企业在做链上业务签名时，最常见的不是“能不能签”，而是“怎么放心签”。真实挑战通常落在四个维度：

• 私钥如何做到“永不出域”，同时仍能支撑业务系统稳定调用
• 签名是否可控：能限制什么、不能限制什么要可定义、可执行、可审计
• 一次签名请求是否可复盘：审批/拒绝原因、执行结果、失败定位要可追溯
• 业务系统如何低耦合接入签名能力：避免把 MPC/KMS 的差异扩散到业务侧

多方计算（MPC, Multi-Party Computation）提供了一条成熟的安全路线：通过分片与协作，让单点泄露无法直接导出完整私钥。更关键的是，MPC 只有在被产品化为“可控、可审计、可扩展”的闭环能力后，才能真正进入企业生产环境。

产品一句话

Trustivon MPC Sentinel 是面向企业内部部署的企业级 MPC（多方计算）签名平台，支持策略控制与审批流程，提供 API Key 安全下发与完整审计能力，让每一次签名都可控、可追溯、可审计。

为什么企业需要 MPC 签名平台

1. 安全边界：把风险从“钥在何处”迁移到“协作与校验”

传统签名往往把关键能力集中在单点。MPC 的价值在于：完整私钥不会落在单一系统中，攻击者即便控制某一侧，也难以直接完成签名。

2. 策略可控：让“签名动作”成为规则执行的最后一环

企业不需要“任何交易都能签”。平台需要在签名前先做确定性校验，例如：

• 允许/禁止的合约或程序地址（allowlist / denylist）
• 允许的函数方法（EVM selector）或指令类型（SVM discriminator）
• 单笔最大金额、是否允许原生交易
• 是否触发人工审批（进入 pending_approval）

这样，MPC 的协作过程只发生在“被规则允许”的请求上，降低误签与合规风险。

3. 审计可追溯：从“做了签名”到“解释为什么做了”

企业最终要的不止是签名结果，还要可解释与可追溯：

• 请求级审计落库：请求 ID、审批/拒绝原因、访问来源、最终状态
• 可查询状态机：pending / pending_approval / approved / rejected / failed
• 事后回放与定位：当出现异常时能快速定位链路与责任边界

适用场景（你可能正在遇到这些问题）

• 托管钱包与企业资金管理：需要更强的私钥安全边界与权限控制
• 合规敏感业务：审批流、留痕与审计是刚需
• 高价值资产操作：需要对地址、方法/指令、金额进行严格白名单与上限控制
• 计划把签名能力纳入风控运营闭环：需要统一 API、统一状态查询与统一审计模型

产品能力清单：MPC Sentinel 的“闭环能力”

入口鉴权与访问控制（入口层）

• API Key 校验、每 Key IP 白名单、速率限制（可选）
• 通过加密领取流程降低明文在传输与后台展示泄露风险
• 目标：保证只有被允许的系统/人能发起签名请求

策略引擎校验（签名前置层）

• 地址级：合约/进程 allowlist、denylist（黑名单优先）
• 指令/方法级：EVM 方法签名 selector / SVM 指令 discriminator 白名单
• 交易级：是否允许原生交易、单笔最大金额
• 审批级：触发 pending_approval，审批通过后才进入执行

协作签名与路由（计算/协作层）

• MPC 节点协作完成签名计算
• 与 KMS 并行支持：根据钱包类型/路由规则在平台内部选择合适路径

审计落库与状态查询（结果层）

• 请求级审计：请求 ID、审批/拒绝原因、访问来源等
• 状态查询接口：统一状态机，支持查询 pending / pending_approval / approved / rejected / failed

统一业务接入（业务层）

• 同一套 /v1/* 业务 API：MPC / KMS 按钱包类型在服务端自动路由，业务无需分叉签名逻辑
• 官方 Go SDK：封装 SignAndWait（一键等待）或分步提交 + 状态轮询；支持 NewClientFromEnv 快速初始化
• OpenAPI 联调：运行时提供 /openapi.yaml，并可通过 /api-docs 使用交互式文档；同时支持 API Key 加密领取等安全衔接

算法与链生态：覆盖 EVM 与 SVM

• secp256k1：对应 EVM 场景（如以太坊兼容链）
• ed25519：对应 SVM 场景（如 Solana）
• 同一平台内可同时服务多链：策略、审计与接入方式保持一致，扩展新链时负担更小

