设计一个跨机构清结算账本（多家银行、多国监管、没谁愿当中心方）：要在互不信任的几百个节点间，复制一份所有人都认账、谁也单方面改不了的交易历史。这和传统分布式系统是两种威胁模型——Day 5 的 replication 假设节点只会宕机（crash fault），这里却假设节点会主动作恶、伪造、合谋（Byzantine fault），且没有可信协调者。共识的本质从「让活着的副本达成一致」升级为「让一群可能撒谎的人达成一致」。
graph TD
C["客户端 / 钱包
私钥签名交易"]
MP["Mempool
待打包交易池"]
subgraph P2P["P2P 节点网络（gossip 广播）"]
V1["验证者节点
执行+共识"]
V2["验证者节点"]
V3["验证者节点"]
end
EVM["状态机 / 虚拟机
EVM · 确定性执行"]
LDG[("区块链账本
哈希链 + Merkle 树")]
OFF[("链下存储
IPFS / Arweave")]
C -->|①签名 tx| MP --> P2P
P2P -->|②共识选 leader 出块| EVM
EVM -->|③状态转移| LDG
EVM -.大对象只存 hash.-> OFF
V1 <-.gossip.-> V2 <-.gossip.-> V3
classDef client fill:#1a2530,stroke:#64c8ff,color:#e8eef5
classDef net fill:#0e2030,stroke:#5eead4,color:#e8eef5
classDef exec fill:#1a1a30,stroke:#ffb450,color:#e8eef5
classDef store fill:#2a1530,stroke:#ff7ab6,color:#e8eef5
class C client
class V1,V2,V3,MP net
class EVM exec
class LDG,OFF store
交易经 mempool 进入 P2P 网络 → 共识选出块者 → 虚拟机确定性执行得到新状态 → 哈希链追加。每个全节点重放所有交易独立验证，不信任出块者。
原理：拜占庭环境下达成一致需要「投票权稀缺」，否则攻击者能用海量假身份（Sybil 攻击）操纵投票。PoW 用算力当稀缺资源（解哈希难题，谁先解出谁出块）；PoS 用质押的资本当稀缺资源（按质押量加权随机选出块者，作恶则没收质押 = slashing）；BFT 类（PBFT / Tendermint）则在已知验证者集合内做两轮投票（pre-vote / pre-commit），凑齐 2/3+ 即确定性提交。
| PoW (Bitcoin) | PoS (Ethereum) | BFT (Tendermint) | |
|---|---|---|---|
| 稀缺资源 | 算力 | 质押资本 | 已知身份+质押 |
| 最终性 | 概率（等 6 块） | ~2 个 epoch 确定 | 1 块确定 |
| 节点规模 | 无许可、上万 | 无许可、数十万验证者 | 通常 <200（投票 O(n²)） |
| 能耗 | 极高 | 极低 | 极低 |
| 代价 | 慢、耗电、51% 攻击 | nothing-at-stake、富者愈富 | 规模受限、需身份准入 |
# PoW 出块核心：暴力找满足难度的 nonce（pseudo-code）
def mine(block, difficulty):
target = 2 ** (256 - difficulty)
nonce = 0
while True:
h = sha256(sha256(block.header + nonce)) # Bitcoin 双 SHA-256
if int(h, 16) < target: # 前导零足够多
return nonce # 找到 → 广播出块
nonce += 1
# 验证只需一次哈希（O(1)），但生成需 ~期望 2^difficulty 次尝试
# 全网难度每 2016 个块自动调整，锁定 ~10 分钟出块间隔
原理：智能合约是部署在链上、由所有节点重复执行的代码。每个全节点必须算出完全相同的结果，否则状态分叉——这要求执行严格确定性：禁止真随机、禁止读系统时间/网络、浮点也要规避。EVM 是个 256 位的栈式虚拟机。因为代码可能死循环（停机问题不可判定），用 gas 给每个操作码定价，调用者预付 gas，执行耗尽即回滚——既防 DoS 又给计算定价。
// reentrancy 漏洞：先转账后扣余额 → 被递归重入（The DAO 2016）
function withdraw() public {
uint bal = balances[msg.sender];
(bool ok,) = msg.sender.call{value: bal}(""); // ⚠️ 回调里又调 withdraw()
balances[msg.sender] = 0; // 太晚！余额还没清零就被重入
}
// 修法 Checks-Effects-Interactions：先改状态，再做外部调用
function withdraw() public {
uint bal = balances[msg.sender];
balances[msg.sender] = 0; // ✅ 先清零（Effect）
