Luvion 如何工作

Luvion 将授权语义与产生授权的具体密码学后端分离。每项受保护操作都经过同一个与请求绑定的状态流程。以下编号步骤描述单次授权请求；委员会轮换、份额刷新和恢复属于另行说明的生命周期，不是每次操作都重复执行的阶段。当前验证不表示完整生产网络已经部署。

1. 规范化操作意图

适配器将外部操作转换为确定性记录，绑定操作类型、链、目标、参数、策略版本、有效期、重放边界、参与者集合和密钥时期。任一受保护字段发生变化，都必须产生不同的意图摘要。

控制平面评估该请求绑定的精确策略版本，验证合格角色、审批门限、发起人与审批人分离、目标限制、过期时间和外部风险输入。冲突、过期或重放请求失败关闭。

规定的业务角色按照绑定策略批准同一项操作意图，并按策略要求分离发起、审批、授权和执行职责。业务审批不等于节点的局部签名贡献；满足业务审批规则不能替代密码学门限。

签名参与方验证相同意图摘要和会话记录，包括已激活的参与者集合、门限和密钥时期。授权不能转移到不同委员会或密钥时期。各参与方分别产生局部签名贡献而不暴露完整密钥；只有达到规定门限后，协调者才能聚合授权。

签名器接口采用算法中立设计，当前已测试路径使用 FROST Ed25519。其他门限方案、硬件签名器和外部托管后端仍需各自的实现和审查。

成功会话生成授权证书和证据包，绑定规范化意图、策略结果、审批、签名集合、门限、密钥时期、会话记录和最终授权输出。

关键权限必须迁移或绑定到协议管理模块、Safe 模块、时间锁、跨链桥管理层、铸造销毁控制器、托管端点或等效执行入口。旧所有者或紧急密钥如果仍能绕过 Luvion 执行同一操作，就需要移除该旁路，或让它接受同一授权检查。

执行适配器核对最终操作与已授权意图是否一致，使用请求标识进行幂等提交和恢复，并将回执或链上事件绑定回原始请求。服务商接受或广播不等于链上已确认，证据必须写明完成语义。见证服务通过签名终态回执支持篡改检测；生产独立性要求不同管理域，同机测试进程不能证明这种独立性。

关键操作请求
  -> 规范化意图
  -> 精确策略与职责分离审批
  -> 绑定活动委员会、门限和密钥时期
  -> 固定配置的 FROST 门限授权（受控试点）
  -> 意图绑定的授权证书
  -> 执行模块或适配器（需具体部署验收）
  -> 完成语义明确的回执与证据

目标网络按时期选择并激活委员会。请求使用已激活的配置，不表示每次请求都重新随机选择委员会、刷新份额或更换成员。生命周期变更有独立的激活规则和会话隔离要求。

动态选择、主动刷新/重分享和自动替补属于实验性路径，不是当前生产能力。目标生命周期旨在轮换时期绑定的委员会，并在不重建主密钥、不降低门限的情况下恢复可用性。受控重启或人工替换测试不能表述为委员会自动故障切换。