LayerZero DVN 验证跨链消息；执行者在目标链上自动化交付这些消息。必选 DVN 必须全部提供证明，而可选 DVN 则满足独立的阈值。执行者无法替代缺失的必选证明，因此验证失败和交付失败需要不同的恢复步骤。
最后一点往往隐藏在供应商的 Logo 列表背后。资产的安全性取决于在转账时，每个路由上合约实际要求的供应商。
DVN 证明的内容
去中心化验证网络（DVN）检查源链消息，并提交与该有效负载相关的证明。接收消息库在消息符合交付条件之前，会评估所需的证明。每个 DVN 都可以使用自己的验证方法。DVN 安全堆栈。
名称中的“网络”不应取代对运营商的研究。你仍需要了解其基础设施、密钥和故障模式。两个供应商可能拥有不同的名称，但依赖于相同的数据源或运行环境。
应用程序选择一种组合。单个必选供应商与多个独立的必选供应商相比，会产生不同的信任假设。这一选择改变了攻击者需要破坏的内容，以及停机可能中断的内容。
停机和被破坏对这一选择的影响不同。离线的验证方可能会阻止合法消息的推进。被破坏的验证方可能会对虚假消息提供证明。政策应当针对这两种情况进行评估。
验证方决定接受，执行者负责交付。
这个例子将安全策略与目标交易分离。
DVN 政策示例
必选 A + 必选 B + 至少一个可选证明
其证明是强制性的。
额外的可选证明无法替代它。
两者均可满足所示的可选阈值。
示例策略，并非推荐的生产配置或关于运营商独立性的说法。
必需意味着必需
必选 DVN 必须提供证明。添加可选 DVN 并不会自动为应用程序提供跳过缺失的必选 DVN 的方法。可选证明满足其自身配置的阈值。
例如，一项策略可以要求 A 和 B，再加上包含 C 和 D 的可选集合中的一个提供商。如果 B 离线，即使 C 和 D 都提供证明，仍无法满足该策略。如果 D 离线，C 可以满足可选部分，而 A 和 B 仍然是必要的。这是一个展示该规则的假设配置。LayerZero 验证模型。
这种区别存在操作成本。更多的独立必选见证人可以加强验收规则，同时也会为成功交付创建更多的依赖关系。团队需要围绕每个强制性组件的可用性进行规划。
正确的问题是资产需要保护什么。一个广泛使用的抵押代币的伪造铸造可能会影响其他借贷或交易应用程序。这些下游风险可以证明比低价值的应用程序消息更严格的要求是合理的。
多样性必须经受住真实的故障考验
不同的提供商名称只是一个开始。更严格的检查是询问这些提供商是否共享数据源、云系统、签名基础设施或部署流水线。共享故障可能会抵消使用多个见证人的目的。
LayerZero 的生产指南在讨论验证方法的同时，也讨论了运营商和基础设施的多样性。它还警告不要将示例设置视为生产安全策略。生产 DVN 配置。
考虑那些全部读取相同故障源链数据的提供商。它们的签名可以是独立的，而它们背后的观测结果却是错误的。更强大的设计是减少这种共享依赖，而不是仅仅增加另一个签名。
对于用户来说，这些信息可能难以独立核实。这使得明确的发行人披露变得非常有价值。一个命名必选提供商、解释策略并发布其实时配置的项目，比通用的“受 LayerZero 保障”说法提供了更多的评估信息。
执行者处理目标交易
验证后，需要有人提交并资助目标链上的交易。Executor 在消息的执行选项下自动化该工作。验证后的消息也可以通过无需许可的端点调用来执行。Executor 文档。
因此，交付中断可能会延迟合法消息，但不会赋予交付服务虚构有效消息的权限。验证检查仍是一个独立的关卡。在解释停滞的转账时，这一区别非常有用。
这并不意味着交付变得无关紧要。应用程序可能依赖于 Gas、附加价值或后续调用的正确处理。验证后的消息仍需要足够的资源和兼容的目标逻辑来完成其预期的操作。
恢复流程应告知操作员如何识别失败阶段并执行合法的待处理消息。它还应区分执行失败与未满足的验证策略。支付更多的目标 Gas 无法替代从未到达的必要证明。
确认机制以风险换取速度
验证需要一套规则，用于判断源链事件何时已足够稳定以可信。等待额外的确认可能会降低用户体验，但同时可以减少受到链重组影响的风险。
基于随后消失的源事件而进行的目标操作会产生账目问题。对于代币转账，目标端可能已经记入了价值，而其源端的扣款在规范历史中已不存在。因此，最终性假设应包含在资产的安全描述中。
正确的设置取决于网络和路径。从开发示例中复制的确认数并不能建立安全的生产策略。生产指南和链自身的最终性模型应作为选择的依据。LayerZero 生产指南。
对于金融产品，问题在于用户相对于潜在损失可以接受多少延迟。界面应相应地设定预期。将较慢的转账称为“损坏”可能会迫使团队削弱出于特定原因而存在的设置。
管理层位于策略之上
所有者或委托的权限可以影响应用对等节点和配置。即使是精心选择的验证策略，也取决于能够更改该策略的账户的安全性和治理。OApp 技术参考。
询问谁控制该权限以及更改如何变为可见。多重签名（multisig）策略仅在签名者和操作程序提供独立控制的范围内才有效。时间延迟仅在有人监控待处理的更改并能做出反应时才有效。
转账限制和紧急暂停可以遏制某些事件。它们还赋予了运营商用户应当了解的权力。暂停可能会在保护供应量的同时，阻止持有者完成计划中的转账或退出。
对于 RWA 资产，这些权力与发行人义务和投资者限制相互作用。跨链验证检查一条消息；它并不结算与代币相关的法律权利。RWA 介绍涵盖了那项独立的权利请求。
检查您正在使用的路由
记录源合约和目标合约、它们的对等关系以及有效的验证要求。检查确认策略、交付提供商和任何转账上限。然后识别谁可以更改这些设置。
保留默认设置仍然是一种配置选择。某些路径包含一个 Dead DVN 占位符，在应用程序选择工作提供商之前无法验证消息。当前的文档建议使用明确的生产设置，并要求一个独立于 LayerZero Labs 的验证方。检查有效的配置，而不是假设默认配置已准备好用于您的资产。默认配置指南。
针对实际的转账方向执行此操作。一个看起来安全的配置在一条路由上，并不能证明每条其他路由都有相同的策略。全网支持的说法也无法证明每个提供商都支持您的资产。
如果您的兴趣是围绕这些检查的代币核算，请阅读OFT 供应说明。如果您正在比较更广泛基础设施的提供商，LayerZero 对比 Chainlink CCIP 使用相同的特定路由方法。