数字标识需要区分的三个问题
理解区块链数字标识，可以从标识什么、谁能控制、如何表达相关信息三个问题入手。地址用于指向账户，密码学机制用于验证操作权限，声明格式用于表达主体的信息。这些环节各有作用，单独拥有一个地址，并不能完成对现实身份的核验。本文以以太坊账户和JWT为例，解释相关概念的边界。
账户、密钥与哈希
以太坊账户文档介绍了外部账户与合约账户：前者以私钥控制为基础，后者由合约逻辑控制。外部账户地址由公钥经过哈希处理后截取生成；私钥用于签名，签名用于验证请求的来源。账户状态还涉及nonce、代码哈希和存储根等概念，分别关联操作计数、代码标记与存储内容校验。钱包则是与账户交互的应用或界面。
这些概念适用于解释链上对象的定位和控制。地址可以作为账户标识，但地址字符串本身不说明持有者的姓名或资格。哈希有助于核对内容的一致性；要判断内容在现实中是否真实，还需要相应的验证依据。
JWT与身份声明的表达
RFC 7519定义的JWT，是以JSON表达并传递一组声明的紧凑格式。声明描述某个主体的信息，可以包含签发者、主体、接收方和有效期等字段。JWT可结合JWS进行签名或消息认证码保护，也可结合JWE加密，还支持嵌套形式。
当系统需要交换主体信息时，JWT可以承担声明载体的角色。它本身不要求使用区块链，也不会自动建立签发者与链上地址的对应关系；应用需要定义这种关联，以及接受哪些签发者和验证规则。
适用条件与常见问题
签名通过是否意味着身份真实？签名验证为密钥与消息之间的关系提供证据，身份结论还取决于该密钥如何与主体绑定。认证关注控制权或身份的验证，授权则进一步判断该主体是否有权执行某项操作。
JWT是否天然保密？签名或消息认证码主要保护完整性，保密需要加密机制。声明能被读取，不代表能够被可信地修改；声明未被修改，也不代表其内容已经得到独立核实。
能否把以太坊账户规则推广到所有数字标识系统？这些规则解释的是特定账户体系。其他系统的标识生成、控制方式和验证流程，需要分别确认。设计数字标识时，应明确标识对象、控制依据和声明信任条件，再选择相应机制。