一份没有开关的证件

随手挑一份能证明你的文件，问它背后站着谁——同一个答案顺带交代了谁有权收走它。护照由国家吊销。帐号由公司依自家草拟的条款关停。域名可能因注册机构、法院或侦查部门的一纸决定而易主。认证标记会在平台改政策的那天不见。这些情形差在期限与程序，不差在结构：凭证并非一件物品，而是别人替你维持着的一句断言；维持的人一旦不再开口，手里剩下的就是一张图。

关停帐号的权利，公司写得坦然。谷歌为自己留了这几种情形下的停权与删号：实质性或反复违约、法律另有要求、用户行为带来损害或法律风险；同时承诺提前告知，限定语是「在合理可行的情况下」。YouTube 的写法与之同宗：若认为某种行为危及用户、危及外人或危及公司自身，可以掐断部分乃至全部服务。两段文字里作判断的都是一方，另一方只被告知结果。

2021 年 2 月。旧金山和休斯敦各有一位父亲，应医护要求给自家幼儿身上的炎症拍照，供远程看诊之用。照片自行进了云端，算法把它读成儿童受虐材料；公司通知了执法部门，却没通知当事人，其中一位的整份相册也被翻过。两地各自查完，都没查出犯罪。帐号依旧没有恢复：邮箱、照片、视频一并失去，有一位连手机号也没保住。这段经过由 Kashmir Hill 写在《纽约时报》上，法律层面的梳理来自 EFF，时间是 2022 年 8 月。警方给出的无罪结论在这里使不上劲，因为出具它的人手里没有开关。

2025 年轮到 Meta 旗下的平台：英国广播公司数出数万起误封投诉，五百多人自己写信到编辑部，一份就大规模关停和无人受理而发起的请愿收到两万五千多个签名。记者按个案发问之后，一部分帐号回来了——这等于说，管用的申诉门路是一家大媒体，而这门路几乎没人够得着。另有两次关停与过错无关：2023 年 4 月 20 日，凡在易主前于推特完成认证者，蓝色标记统统消失，此标记转为付费订阅的凭据，当时在美国网页端每月八美元；Google+ 于 2019 年 4 月 2 日对普通用户关闭；Skype 在 2025 年 5 月 5 日停运，聊天与通话记录留到 2026 年 1 月还能取。

证件之争由出具方裁断，这是同一套结构的直接后果。往下就是算术：判断出自自动系统，因为人力吃不下这个量；有多少判断就有多少申诉，于是申诉同样落进自动系统；闭环合拢，系统在检查自己。给个尺度：一个被停用的帐号，谷歌最多看两次申诉，此后它就停用下去，并连同内容进入删除。欧盟的《数字服务法》要求平台把自己的处置讲清楚、标明哪些出自自动化、写明可走的申诉路径，这些说明会汇进一个公开的透明度库。这一步确有分量，方向却朝内：出具方那侧的程序变好了，对出具方的依赖仍在原处。

去中心化标识符标准由 W3C 在 2022 年 7 月 19 日批准：照它自己的说法，这类标识符用不着中央签发机构，还能在不同服务商之间带走。批准是压着正式反对意见通过的——谷歌主张至少等三种成熟「方法」出现再说，Mozilla 则认为实际互操作性没有得到展示，而规范把事情统统托付给了一份收录约五十种方法的注册表。反对被驳回，却谈不上被化解；1.1 版在 2026 年 3 月 5 日以候选身份面世，到八月依旧是候选。凭证格式那一边，Verifiable Credentials 2.0 在 2025 年 5 月 15 日一口气以七份文件成为推荐标准，其中就有管撤销的 Bitstring Status List 1.0。标准没有取消对出具方的信任，只是把它形式化；何况状态列表还把一部分旧依赖还了回来——撤销既由出具方维护，就得再找他一趟。

欧洲的钱包走的是同一条路。第 2024/1183 号条例自 2024 年 5 月 20 日起适用，要求 27 个成员国的公民各自至少能拿到一款；期限从 2024 年 11 月底的实施细则算起，通行的算法给出 2026 年 12 月 24 日。那里的查验排成一串签名：先是文件，再是国家信任清单里的签发方，再是收进 LoTL 的那份清单，最后是委员会的签字。国家不再是人们带着请求跑去的地方，却仍旧是「该信谁」的出处。各国进度参差：德国报的是 2027 年 1 月 2 日，荷兰放话说赶不上，马耳他打算先上一部分功能。

换到中国这一侧，信任根落在谁那里

中国的路径把「国家即信任根」推到了最彻底。手机实名自 2010 年 9 月 1 日起落地；《网络安全法》在 2016 年 11 月 7 日通过，把真实身份要求抬进基本法律；《区块链信息服务管理规定》自 2019 年 2 月 15 日施行，其第八条直接压在本文的技术地带上——服务提供者须凭身份证件号码、移动电话号码或组织机构代码为使用者做真实身份认证，不认证便不得提供服务。2025 年又叠了一层：六部门联合印发的《国家网络身份认证公共服务管理办法》于当年 7 月 15 日施行，推出网号与网证，由持法定有效身份证件的自然人自愿申领；不满 14 周岁须监护人同意并代办，14 至 18 周岁须监护人陪同。到施行满一年、即 2026 年 7 月，公开报道给出的数字是申领约四千万人、接入的应用与小程序及网站五百三十多个、累计认证约 2.8 亿次。技术上更近一步的是 RealDID：2023 年 12 月 12 日由公安部第一研究所与区块链服务网络推出，用户过了姓名、人脸与证件三关之后，可自行生成任意多对公私钥去各平台注册。它处理的是平台看不见你，而不是签发方管不着你——信任根照旧在国家手里。

