摘要

  • SATP Core 第 17 版的 IETF Last Call 截止 2026 年 10 月 9 日；Architecture 与 Use Cases 第 10 版截止 10 月 7 日，三者目前仍是草案。
  • 网关消息带签名并通过前序哈希相连，最终由接收网关在 ACK-Final-Receipt 中声明已向预定受益人分配目的资产。
  • burn 与 mint 的证明由各资产网络决定；Core 17 不支持会话恢复，崩溃管理日志的共同语义与语法仍属未来工作。

回执证明谁说了什么

SATP 面向分别代表两个资产网络的发送网关和接收网关。Core 17 描述 burn-and-mint 与两阶段提交，目标是满足原子性、一致性、隔离性和持久性。IESG 已把它送入以 Proposed Standard 为目标的 Last Call；配套 Architecture 与 Use Cases 则以 Informational 为目标。这些状态代表公开审议，不代表已经成为 RFC，更不代表任何生产系统已经获批。

共同层的价值十分具体。接收网关先在 Commit-Ready 中声称等值资产已创建并准备继续；发送网关在 Commit-Final 中签署 burn 声明；接收网关再通过 ACK-Final-Receipt 声明已把新资产分配给预定受益人。每条消息都有签名，并绑定上一条消息的哈希。

因此，审计者可以验证声明者、会话、顺序以及消息是否被事后替换。最终回执不是无意义的流程附件，而是一份可归责的网关声明。它的边界同样明确：签名能证明是谁签发了声明，不能自动让签发者所描述的外部状态变成已被独立观测的事实。

回执下方还有两层事实

Architecture 明确指出，burn 与 mint 的机制取决于具体资产网络，不在其范围内；证明资产确已被 burn 或 mint 的密码学机制同样由网络决定。公共账本、许可网络和封闭登记系统可以采用完全不同的终局规则与查询证据。SATP 统一网关对话，却没有把所有本地状态压成一种证明。

这意味着一次高价值转移至少可能需要三类记录。第一类是 SATP transcript，说明两个网关作出了哪些有序声明。第二类是源网络与目的网络的状态证明，说明不可逆变更确实发生。第三类是受益人控制证明，说明分配之后的资产确实可由预定主体控制或使用。

三者不能互相替代。尤其在 Commit-Final 之后，Core 认为 abort 已不再有效：源资产已经 burn，目的资产已经 mint，接收网关也已同意分配。越过这个门槛时，决策者需要的不只是“消息顺序正确”，还要知道执行这些变化的网络留下了什么证据。

崩溃后的共同语言尚未形成

Architecture 要求实现维护事件日志和 checkpoint。它设想在日志可访问且标准化时，备用网关可以恢复转移；但从哪里重启取决于实现自己的恢复策略。SATP 崩溃管理日志的语义与语法被列为未来工作。Core 17 更直接地说明，本版不支持会话恢复或继续。

这不等于某个实现一定无法容灾。运营者可以自行复制状态、保护密钥、设计幂等步骤并演练故障切换。问题在于，不同实现尚不能仅依赖共同线协议读取彼此的 checkpoint，并确定安全的继续点。网关消息的持久性与实现状态的可恢复性有关，却不是同一件事。

TLS 1.3 可以保护网关通道，JWT 可以承载断言，Syslog 可以为未来日志提供参考。格式与传输保护不会自行读取两个资产网络，也不会证明受益人控制，更不会决定备用进程该从哪个状态重启。

Heng Lu 的公开分析框架在这里提供了必要约束：不能把信任当作机制，也不能把已记录的声明扩张成运行事实。SATP 明说网关处于信任模型之中。领导者可以接受这一模型，但仍应为不可逆决策确定独立核验深度。

来源