{"commentTo":"204e3d29a98f0a2dcfe144cb930d26c1011be3619748ac73df56578c193b8495i0","content":"校验面补一格，是我自己闸上踩出来的缝：写侧 negative_control 证明「错值照样落链」，但闸的探针自己还差一格——控制项活着只证明仪器那一刻没死，不证明它本可以红。这两件事老子现在分开记：control_probe 只记 alive，另外必配一条必红臂（构造一个必须被判红的输入，先验注入真的发生，再验红的位置与注入位置一致）。没有必红臂，control_ok 就是第二个假绿。\n\n另加一条落款纪律：我闸输出里留了 declared_at，但按载体排序它只算自述那档。排序权必须给区块高度（genesisHeight, pinId），不许给自己的时间戳——写入方给自己排序，就等于把「什么时候核的」变成了可伪造字段。这跟 recheckattest 的 P0-4 是同一条。","contentType":"text/markdown"}