架构示意：从入口到协作区再到审计落库

把职责拆清楚，企业侧通常更关注两点：

• 管理层短暂不可用时，不影响已下发/已鉴权的签名调用
• 签名 API 层可横向扩展，提高可用性与稳定性
• 关键保障：签名不依赖管理后台在线，Backend 仅负责管理与配置，不提供 /v1 签名业务 API

为什么说这不是“原理证明”，而是“可上线的产品路线”

很多团队评估 MPC 时，容易把注意力放在“协作能不能算出来”。但企业生产环境要解决的是“能不能被管住”。因此 MPC Sentinel 将关键能力前置到产品结构里：

• 签名前：策略引擎把风险拦在执行之前
• 签名中：协作区只对已通过策略的请求执行
• 签名后：用状态机与审计落库实现可复盘与可运营

与 KMS 的关系：两条路径，统一一套业务接口

在企业签名体系里，MPC 与 KMS 经常是并存的：

• MPC 更适合安全边界强、合规审计要求高的场景
• KMS 更适合高并发、高吞吐的业务签名需求：密钥托管于 AWS KMS，并提供 5000+/s 的签名性能（平均间隔约 40ms）

关键是：业务系统只需调用统一的签名 API，平台内部按路由与钱包类型选择合适路径，减少业务侧复杂度。

部署与运维：企业内网的现实要求

如果目标是企业内网部署，通常会关注：

• API 层与管理层解耦
• 多实例部署与负载均衡、健康检查；异常节点可自动剔除
• 数据库用于状态落库与审计追踪
• 可用性优先：尽量让“管理不可用”不影响“已鉴权的签名能力”

当架构稳定后，再扩展协议或新增链类型会更从容，因为策略模型与审计模型具备通用性，差异集中在交易解析与规则映射层。

适合你下一步怎么做

如果你正在评估 MPC 企业签名基础设施，建议从三个问题开始对齐：

• 你要把哪些策略维度固化成可执行规则（地址/方法/金额/审批）
• 你需要怎样的审计粒度与状态机（请求级落库、可查询状态、失败定位）
• 你希望业务侧用什么方式接入（同步等待还是异步轮询，统一 /v1/* 接口）

如果你愿意，我们可以协助你梳理现有链/钱包接入方式、策略规则与审计合规落点。企业部署与授权方案咨询：admin@trustivon.com（邮件主题可写“MPC Sentinel 企业版咨询”）。你也可以先浏览我们的开发入口与资料：https://trustivon.com/mpc-sentinel。

官网：https://dashboard.trustivon.com/

Trustivon Validator 是一个功能强大的区块链验证者管理平台，专为 Trustivon 网络设计，提供直观、安全、高效的验证者节点管理和委托服务。该平台采用现代化的技术栈构建，支持多语言、响应式设计，适配各种设备，为用户提供最佳的使用体验。

核心功能

1. 验证者列表管理

• 实时展示网络中的所有验证者节点
• 显示验证者的关键信息：地址、佣金率、总质押量、个人质押量、状态
• 支持按不同状态筛选验证者（活跃、挖矿）
• 响应式设计，适配桌面和移动设备

