安全中心

唯真不破平台 · 2026-10-14 · 版本 v1.0

安全，应该有可以核验的依据。

安全，应该有可以核验的依据

在唯真不破，我们希望您既能了解事实，也能清楚了解平台如何保护账号与材料。安全不应只是一句承诺，而应落实为明确的技术选择：登录凭什么确认身份、服务端保存什么、上传的文件如何核验。

我们采用公钥签名认证、恢复码单向哈希、HTTPS 传输加密和文件 SHA-256 指纹，并尽量减少注册时收集的个人信息。这些措施各有明确的保护范围；我们会说明它们如何发挥作用，也会如实说明边界。

登录时，您的设备从助记词在本地派生 secp256k1 私钥。这与比特币使用的是同一条椭圆曲线，但这里的用途是账号身份认证。私钥始终留在您的设备上，不会发送给服务端；服务端保存的是用于验证身份的公钥。

每次登录，服务端都会发出一个随机挑战，您的设备用私钥对挑战签名，服务端再用公钥验证签名。平台由此确认您持有对应私钥，而不需要接触私钥本身。

与常见的密码登录相比，这种方式的重要优势是：登录数据库里没有能够直接冒充您完成签名的秘密。即使公钥数据被获取，也不能据此生成私钥签名、伪造登录。我们选择这种方式，是希望从认证机制本身减少对服务端保密能力的依赖。

采用本地密钥，意味着账号访问所依赖的重要凭证需要由您妥善保管。助记词可以在设备本地派生私钥，因此请将它视为重要的账号凭证，认真备份，不向他人提供。

恢复码与助记词是不同的凭证。对于恢复码，服务端只保存经过 scrypt 处理的单向哈希，不保存原文，也无法从已保存的记录中直接读取原文。单向哈希不是把原文加密后等待解密，而是保存用于校验的结果。

不托管您的私钥、不保存恢复码原文，是为了减少平台需要保管的秘密。这样的设计把更多控制权留给您，也意味着备份十分重要：请妥善保存助记词和恢复码，不要将它们发到公开帖子或交给他人代管。

唯真不破的传输全程使用 HTTPS 加密，保护您的设备与网站服务端之间传递的数据。登录请求、页面访问和材料上传，都通过加密连接进行。

传输加密与内容是否公开是两回事。社区帖子是公开的，HTTPS 不会把公开帖子变成只有发布者能够阅读的私密内容，也不等于帖子采用了端到端加密。发布前，请确认您愿意公开其中的信息。

材料文件上传时，平台会计算其 SHA-256 哈希，并将文件原样存储。这个哈希会作为文件的永久指纹公开：上传时文件是什么，对应的指纹就是什么。

任何人都可以对取得的文件重新计算 SHA-256，与上传时公开的指纹进行比对。文件一旦被修改，重新计算的哈希就会与原始指纹不一致。无论修改来自谁，包括管理员，都无法让修改后的文件通过与原始指纹的一致性核验。

文件指纹证明的是文件是否与上传时一致，不代表文件中的说法已经得到证实。我们把这两件事分开：用哈希核验材料完整性，用证据、来源与讨论核验内容真实性。

注册唯真不破不要求邮箱或手机号，也不使用 Google、Apple 等第三方账号登录。您不必为了参与社区，先向平台提供这些联系方式或关联外部登录身份。

邮箱、手机号和第三方登录是常见的账号方案，各有便利。我们选择另一条路径，是因为这个社区更需要克制地收集信息：参与真相核验，不应以提供与参与无关的个人资料为前提。少收集一份信息，就少一份需要保管的信息。

您可以据此判断平台提供了哪些保护：私钥不离开设备，服务端通过公钥验证登录；恢复码只保存单向哈希；传输使用 HTTPS；材料可以通过公开指纹核验。这些是具体、可理解的技术措施，而不是"绝对安全"的承诺。

这些措施也需要与您的使用习惯配合。请妥善保管恢复凭证，注意设备安全，并在发布前检查材料中的个人信息。平台负责把保护机制做好、把边界讲清楚，让您能够在充分了解的基础上参与。