链上KYC和白名单如何在许可代币中运作
链上KYC和白名单的工作原理归结为一个动作：将链下的KYC/AML决策转化为链上、机器可检查的资格，智能合约可以在转移或访问时强制执行。设计选择不是“有KYC或没有KYC”，而是门控在堆栈中的位置，以及规则是存在于代币内部还是可升级的合规模块中。
关键要点
- KYC/AML检查通常在链下与受监管的提供者进行，而链上层存储可验证的“合格/不合格 + 属性”结果，作为与链上身份相关的声明。
- ERC-3643使合规成为转移原语：代币检查身份注册和合规模块，如果任何检查失败，交易将回滚。
- 白名单可以在代币合约之外的多个层次上强制执行，包括桥接、RPC和共识，控制与开放之间有明确的权衡。
- 操作控制层通常是身份注册加合规模块，这将升级和管理员密钥风险集中在这些合约中。
链上KYC在加密货币中的位置
无权限链允许任何地址接收和发送资产，这正是受监管的发行者无法允许的许多代币化证券和其他受限工具。这个约束不是哲学上的，而是机械上的：如果资产只能由合格的投资者持有，系统需要一种方法在转移在链上结算之前阻止它。
这就是“代码合规”出现的地方。链上KYC这个短语被误读为“将身份文件放在以太坊上。”来源中的常见架构正好相反。KYC和AML检查仍然在链下与受监管的提供者进行，而链上持有使资格在交易时机器可检查所需的最小信息。ONINO的描述是明确的：链下验证结果在链上表示为存储在投资者的ONCHAINID中的加密声明，然后在转移时读取。
白名单是消耗这些声明的强制规则。代币白名单可以简单到一个批准地址的映射，但现代设计将“谁被允许”视为身份问题，而不是地址问题。这是许可钱包模型（这个地址被允许）和身份绑定模型（这个地址与合格身份相关联）之间的区别。在身份绑定方法中，地址可以旋转，而资格保持与身份记录相关联。
另一个重要的术语是被阻止的地址。在这些系统中，被阻止的地址不是一个社会标签。它是一个未通过资格检查的地址，因此转移到它的交易将回滚，或者在堆栈中的其他某个门口被拒绝访问。
白名单背后的核心机制
两个杠杆驱动整个系统，大多数解释将它们混合在一起。
杠杆一是身份和资格表示。来源将ONCHAINID描述为与ERC-3643一起使用的链上身份层，声明或凭证由受信任或授权的方发出。AI CERTs强调隐私模式：敏感数据保持在链下，而签名或声明保留在链上。这个分割就是关键。链上不需要护照扫描。它需要一个可验证的声明，比如“KYC通过”或“管辖区=欧盟”，由系统信任的发行者签名。
杠杆二是规则执行。一旦资格在链上表示，仍然需要某种东西来执行它。执行可以存在于代币合约内部、应用内部或更高的堆栈中。在代币层面，执行意味着代币拒绝移动，除非双方都合格，并且转移满足规则逻辑。这就是“白名单代币”概念变得具体的地方：代币本身成为了门。一个通用流程看起来是这样的：1. 链下提供者验证用户并决定他们具有什么属性（KYC通过、认证、管辖区）。2. 受信任的发行者将这些属性作为与链上身份相关的声明写入链上。3. 注册表将一个或多个钱包地址链接到该身份，并回答“这个地址现在合格吗？”4. 在交易过程中，代币或应用检查注册表和任何规则引擎。5. 如果检查失败，交易将回滚，因此状态不会改变，转移不会结算。
输出不是“链上KYC”。输出是在转移时的确定性是/否，以及合同执行的审计轨迹。
ERC-3643如何在转移中执行KYCERC-3643在其文档中被定位为一个开源的智能合约套件，用于发行、管理和转移许可代币，内置去中心化身份框架，因此只有合格用户才能在无权限区块链上成为代币持有者。它还与ERC-20划清了界限：ERC-3643在允许转移之前检查身份和资格，支持KYC和AML等合规要求。ONINO的ERC-3643/T-REX架构将系统分解为四个相互连接的组件：链上身份、身份注册、可插拔合规模块和代币合约。这个分解很重要，因为它显示了团队在日常操作中实际操作系统的位置。
ONINO描述的转移决策树简单而残酷，这就是它有效的原因：
1. 在代币合约上发起转移。2. 代币检查身份注册以验证发送者和接收者。3. 代币检查合规模块以查找规则违规。4. 如果任何检查失败，交易将回滚。如果两个都通过，转移执行。
这是相对于临时白名单的关键实际优势。基于ERC 3643构建的许可代币不会“尽力而为”然后再进行调和。链要么根据规则接受转移，要么不接受。