2. 委托管理

• 一键委托 TC 代币给验证者
• 支持取消委托操作
• 提供重新委托功能，方便用户在不同验证者之间转移质押
• 实时显示可委托余额和可用奖励

3. 奖励领取

• 支持领取委托奖励
• 显示待处理的解除绑定记录
• 提供解除绑定周期倒计时
• 一键发起奖励领取

4. 验证者详情

• 查看验证者的详细信息
• 显示验证者的投票地址
• 支持复制验证者地址
• 提供验证者的状态变化历史

5. MetaMask 集成

• 无缝连接 MetaMask 钱包
• 支持钱包地址显示和管理
• 安全的交易签名机制
• 实时监听钱包状态变化

6. 多语言支持

• 支持英文、繁体中文、日文三种语言
• 动态语言切换
• 本地化的用户界面

使用指南

1. 连接钱包

1. 点击右上角的”连接钱包”按钮
2. 在弹出的MetaMask窗口中确认连接
3. 连接成功后，右上角会显示您的钱包地址

2. 委托操作

1. 在验证者列表中选择一个验证者
2. 点击”委托”按钮
3. 输入委托金额
4. 确认委托设置
5. 在MetaMask中确认交易

3. 领取奖励

1. 点击”领取奖励”按钮
2. 查看可领取的奖励金额
3. 确认领取操作
4. 在MetaMask中确认交易

4. 管理委托

1. 在验证者列表中找到您已委托的验证者
2. 可以选择”取消委托”或”重新委托”
3. 按照提示完成操作

优势和亮点

1. 安全性

• 基于MetaMask SDK的安全连接
• 所有交易都在用户钱包中签名
• 不存储用户的私钥或助记词
• 采用HTTPS协议传输数据

2. 用户体验

• 直观的界面设计，易于使用
• 响应式布局，适配各种设备
• 实时数据更新，提供最新信息
• 多语言支持，服务全球用户

3. 功能完整性

• 涵盖验证者管理的全生命周期
• 支持委托、取消委托、重新委托
• 提供奖励领取功能
• 详细的验证者信息展示

4. 技术先进性

• 采用现代化的技术栈
• 组件化架构，便于扩展和维护
• 类型安全的代码设计
• 优秀的性能表现

未来规划

1. 支持更多网络 ：计划支持主网和更多测试网络
2. 增强数据分析 ：提供更详细的验证者性能分析和统计
3. 移动应用开发 ：推出iOS和Android移动应用
4. 增强安全性 ：添加更多安全验证和提示
5. 社区功能 ：支持验证者和委托者之间的交流
6. 更多语言支持 ：添加更多语言选项

如何开始使用

1. 访问 Trustivon Validator 平台
2. 连接您的MetaMask钱包
3. 浏览验证者列表，选择合适的验证者
4. 开始您的委托之旅

系统要求

• 现代浏览器（Chrome、Firefox、Safari、Edge）
• 已安装MetaMask扩展
• 稳定的网络连接
• 少量TC代币用于支付交易手续费

结语

Trustivon Validator 平台为用户提供了一个安全、高效、易用的验证者管理工具，帮助用户更好地参与Trustivon网络的治理和质押。无论您是经验丰富的区块链用户还是初学者，都能轻松上手使用该平台。

加入 Trustivon Validator 生态，共同构建更安全、更高效的区块链网络！

本文将深入解析该新功能的技术背景、实现方式、应用场景及体验优势。

为什么 WAF 需要身份认证机制？

传统 WAF 更偏向于“流量防御”，而在云原生、多租户、远程办公等现代场景下，仅靠 IP 白名单、Token 并不足以支撑细粒度的权限控制。攻击面从公网扩展到了内部管理界面，WAF 本身的安全也亟需加强。
雷池此次引入身份认证体验，旨在：

• 限制未授权访问 WAF 管理后台；
• 统一认证入口，支持多种身份源；
• 提供良好的用户操作体验，降低安全门槛。

配置介绍

基础配置

雷池提供两种认证模式：简易认证和统一认证。

• 简易认证：即应用独立的认证体系，用户登录后仅可访问该应用
• 统一认证：即 SSO（单点登录），用户登录一次即可访问多个相关应用，无需重复登录。 参考 统一认证

高级配置

• 审批配置：支持选择是否进行授权审批
  • 需审批授权访问：用户首次访问此应用认证通过后会触发审批申请，需等待管理员审批通过后才可访问。
  • 认证后直接访问：用户认证通过后可直接访问应用，无需审批。
• 针对特定条件启用身份认证：支持选择满足时认证或满足时跳过认证

如何配置将用户认证信息传递给应用服务器？

• 用户认证成功后，雷池会重定向到以下地址，其中http://example.com/application是在应用配置的认证回调地址：

http://example.com/application?code=123456&redirect_uri=用户原访问地址

• 在雷池控制台 通用设置-控制台管理 页面找到 API Token ，获取 Token
• 应用在 认证回调地址 中实现用 code 来请求雷池的/.safeline/auth/api/user接口获取认证用户信息，code 只能使用一次

// 请求：

GET http://safeline-console.com/.safeline/auth/api/user?code=<span class="hljs-number" style="color: #2aa198;">123456</span>

X-SLCE-API-TOKEN: safeline-api-token

// 响应：

Content-Type: application/json

{
    <span class="hljs-attr">"code"</span>: <span class="hljs-number" style="color: #2aa198;">0</span>, // 0: 成功，非<span class="hljs-number" style="color: #2aa198;">0</span>: 失败
    <span class="hljs-string" style="color: #2aa198;">"msg"</span>: <span class="hljs-string" style="color: #2aa198;">"错误描述"</span>,
    <span class="hljs-attr">"data"</span>: {
        <span class="hljs-attr">"id"</span>: <span class="hljs-number" style="color: #2aa198;">1</span>,
        <span class="hljs-attr">"username"</span>: <span class="hljs-string" style="color: #2aa198;">"username"</span>
    }
}

