名字签发护照？

没有人。任何人都可以不通过我们，把一份写着任意姓名的文件写入 Arweave——网络是开放的，这是它的属性。所以记录本身并不是身份的证明，我们也不这么称呼它。我们的签发给出的是：文件中的签发网站地址、注册时经过确认的邮箱的指纹，以及日期。可核验的不是"这个人是张三"，而是"在某个日期，某个昵称有某个指纹，并且这条记录是我们做的"。在我们的系统内部，别人的昵称是占不到的——它被永久占用；而在别处的记录里写上别人的姓名是可以的，技术拦不住。

护照本身能被伪造吗？

已发布的文件改不了：交易地址下躺着的正是写入的内容。能伪造的是别的东西——做一个相似的页面，在上面想画什么画什么，包括印章和 VERIFIED 标记。所以核验不该看漂亮的页面，而该看地址：https://arweave.net/<地址> 会显示原始文件。/passport/ 页面只是外观。

如果我想删除自己的护照呢？

做不到。找客服不行，走法院不行，找架构师也不行——删除机制在任何人手里都不存在。可以签发一份新文件，把旧的视为过时，但旧的仍然可读。这一点要在签发之前想明白：宣言里只值得写你准备与之长久共处的内容。

如果你们的项目关闭了呢？

文件会活得比项目久。/passport/ 页面会随网站一起消失，而记录会留在交易地址那里。现在就可以验，不必来找我们：https://arweave.net/mGLTBEbJM01kbau_sgSLboLzNmZOWwWflbdZiBXUCNM——那里是裸的 JSON，我们的服务器不在这条链路上。这是整个系统里唯一一个与我们死活无关的部分。

如果 Arweave 不复存在了呢？

那文件也就没有了——诚实的回答就是这样。网络的经济学及其薄弱之处在第四章讲过；简而言之：这是一个押注，押的是存储会继续变便宜，而不是一份保证。只不过这个押注比按月付账的主机要长。合理的保险是：把自己的 JSON 下载下来，留一份副本。

为什么是邮箱的指纹，而不是邮箱本身？

因为一个明文地址放进永久记录，就是送给垃圾邮件发送者的礼物，而且无权撤回。指纹（sha256）解决的是一件事：知道自己邮箱的人算一下哈希，就能确认这份文件是自己的。反向计算是无法从指纹还原出邮箱的。

那就是说，靠指纹找不到我？

找得到，如果对方知道要找什么。不加盐的 sha256 是确定性的：拿一个猜测的地址，算哈希，比对。手里已经有你的邮箱、或者有一份地址名单的人，会去查这些护照里有没有你的。监管者正因如此才把哈希后的邮箱归入个人数据，而不是匿名数据。指纹防的是随手采集地址，防不住有目标的核对——说成别的样子就是撒谎。

我可以签发多本护照吗？

同一个账号，签发按钮只生效一次。你以后仍然可以把新文件写入网络——每一条记录都是独立的，有自己的日期，先前的并不作废。重发的意义在于更新介绍、宣言或链接：新文件成为当前的，旧的成为历史。反面是：会积累出一条公开的修改年表，而其中不满意的那一版是抹不掉的。

外人能看到什么？

正是你填写的那些：姓名、昵称、介绍、宣言、链接、资费等级、签发日期、签发网站地址和指纹。文件里没有邮箱。与 AIfa 的对话与护照无关——记忆是单独加密的，不会进入文件。这是一个公开页面，不是个人中心。

既然可以直接在社交网络发一条帖子，何必这样？

帖子只活到平台认为它该活着为止。第一章描述的那位旧金山父亲的案例说的就是这件事：人没有违反任何规定，决定由算法作出，而随账号一同离开的是邮箱、多年的照片和电话号码。护照保护不了你的账号，也找不回照片；它只是不在任何人的权力之下。Arweave 里的记录没有可以投诉的审核员——也没有谁能把它撤下。

有谁承认它吗？

没有。这不是国家签发的文件：它不能代替护照、驾照或签证，不给任何访问权限，也没有法律效力。被承认的体系是另一种造法——那里身份背后站着国家，接受该文件的义务由法律写明。我们的任务小得多：固定下来，一个人和他的话，在某个日期是存在的。

这和 W3C DID、可验证凭证有什么区别？

那边考虑到了我们没有的东西：字段的选择性披露、签发者签名的核验，以及最重要的——撤销；Bitstring Status List 给出了把一份凭证标记为已撤销的标准做法。在成熟的体系里，撤销被视为必备功能，而我们这里是有意不做。工具不同：凭证回答的是"这件事现在是否有效"，我们的文件回答的是"这件事当时是否存在"。

如果我换了昵称或邮箱会怎样？

旧文件不会变：里面永远是原来的昵称和原来的指纹。新的记录会固定新的数据和日期；两者之间的联系从签发年表里看得出来，而不是写死在文件里。昵称不会被释放：即使删除账号，它也不会归别人。

护照能继承吗？

没有可以转让的东西：它不是财产，也不是钥匙，过户不了。可以继承的是"能够出示"这件事。43 个字符的交易地址能写进遗嘱、写在一张纸上、放进家庭档案；五十年之后，继承人既不需要我们的网站，也不需要任何许可——只需要地址和任意一个网关。

它能活多久？

网络活多久，它就活多久。存储的付费是按至少两百年往后测算的，但我不会承诺两百年：这样的期限没有哪一种介质、哪一家机构用实践证明过。更合理的比较对象不是永恒，而是身边的东西：域名要每年续费，账号系于别人的决定。

如果我根本不打算给谁看，要它做什么？

也许确实不需要。如果你在意的是"自己说过的话不取决于别人的决定"，那才有意义：一个想法上的日期、一份宣言、一个"我曾经在，并且这样想过"的事实。除此之外，护照不会让工作更快，不会给折扣，也不会打开网站的哪个板块。

结语

一份谁都无法撤销的文件，很容易被误认为是对权力的主张。并非如此。撤销永远是某个人说"名单上没有你了"的权利：平台的、部门的、算法的。Arweave 里的记录不给任何人凌驾于他人之上的权力：它不打开任何门，也不让任何人负担任何义务。它只做一件事——把你存在的这个事实，从别人的决定之下挪出来。

代价是对称的。没有人能抹掉你的记录——你自己也不能。没有人能改写你的宣言——你自己也不能。第四章里作为限制描述的一切，都不是一份未完工清单，而是那唯一一个有用性质的反面。

如果还是决定要做——三步。

1. 草稿。 姓名、昵称、介绍、宣言，以及 Telegram、X 和网站的链接。这些都会完整地、永久地进入记录。资费等级会按签发那一刻的状态固定下来；签发本身并不要求有资费。
2. 念出声读。 逐字重读每一个字段，打开每一条链接。这是还能改动的最后一分钟。
3. 签发。 保存好交易地址：这 43 个字符就是你的文件。核验两遍——在 /passport/<地址> 页面上，以及直接在网络里 https://arweave.net/<地址>。第二种方式更重要：它离开我们也能用。

而要看看成品是什么样，可以打开两份真实文件：马克西姆·加拉京的护照 和 Fil 的护照。两份不用我们的网站也能读——凭交易地址，从开放网络里，任何人，任何时候。