(bool ok,) = msg.sender.call{value: bal}(""); // 再转账（Interaction）
require(ok);
}
原理：不可篡改靠两层哈希。哈希链：每个区块头含前一块的哈希，改任意历史块会让其后所有块哈希失效，篡改成本 = 重做其后全部 PoW/共识。Merkle 树：把块内成千上万交易两两哈希成一棵树，根哈希进块头——轻节点（SPV）只需 O(log n) 的 Merkle proof 就能验证「某笔交易在某块里」，无需下载全块。这让手机钱包不必存 600GB 全链。
# Merkle proof 验证：用 O(log n) 个兄弟哈希重算根（pseudo-code）
def verify(leaf, proof, root):
h = sha256(leaf)
for sibling, is_left in proof: # 自底向上
h = sha256(sibling + h) if is_left else sha256(h + sibling)
return h == root # 根匹配 → 该 leaf 确在树中，且未被篡改
# 一笔交易在百万交易的块里，proof 仅 ~20 个哈希 ≈ 640 字节
原理：「区块链三难」（Vitalik 提出）指去中心化、安全、可扩展三者难以兼得——提高吞吐往往要么减少节点（牺牲去中心化）、要么放松验证（牺牲安全）。主流扩容路线是 Layer 2 Rollup：把成百上千笔交易在链下批量执行，只把压缩后的数据 + 一个有效性保证提交回 L1，L1 当结算与数据可用层。两种流派：Optimistic Rollup 默认相信、留挑战期（~7 天）让人提交欺诈证明；ZK Rollup 用零知识证明（SNARK/STARK）数学上证明执行正确，主链一验即终。
问题本质：链分叉时，PoW 矿工的算力是物理排他的——同一台矿机在 A 链挖就不能同时在 B 链挖，押注分叉要分摊算力、有真实机会成本。PoS 验证者却可以「零成本」在每一条分叉上都签名投票（签名几乎不耗资源），理性策略是「全押」以确保不管哪条链赢都拿奖励。结果没人收敛到单一链，共识瓦解。
修法 slashing：协议规定「在冲突的两个块上都签名」是可被密码学证明的罪证，一旦被举报就没收质押并踢出，把「全押无成本」变成「全押会被罚到破产」，恢复了机会成本。二阶效应：验证者由此有了「手滑双签被罚」的风险，催生分布式验证者技术（DVT）降低单点误罚。
核心约束是网络传播延迟。 块在全球 P2P 网络广播需要时间（秒级）。如果出块间隔接近传播延迟，两个矿工会在「还没收到对方块」时各自出块 → 频繁分叉（orphan/stale block）。中本聪故意把间隔设到 10 分钟，远大于传播延迟，让分叉罕见、链收敛清晰，代价是慢。
Solana 的 400ms：靠 Proof of History 预先给交易排好时序（密码学时钟），减少「现在轮到谁」的协调开销，并要求验证者跑高配硬件。代价：硬件门槛高 → 节点少 → 去中心化退化；容错余量小，2022 年多次因流量洪峰/bug 全网停摆数小时。这正是三难写照：拿去中心化和稳定性换了吞吐——出块快是把安全余量花掉了。
random() 各节点结果不同 → 状态分叉。链上「随机」只能用可复现的伪随机（如块哈希），但又可被矿工操纵（MEV）。违反确定性的后果不是报错，而是不同节点得到不同状态根，共识无法对齐 → 链分裂。所以 EVM 从指令集层面就阉割掉了这些来源。
陷阱：不可篡改 ≠ 不会消失。 链上的 hash 永久保证「这个 CID 对应的内容若存在，必然是原始内容」（防篡改），但没人保证那份内容一直有人存着。IPFS 是内容寻址网络，只有当某个节点主动 pin 住，内容才在线；所有 pin 它的节点都下线，内容就无法取回——hash 还在链上，但指向虚空。很多早期 NFT「图片消失」正是项目方停了 pinning 服务。
与 S3+URL 的本质区别：S3 的 URL 是位置寻址，内容可被悄悄替换而 URL 不变——不防篡改。IPFS 的 CID 是内容寻址，内容一改 CID 就变，所以防篡改但同样不保证可用性。两者都需要「有人持续存储」的激励，区别只在「篡改能否被发现」。真正持久要靠 Filecoin（存储证明+激励）或 Arweave（一次付费永久存）这类把存储可用性纳入激励的方案。
多半会反对上公链主网。 银行联盟的诉求是「成员间共享一份防篡改、可审计的账本，免去对账」，但成员身份已知且受监管——这恰恰不需要无许可公链最贵的那个属性：抗 Sybil + 抗审查的开放共识。在公链上还会撞上：隐私（交易全公开，违反金融保密）、吞吐（~15 TPS 远不够）、手续费波动、合规不可控（资产在不受控的公共网络）。
该用什么：许可链 / 联盟链（Hyperledger Fabric、R3 Corda、Quorum），用 BFT 共识在已知验证者间达成确定性最终，吞吐高数量级、可做隐私通道、治理可控。本质上它放弃了「无需信任任何人」，换成「在一个有准入的小信任圈里去中心化」。
什么时候才真要公链：当参与方无法事先确定、互不信任、且需要抗审查/抗单点关停——如面向全球任意用户的公开资产发行、去信任的跨境价值转移。一个判据：如果你能列出一份「谁有权写入」的白名单，你大概率不需要无许可公链。