合规模块是规则执行变得模块化的地方。ONINO列出了可以在其中编码的示例：投资者上限、管辖区限制、锁定期和持有者限制。ONINO还表示，规则可以在不重新部署代币的情况下更新，因为合规逻辑与代币合约分离。这个分离是操作上的解锁，也是治理和升级风险集中的地方。
在传统市场中，转移代理是维护所有权官方记录并处理某些生命周期事件的方。ERC-3643风格的堆栈试图将该功能的部分编码到合约和代理角色中，以便代币本身可以强制执行谁被允许持有和转移。
KYC可以在其他地方执行
Conduit的许可DeFi指南将“你在哪里设置门”框架视为堆栈选择，而不是代币标准选择。它描述了可以实施许可的四个基础设施层，从对链的开放性和去中心化影响最小到最大：协议、桥接、RPC和共识。
协议级别的门控是最有针对性的。Conduit的例子是按资产白名单，指向像ERC-3643这样的代币标准，可以强制执行谁可以持有和转移代币。这是许可代币可以防止向不合格持有者进行二次转移的地方，因为代币本身拒绝移动。
桥接级别的门控是周边控制。Conduit将桥接级别的KYC门控描述为决定谁可以进入生态系统的一种方式。这可以防止未验证的钱包将资产带入链上，但除非资产本身也被许可，否则不会自动停止生态系统内的转移。
RPC级别的门控塑造默认用户路径。Conduit给出了地理限制或官方RPC端点的交易批准工作流等示例。这些控制可以作为政策进行更新，并且可以被在许多网络上运行自己节点的用户绕过。这使得RPC门控在合规姿态上有用，但作为硬性保证则较弱。
共识级别的限制是最强大且最具侵入性的。Conduit将其描述为在排序器或验证者集层面设置交易包含政策。它提供了最深层次的执行，因为每笔交易都受到规则的约束，并且对开放性的影响最大。
设计含义很简单：代币级别的执行是关于控制特定资产的持有和转移，而桥接和RPC控制则是关于控制进入和访问路径。
实际权衡和失败模式
第一个权衡是操作控制与升级风险。ONINO的模块化合规框架具有吸引力，因为规则可以在不重新部署代币的情况下进行更改。代价是合规模块和身份注册处成为控制平面。管理员密钥、升级权限和审计范围聚集在那里，而不是在类似ERC-20的代币表面上。
第二个权衡是用户体验。执行对用户的表现为交易回滚，而不是礼貌的警告。如果接收者不符合条件，转账失败且仍然消耗燃料。那些不提供清晰预检查和可读失败原因的系统将合规性转变为支持票。
第三个权衡是“白名单”真正意味着什么。静态地址列表是脆弱的，因为地址会变动，保管设置会改变，机构使用多个钱包。与身份绑定的模型减少了这种脆弱性，但它们引入了对注册处和可信发行者的依赖。
第四个权衡是去中心化姿态。Conduit的层级排名是一个有用的思维模型：协议限制是狭窄且可组合的，而共识限制是广泛且强制的。声称“去中心化合规”的团队如果不说明执行的具体位置，通常是在隐藏真正的控制点。
失败模式遵循架构。如果身份注册处错误，符合条件的用户会被当作被阻止的地址处理。如果合规模块配置错误，应该结算的转账会回滚。如果关于升级的治理不严谨，规则可能会比交易对手预期的变化更快。这就是为什么代码合规不仅仅是一个法律故事。这是一个具有非常具体瓶颈的系统设计故事。
来源
ERC-3643文档
ONINO
)
AI CERTs
常见问题
链上KYC是否意味着护照或个人数据存储在链上？
不。常见的模式是敏感数据保持在链外，而链上存储可验证的声明或签名，代表资格。这些声明可以在转账或访问检查时通过智能合约进行验证。
代币白名单和基于身份的白名单有什么区别？
简单的代币白名单通常是一个批准的钱包地址列表。基于身份的设计将钱包与链上身份关联，并通过注册表和规则逻辑检查资格，因此系统不局限于静态地址列表。
ERC-3643如何阻止向不合格钱包的转账？
ERC-3643风格的代币检查发件人和接收者的身份注册，然后检查合规模块是否存在规则违规。如果任何检查失败，交易将回滚，因此转账不会执行。
除了代币合约，KYC和白名单还可以在什么地方强制执行？
权限控制可以在协议层、桥接层、RPC层或共识层实施。桥接和RPC控制可以限制进入和默认访问路径，而共识政策可以在整个网络上强制执行交易包含的规则。
为什么团队使用模块化合规模块而不是将规则硬编码到代币中？
将代币合约与可插拔的合规模块分离，允许像上限、管辖权限制、锁定和持有者限制等规则在不重新部署代币的情况下进行更新。权衡是升级和管理员控制集中在合规层。