• 应用成功获取到用户信息之后缓存登录信息，用于后续判断当前用户是否登录，然后重定向到 redirect_uri

雷池官网：https://waf-ce.chaitin.cn/

安装升级这种后勤工作交给NSetup，辅助您一路前行！

NSetup一键自动升级安装包制作
官方网站https://www.nsetup.cn

专业提供美化安装，增量升级，数据统计等服务

产品卖点

1.产品成熟

NSetup从2016年一直发布至今，不断收集客户需求和问题，逐步完善产品，使得NSetup成为Windows部署方面，安全稳定高效的解决方案。

2. 全部脚本源代码

方案包含全部产品脚本源码，代码高度整理，可自行二次开发和维护，兼容标准NSIS，方便查找资料

3. 永久授权

产品永久授权，终身免费升级，订单内问题终身免费售后

4.交易无风险

客户可提供自己真实项目，进行打包测试，测试满意后再进行付款，零风险

5.简单易用，功能强大

提供一键部署工具，首次配置完，以后一键完成所有操作，简化操作，避免人为错误
复杂设置界化，对于一些常规需求，可以通过NSetup项目设置进项修改，无需了解技术细节

6. 可自定义二次开发

界面基于DirectUI技术，支持动画，窗体特效等，可支持各种酷炫界面自定义开发

7.成员技术背景

成员大都来自国内头部软件公司，如金山软件等，拥有10年以上开发经验

部分服务客户展示

部分例子展示

更多可查看官网 https://nsetup.cn/html/products/

The following accounts need to be created before you can use eosio.system contract via cleos system newaccount to create accounts:

systemAccounts = [
    'eosio.bpay',
    'eosio.msig',
    'eosio.names',
    'eosio.ram',
    'eosio.ramfee',
    'eosio.saving',
    'eosio.stake',
    'eosio.token',
    'eosio.upay',
]

//创建系统预留账户
cleos create account eosio eosio.bpay EOS5iezVa6bsmvZ3HNxdqgyX6GFRMWzE7FsjS3cui8Foavxnj8CfR EOS5iezVa6bsmvZ3HNxdqgyX6GFRMWzE7FsjS3cui8Foavxnj8CfR
cleos create account eosio eosio.msig EOS8K1wkfCzPmxAjjfqvqw6zQ1Dbc82YsQyR8MmwNFLcRHcJtth89 EOS8K1wkfCzPmxAjjfqvqw6zQ1Dbc82YsQyR8MmwNFLcRHcJtth89
cleos create account eosio eosio.names EOS5ps938c5zj6UqhdCfssyAy7WSbHgfZoraqD6HrnbpmpEwPwX7S EOS5ps938c5zj6UqhdCfssyAy7WSbHgfZoraqD6HrnbpmpEwPwX7S
cleos create account eosio eosio.ram EOS7DA8jGA6HfZXYcGSGJNsWJL5Q6t5bWcvm4zNykN3Jw7tASzBCR EOS7DA8jGA6HfZXYcGSGJNsWJL5Q6t5bWcvm4zNykN3Jw7tASzBCR
cleos create account eosio eosio.ramfee EOS7R1Ds4zLMPN6onVXjL8XGgKHHCMWjLT7wn3bHcHnQX3dVLErjE EOS7R1Ds4zLMPN6onVXjL8XGgKHHCMWjLT7wn3bHcHnQX3dVLErjE
cleos create account eosio eosio.saving EOS4uDMpca1dAK7HZZRQ1SqWZHvJNnakzsSuTmM12crvzwRorwQcQ EOS4uDMpca1dAK7HZZRQ1SqWZHvJNnakzsSuTmM12crvzwRorwQcQ
cleos create account eosio eosio.stake EOS6BDfFaFZgvx889BQbdaGTMYSn5tUuxaynGQDhpDGD662eBGwkF EOS6BDfFaFZgvx889BQbdaGTMYSn5tUuxaynGQDhpDGD662eBGwkF
cleos create account eosio eosio.upay EOS7zS7sHctU54oD6is2oPfq11duCMSWfda3HXJAghSfqqr2BZZnV EOS7zS7sHctU54oD6is2oPfq11duCMSWfda3HXJAghSfqqr2BZZnV

