摘要

  • Mikhail Sergeev 于 2026 年 10 月 23 日提交的 WEXP Coverage 个人草案，要求把“这张回执是真的”和“范围内每个动作都有回执”分开检验。其 PostgreSQL 示例把动作严格定义为一个封闭时期内提交到指定账本的一次写入。
  • 真正的权力节点是采集前提：谁说所有动作都必须经过账本，谁有权接受这句话，掌握账本的人能否绕开它？草案要求把这一决定连同证据交给依赖结果的人。

签名很真，漏掉的动作也很真

假设一家机构把一整套签名回执摆在审计员面前。每张回执都能验签，编号连续，文件也有封印。看上去漂亮得可以印在年报封面。问题是：某次动作若根本没有进入这套回执系统，验签程序会给出什么信号？答案是没有信号。它只认识拿到手的东西。

Mikhail Sergeev 的 WEXP Coverage 草案从这道裂缝入手。它把审计结论拆成有边界的主张：什么算动作，什么算最终回执，何时关账，谁是收件人，原始动作如何进入可检查的来源。草案并没有宣称发明了能看见所有隐蔽行为的传感器。它要求说清楚：所谓“全都看到了”，依赖谁控制哪一段采集过程。

IETF Datatracker 将这份 10 月 23 日文本列为仍在活动的个人 Internet-Draft，没有 RFC 流程地位。这里讨论的是一项具体提案，不能把它写成 IETF 已经通过的标准，也不能把它的演示案例说成某家机构真的发生了事故。它提供的价值，是把采购审计系统时常被藏在“可验证”三个字后面的控制关系摊开。

先分清五本账

草案用 A 表示约定范围内实际发生的动作，C 表示截止时已创建的全部最终动作回执，R 表示截止时指定收件人能够取得的回执。Cv、Rv 是实际提交给评估器的两个视图；S 是用来观察动作的来源记录视图。重点在最后一个字母：S 能被完整读取，不等于 S 覆盖了 A。一个密封文件可以一字不差地保留它本来就漏掉的东西。

为什么要这么麻烦？因为请求、授权、调用、数据库提交、回执成形和回执送达是六件事。交易已提交而响应包丢了，动作不会因为客户端没听到“成功”而消失。重发同一张回执，也不等于发生第二次动作。回执已创建但没有送达，是交付问题；动作发生却没有最终回执，是创建问题。把这些数随意相加，审计数字会很大，含义却很小。

草案因此把结论拆成十个标识。creation-complete 问每个实际动作是否都有回执；creation-sound 问每张最终回执是否都对应实际动作；creation-exact 要求一一对应。交付、来源覆盖、提交视图之间的对应关系以及“没有动作”，都分别有自己的检验。单说“完整”，现在得先回答：完整的是哪一层？

两个导出文件逐行相同，是一个可以核实的事实。若来源账本先漏掉一次提交，回执文件照着它生成，两个文件会相等得毫无破绽。草案禁止把查询失败后的来源写成空数组；“来源确实读完而且为空”和“来源暂时拿不到”必须是不同状态。签名可以给空数组盖章，不能替失败的查询补上证据。

采集前提是谁批准的

草案把每条前提标成已检查、被接受的假设、未知或已推翻。假设必须有指定的政策权限、接受理由和适用范围，不能把“采集是完整的”原封不动当作证明采集完整的理由。要说明写入路径、动作的生命周期、系统故障后的去向，以及能绕过采集的特权入口。

这里的难题不是数学，是权力。管理员能改来源数据吗？系统能在入账前对外签发回执吗？恢复数据库会不会替换一段历史？两条分叉历史是否只展示了一条？草案直说，两枚相同的封印、两家机构或两把不同的密钥，本身都不能证明动作采集无遗漏。独立控制不是密钥数量，而是谁真的能动那台机器。

草案设置了一个值得记住的冲突案例：一条积极结论依赖被批准的“采集可靠”假设，另一条可用证据却找出了遗漏的动作。评估器必须保留双方推导，把该主张记为 not-established 并标出冲突。不能靠修改政策把反例藏起来。接受假设的人，不能顺手取得删除相反事实的权力。

三次关账的价值与边界

pg-ledger/0.2.0 示例故意把对象收窄。在单主 PostgreSQL 18 批处理账本里，一次动作是向指定动作账本成功提交一条记录。它没有把这条数据库记录说成银行已经划款、货物已经送达，或外部系统已经执行命令。若要证明外部效果，还需另建并验证对应机制。

每次写入与封印都锁住同一条时期记录。三道已提交的屏障依次关闭动作接纳、最终回执创建、收件人接纳。第一道屏障提交后才能开始回执最终化；第二道提交后才能对外接纳与发布。三道之后的完整快照才可为来源、回执与收件箱提供视图。序列号或墙上时钟不能单独证明数据库提交顺序。重复尝试与互相冲突的版本仍须留痕，只有身份和内容都相同、且通过认证的回执才可以按明确的重试规则归并。

这套工序让“全部”在狭小的范围内有了操作含义。它也明列代价：PostgreSQL 与主机必须正常，存储要完整，角色要分离，不能有绕行或提前对外签发，导出要完整并经过认证，密钥与政策要稳定。特权管理员、数据库恢复、历史分叉、账外签发，都可能打破前提。封印能保护已封住的页，保护不了握着账本又能把页抽走的手。

WEXP Core 配套草案评估特定动作的内容主张；Coverage 处理总体覆盖。Coverage 文本还举了一个逻辑例子：若已可靠建立一个含 100 次动作的封闭总体，其中 99 次各有有效评估，另有一次经证实没有回执，那么 99 次的单项结果仍成立，总体创建完整性却失败。仅仅数到 99 不能自行证明第 100 次被漏掉；还要证明它确实在总体内，并对可能的回执作充分排查。这是演示推理规则，不是生产事故统计。

来源