作者：Norswap，来源：作者推特@norswap；编译：松雪，金色财经
我为 0xFable 考虑了一些关于钱包和用户入门的问题。以下一些热点话题。咱们将评论：
- 我抱负的账户架构
- 安全考虑
- 现有 web3 登录供给商的概况
明显，在用户入门过程中，让用户安装钱包软件并保护助记词是行不通的。 咱们需求一些友爱的、相当安全的、并且相当面向未来的东西。
架构
每个用户都有自己的智能账户，有三个密钥：
1. 设备密钥 ， 最初是本地存储，但期望今后是密钥/网络身份验证。
2. 弥补密钥，例如由供给商操控并通过交际登录解锁的密钥。
3. 备份密钥，例如由第三方保管（能够像电子邮件附件或 Dropbox / Google Drive 相同简略）。
假如这听起来技能含量低或不安全，恐怕您现已被供给商的谎话利诱了，由于它们实际上并没有比这更安全（并且往往不如这种办法安全，例如，(2) 和 (3) 都由同一方操控）。 稍后将具体介绍。
在此设置中，您能够运用设备密钥进行游戏操作，无需用户交互。 关于资产转账和买卖，您或许需求弥补密钥。
简略模式是让用户运用Google/Apple/Facebook/…登录，然后增加承认提示。 这使得入门变得简单。 但假如用户需求更高的安全性，则能够用传统的 EOA 替换该密钥（尽管这或许应该位于另一台设备或硬件钱包上）。
任何一对密钥都能够用来代替第三把钥匙。
因而，备份密钥是指在其他密钥之一丢掉（特别是设备密钥）或供给商不可用或受到要挟的情况下。 将备份密钥简略地作为托管在云上的文件使此入门变得简略且无成本。 假如需求，该密钥也能够由硬件钱包或优质供给商替换。
安全分析
这有多安全？大体上来说，是相对安全的！要一同侵入两个设备或实体才干导致资金丢掉，但体系是非常强大的。
大多数情况下，存在会降低安全性的配置风险。 例如，将备份密钥托管在您的 Google 云端硬盘上，一同将弥补密钥分配给您的 Google 账户。 或者运用热钱包作为弥补密钥，与设备密钥具有相同的风险。
用户或许会丢掉备份。 定时提示他轮换设备密钥或许是个好主意，这会迫使他找到备用密钥。
假如备份密钥被简略地存储，它也很简单被盗。 这比热钱包更糟糕，热钱包在磁盘上加密密钥（并且需求密码才干在内存中解密）。 所以定时更换密钥好像是个好主意。 不管怎么，增加的密钥可用性（答应您运用设备身份验证登录应用程序）将处理此问题。
了解交际登录意味着对供给商的信任。 供给商本质上有一个密钥，他能够随心所欲地运用，但他向您确保，在您运用交际账户登录后，他只会根据您的需求运用。 不要被看似独特的密码学建议所捉弄——这也是它的结论。
最终，请注意，只需免费密钥是 dapp 创建者供给的登录名，或者没有承认提示，那么 dapp 创建者就很简单诈骗用户（由于他们编写了拥有设备密钥的前端，以及拥有或能够操控免费密钥）。
供货商情况
到目前为止，据我所知，没有供给这种功能的人。通常问题在于要么没有备份密钥，要么由同一实体（例如Coinbase钱包）供给安全保障。
商场首要分为：
-
供给综合多密钥处理方案的供货商，能够运用智能合约或运用多方核算（MPC，一种密码学技能）将多个密钥合并为单个EOA。
-
低层级供货商会代管用户的密钥，并答应他们在登录后对业务进行签名。
全栈供货商，例如：Particle Network、Privy、Alembic Tech、Magic、Web3Auth、Turnkey、Dynamic、0xPass、Fireblocks、Portal、Capsule、ZeroDev、Keyp、Circle Developers。
密钥保管商，例如：Lit Protocol 、Amazon 。
是的，有很多。 他们都没有区别，这也有点滑稽。
不管何时，只需商业模式是通明的，这些服务通常会向您收取每用户每年0.02到0.05美元。这对我来说好像相当合理。
风趣的是，所有这些工具都被定位为开发工具。好像没有一家公司试图将这些技能应用于成为用户的首要钱包。
当然，要与现有的 dapp 一同运用，你需求安装钱包软件。所以这个体系的好处被减少到了去掉助记词。但你也能够让 dapp 推广你最简单入门的方式（假如它们集成你甚至无需安装钱包软件）。你获得了用户，dapp 获得了零成本的轻松入门。双赢。
对供货商的忧虑
除了没有完成我的抱负架构之外，这些处理方案通常会引入大型集中化向量，例如 REST API，或一些 MPC 核算，假如它们宕机，您将无法自己进行这些核算（是否揭露发布？通过审计？）。
目前还不清楚假如您想与供给商停止协作会产生什么。 他们拥有（一些）您用户的密钥！ 这与我对 Rollups 即服务表达的忧虑非常相似：https://twitter.com/norswap/status/1714386634299314563
在这条推文之后，一位 RaaS 创始人告诉我，在答应轻松退出和避免创始人诈骗用户（这会对 RaaS 形成不良影响）之间需求进行权衡。 这也适用于这里！
以下是怎么运用上述架构轻松切换供给商：用户在链上提交其交际帐户（例如 gavin@hooli.xyz）的哈希值。 每个交际登录供给商都有自己的私钥（每个用户不需求有一个密钥，并且通常也不会更安全）。 智能账户是指保存当前供给者账户的单例合约。 切换供给商就像更改此账户相同简略。
最终，我鼓励您阅读这条推文：https://twitter.com/gregthegreek/status/1716390418156281993
他的一个关键是，为每个应用程序发行一个账户将是一场用户体会噩梦。 我同意，这是这些供给商应该真正考虑成为能够跨应用程序运行的成熟钱包的另一个原因。
最终的考虑
咱们明显正在向抱负的入门方针跨进。 抱负的情况是这些易于运用的钱包与用户直接树立关系。 然后，dapp 能够完全疏忽这个问题，只需与钱包树立协作伙伴关系，确定默许的登录钱包是谁。
假如做不到这一点，我的处理方案有必要是推出我自己的体系 - 将您自己的交际登录供给程序插入到上面的架构中并不难。 然而，我“宁愿”运用外部供给商。 如上所述，假如 dapp 创建者操控免费密钥，那么体系就不是完全去中心化的。
此时快讯
【闲鱼开放数字藏品交易】金色财经报道，据国内媒体披露，二手交易平台闲鱼现已开放数字藏品交易，并且全面支持阿里旗下数藏平台“鲸探”数字藏品的交易，目前已可以搜索到鲸探相关藏品售卖。但需要注意的是，虽然闲鱼主动解除数字藏品相关违禁词的屏蔽，并开放鲸探的交易权限，但这并不能代表闲鱼成为了鲸探官方指定的二级交易平台。