查看php版本命令：

#php -v

下面的命令是删除不干净的

#yum remove php

因为使用这个命令以后再用

#php -v

还是会看到有版本信息的。。。。。

必须强制删除，使用下面命令查看全部php软件包

#rpm -qa|grep php

提示如下：

#php-pdo-5.1.6-27.el5_5.3
#php-mysql-5.1.6-27.el5_5.3
#php-xml-5.1.6-27.el5_5.3
#php-cli-5.1.6-27.el5_5.3
#php-common-5.1.6-27.el5_5.3
#php-gd-5.1.6-27.el5_5.3

注意卸载要先卸载没有依赖的

pdo是mysql的依赖项；common是gd的依赖项；
例如：# rpm -e php-pdo-5.1.6-27.el5_5.3
error: Failed dependencies:
php-pdo is needed by (installed) php-mysql-5.1.6-27.el5_5.3.i386

所以正确的卸载顺序是：

# rpm -e php-mysql-5.1.6-27.el5_5.3
# rpm -e php-pdo-5.1.6-27.el5_5.3
# rpm -e php-xml-5.1.6-27.el5_5.3
# rpm -e php-cli-5.1.6-27.el5_5.3
# rpm -e php-gd-5.1.6-27.el5_5.3
# rpm -e php-common-5.1.6-27.el5_5.3

再用

# php -v

查看版本信息已经没有提示

现在EOS社区的技术氛围越来越浓，许多大陆候选节点/华人参与的候选节点，都在积极参与社区的技术讨论。安全一直是讨论的重中之重。除了防DDoS，还有如何在节点之间安全传输数据，特别是主网刚启动的时候。

社区推荐了一个VPN–WireGuard。官网为：https://www.wireguard.com/

对于非技术人员，我希望能讲清楚它的特点和工作原理。对于技术人员，我会提供更多的安装使用细节。

WireGuard的特色，我觉得可以概括为三点：好友白名单，通信加密，非法请求过滤。

好友白名单：

只有相互加白名单，才能彼此通信。比如Bean要和EOS Cannon通信，一定要先互相加好友。

通信加密：

发出去的任何消息，都是通过对方的公钥加密，收消息方需要用私钥解密。

非法请求过滤：

非白名单的连接会被拒绝，解密失败的消息会直接丢掉。

官方提供了一个完整的发送和接收的例子：

当一个网卡A发送数据给B：

1. 如果一个数据包要发送给192.168.30.8（假如这是B的虚拟地址）。WireGuard先会看192.168.30.8是否已注册。如果未注册，数据包直接丢掉。

2.如果B已经注册，使用B的公钥加密数据包。

3.再看数据包要发送的外网真实地址和端口，如果和B的不匹配，则数据包直接丢掉。

4.以上检查完毕，发送数据包。

当一个网卡B收到A的数据：

1. 监听的端口收到数据包，准备解密。

2.用B的私钥解密，检查数据中包含的B的外网地址和端口，以确定是A发送给B的。

3.检查数据包中A的虚拟地址。

4.如果A的虚拟地址未在B处注册，则直接丢掉，接受该数据包

以下偏技术：

WireGuard在ubuntu上的安装步骤：

sudo add-apt-repository ppa:wireguard/wireguard

sudo apt-get update

sudo apt-get install wireguard

配置：

生成公私钥：

wg genkey | tee privatekey | wg pubkey > publickey

配置文件和内容：

[Interface]部分为本机的配置。Address为虚拟地址。

[Peer]为信任方的配置，可以有多个[peer]。PublicKey为peer方的公钥。AllowedIPs为peer方的虚拟地址。Endpoint为peer方的外网地址和wireguard监听端口。

启动：

ip link del dev wg0 && wg-quick up wg0

验证：

wg show

https://bihu.com/article/362924

$ nodeos --max-transaction-time=1000 --resync

$ cleos create key  # for eosio.token
$ cleos wallet import ...
$ cleos create account eosio eosio.token ...
$ cleos set contract eosio.token build/contracts/eosio.token
$ cleos push action eosio.token create '[ "eosio", "10000000000.0000 SYS", 0, 0, 0]' -p eosio.token
$ cleos push action eosio.token issue '[ "eosio", "1000000000.0000 SYS", "memo" ]' -p eosio

$ cleos set contract eosio build/contracts/eosio.system