护照本身是一份用记事本就能打开的普通 JSON。它一次性进入 Arweave，拿到一个 43 字符的交易地址；该地址既当链接又当校验和，因为换一组字节就会得出另一个地址。里面装着姓名与昵称、简短介绍与宣言，指向 Telegram、X 和网站的链接，资费等级，精确到秒的签发时刻，签发网站的地址，还有一枚身份指纹。邮箱不在文件里；在文件里的是它的 sha256。

这样替换的理由是算术性的：一条记录既公开又永久，两样凑在一起比各自单独出现都更凶险。明文地址会被头一个采集器拿走，而且没有地方能把它收回来；地址还是登录名的一半。指纹给持有人留了自证的路：拿自己的邮箱算一遍 sha256，比对那 64 个字符。它给不了匿名——已经在怀疑某个地址的人，会用同一条路验证猜想；不加盐的邮箱哈希早被当作化名，落在监管者眼里更算个人数据。它能稳妥给出的是另一件事：哈希值收不到信。

CE-378E447D 这样的编号同样没有人分配：把指纹的头八个字符改成大写即可。没有什么会走偏——既无计数器，也无搬库时会丢的对照表；二十年后谁都能从文件里把它重算一遍。八个十六进制字符约合 43 亿种组合：够在电话里念清楚，不够称它永远唯一。认这份文件靠的是另外两样：43 字符的地址，和 64 字符的完整指纹。

一次用不着出具方在场的查验

步骤是这样。把地址接在 arweave.net 后面打开，看到的应是源文件，不是带样式的页面。换一个与我们无关的网关再来一遍——网关有数百个，散在不同国家的不同人手里，被掉包的文件根本不会按这个地址送出。把字段里的日期与网络记下的区块编号对一对：倒填的日期会被所有人看见。再算一遍自己邮箱的 sha256。对一份活着的文件，网络回的是 block_height 1975726 与 number_of_confirmations 130 两行，后一个数字自己往上走，从不回头。

协议里压根没有「修改」这个动作，只有「写入」。姓名里的错字、指向一年后就会弃用的帐号的链接、凌晨三点写下的宣言、签发那天的资费等级——统统按照进网时的模样冻住。新版本可以再写一份，于是两份并存。昵称被永久占住也是同一条道理：帐号删了也不放回流通，否则一条永久记录里出现同名两人，十年之后谁也认不出来。

在这一点上，它与被遗忘权正面相撞。GDPR 第 17 条准许提出删除，第 3 款则列出何时提不动：法律主张的抗辩，公共利益档案与科学研究，公共卫生，法定义务的履行，表达自由。这几项里没有一项写着「我们技术上不方便」。法国 CNIL 早在 2018 年的指引中就主张把个人数据放在链外，删除靠销毁密钥来完成；EDPB 的 Guidelines 02/2025——2025 年 4 月通过，2.0 版落在 2026 年 7 月 7 日——更严，明文不认，加密不认，哈希也不认。由此得出的诚实说法是：这是一次出版，不是数据库里的一行。它最近的亲戚是一本印了一版、散进各家图书馆的书，而印数是不回收的。

它不是国家签发的：机关、银行、大学都没有义务看它，凭它过不了境，也开不了户。它不证明一个人就是他自称的那个人：记录是应本人申请发布的，而把写着别人姓名的文件塞进开放网络，任谁都做得到，且不必经过出具方。可核验的是另一件事：某个日期上存在过一条含有这些字段的记录，此后未被改动。成熟凭证体系内置的撤销，这里是有意不做——它是取舍，不是欠账。

用处窄，却真实。一个不由你的笔记本电脑背书的日期，在争先后时帮得上忙；不过依《伯尔尼公约》（182 个缔约方），著作权在作品完成的那一刻就产生，与有没有记录无关。链接比平台活得久：皮尤研究中心在 2024 年 5 月测得，2013 至 2023 年间存在过的页面，到 2023 年 10 月已有四分之一打不开，而 2013 年那批更是没了 38%。「永远」二字同样要加注脚，原文也加了：钱只付一次，小的一份给接收文件的人，大的一份进基金，测算依赖的假设是存储每年至少便宜半个百分点，基准两百年。这是押注，不是物理定律——基金以该网络的代币计价，矿工没有义务什么都存，访问还要经过网关。保险办法很朴素：把自己的 JSON 下载下来，手边留一份。

得有一个在用的资费：15 美元的 Spark 可发一份数字护照，100 美元的 Family Archive 每个帐号最多十份，1000 美元的 Digital DNA 最多一百份。只要还没按下签发，草稿改多少遍都行：昵称 3 到 32 个小写字符，姓名不超过 40，介绍不超过 280，宣言不超过 500，链接分别不超过 64 与 120，照片不超过 95 KB。签发之前把每个字段念出声——那是还能改动的唯一一分钟。按下之后按钮永久熄灭：同一个帐号不会有第二本，系统只会把先前那个地址还给你。

没有开关的代价是完全对称的。没有人能抹掉你的记录，你自己也不能。没有人能改写你的宣言，你自己也不能。上面列为限制的每一条，都是那个唯一有用的性质的背面；要接受，就睁着眼睛接受。