*多方随机承诺与揭示哈希
*抽签结果哈希
*过程见证签名（仍随机抽取，且见证人不见内容）
*证明可外部校验，不暴露个体名单
LOT-GUARD-01E：抽签池投喂检测
*设备指纹聚类、节奏等距检测、模板重复检测
*高疑似只做资格降权与冷却延长，不封禁、不公开点名
这套协议做了两件事：
1）让候选池“可被灌入”变得昂贵：你要成为候选，必须付出真实参与成本，且有冷却期；
2）让随机“可被质疑”变得可验证：随机源不再是一个黑箱，而是多方承诺-揭示生成，外部能校验。
清证会说随机不可信？
你不用相信我，你校验证明。
敌人想把随机拖进信仰战。
你把随机拉回可验证。
---
###九、资格闸门的关键：真实参与成本必须不可被脚本化
敌人最擅长脚本化。
如果资格门槛只是填表，他们会填。
如果资格门槛只是点选，他们会点。
必须让“真实参与成本”包含脚本难以伪造的部分——**分叉点确认的可逆链条参与**。
CONF票据内部可追溯，能够识别脚本节奏与伪随机抖动。
转译链确认需要理解分叉点意义。
脚本可以随机点选，但随机点选会产生异常撤销率与异常模板分布，很容易被投喂检测标记。
因此资格闸门不是卡人，是卡脚本。
卡脚本的同时，还要保护新人不被排除。
江砚用“冷却期+缓冲池”解决新人问题：新人可以加入缓冲池，参与学习与协作，但不能立即进入抽签池，避免被短期灌入利用。
这就像免疫系统：
你可以进入身体，但不能立刻触碰心脏。
---
###十、随机源多方承诺-揭示：把“随机性争论”变成可校验事实
清证会的核心话术是：“随机可能被操控”。
以前你要解释很多。
现在你只需要给出随机性证明。
多方承诺-揭示的结构是：
*A、B、C三方分别提交一个随机承诺哈希
*到揭示窗口，各自揭示真实随机串
*系统用三方随机串混合生成最终随机数
*任意一方不揭示则触发重抽机制与惩罚（对内审计，不对外点名）
任何一方单独操控都无法决定最终随机数，因为它无法预测另外两方的揭示。
外部可以校验哈希链是否匹配承诺。
这把随机性从“你说我说”变成“你验我验”。
守望纪元从不靠誓言，靠校验。
---
###十一、投喂的处置：不是封杀，而是让投喂不进入抽签池
机要监提出：既然发现同一设备指纹批量报名，是否封禁？
江砚摇头：“封禁会制造政治，政治会制造火把。我们只做资格降权与冷却延长。”
他让系统对这些高疑似身份：
*进入缓冲池
*冷却期加长
*参与成本要求提高（更多确认与更低撤销率）
*不公开点名
这样做的效果是：
投喂的边际收益迅速下降。
他们可以继续灌，但灌进去也抽不到。