إطار الأمان

الموقف الأمني في فقرة واحدة

للرمز المرجعي نقطة مرور واحدة (_update)، وترتيب تقييم ثابت، وقفل إعادة دخول حول تسلسل الخطافات بأكمله، وسلطة قائمة على الأدوار لا تُشتق أبدًا من الأرصدة، وتخزين وفق ERC-7201، وسطح صغير: ثماني دوال خارجية تغيّر الحالة فيما وراء ERC-1155. وأقوى القدرات — التجميد والتحويل القسري وإدارة الخطافات والترقيات — أدوار منفصلة مخصصة للتوقيعات المتعددة والتأخيرات الزمنية، وكل استخدام لها حدث.

الثوابت

نموذج التهديدات

الجهات الفاعلة وقدراتها

السيناريوهات

خطاف خبيث أو معيب (حرمان من الخدمة). الخطاف الذي يرفض دائمًا يمنع جميع تحويلات الرمز؛ والخطاف الذي يتراجع في check يفعل الشيء نفسه. التخفيف: يستطيع HOOK_ADMIN_ROLE إزالة أي خطاف في أي وقت (مع حفظ الترتيب)؛ ويستطيع PAUSER_ROLE الإيقاف أثناء التحقيق؛ وتظل التحويلات القسرية تعمل، فلا يضيع الإنفاذ. ويتحقق التسجيل من دعم ERC-165 ومن أن الأعلام غير صفرية، ويرفض حسابات EOA. التوصية: دقّق الخطافات قبل تسجيلها؛ وأبقِ عددها صغيرًا؛ وضع المسؤول خلف تأخير زمني حتى تكون تغييرات الخطافات مرئية قبل أن تسري.

إعادة دخول الخطاف. تستدعي onExecuted في أحد الخطافات safeTransferFrom استدعاءً رجعيًا. التخفيف: القفل؛ إذ يتراجع الاستدعاء بالخطأ ARexReentrantCall. ويُلاحظ أن الاستدعاء الرجعي لمستقبِل ERC-1155 (onERC1155Received) يعمل بعد فتح القفل، كما في كل رمز ERC-1155؛ وتكون حالة الرمز نهائية عندئذ.

سياق العملية في الاستدعاءات الرجعية للمستقبِل. يبدأ مستلمٌ من نوع العقد تحويلًا أو حرقًا من داخل onERC1155Received. وهذا الاستدعاء المتداخل عملية OP_TRANSFER أو OP_BURN لها data الخاصة بها، وليس جزءًا من العملية التي سلّمت الرموز. وحتى 2.0.0-alpha.2 كان الرمز المرجعي يحتفظ بالعملية الخارجية في التخزين إلى أن يعود الاستدعاء الخارجي، فكان الاستدعاء المتداخل بعد forcedTransfer يعمل بوصفه OP_FORCED_TRANSFER (متجاوزًا الإيقاف والأهلية والأرصدة المجمّدة)، والاستدعاء المتداخل بعد transform يعمل بوصفه OP_TRANSFORM، الذي تسمح بمروره الخطافات التي لا تضبط إلا OP_TRANSFER. التخفيف: تقرأ _update سياق العملية وتمحوه قبل أي فحص أو استدعاء خارجي، فيُقيَّم الاستدعاء الصادر من استدعاء رجعي بوصفه عملية قائمة بذاتها؛ ويستخدم OpContext.test.js مستلمًا يحوّل ويحرق من داخل استدعائه الرجعي.

التسليم عبر إعادة تكوين الدفعة. تشغّل كلتا عمليتي transform الخطافات مع OP_TRANSFORM. فلو استطاع حامل إعادة تكوين الدفعة في حساب آخر، لانتقلت السلع من يد إلى يد دون فحوص الخطافات التي لا تضبط إلا OP_TRANSFER، مثل إفادة مطلوبة قبل البيع أو كمية مقفلة لتسليم. التخفيف: من دون TRANSFORMER_ROLE لا يُسمح بإعادة تكوين الدفعة إلا حين to == from؛ وتصل الدفعات المعاد تكوينها إلى حامل آخر عبر تحويل عادي تُطبَّق عليه كل قواعد التحويل (ADR-007، المعدَّل في 2026-10-20).

الإفلات من القفل بالحرق أو بإعادة تكوين الدفعة. حالة الخطاف المحفوظة لكل معرّف دفعة لا تتبع الدفعة إلى مخرجاتها. فالخطاف الذي يقفل كمية ولا يفحص إلا OP_TRANSFER لا يمنع الحامل من حرق الكمية المقفلة، أو من إعادة تكوينها في المكان في معرّف جديد لا يشمله القفل. التخفيف: يرفض DeliveryHook بالرمز IN_TRANSIT أي حرق أو أي عملية إدخال في transform من شأنها أن تُنزل الرصيد دون الكمية المقفلة؛ وتبقى التحويلات القسرية بلا حد، ويُرجع الخطاف رمزًا بدلًا من التراجع بعد الاستيلاء. وينبغي للخطافات التي تحجز كميات أن تفحص OP_BURN وOP_TRANSFORM إلى جانب OP_TRANSFER.

اختراق مفتاح الإنفاذ. من يحمل ENFORCER_ROLE يستطيع نقل أي رموز. التخفيف: توقيع متعدد بإجراء موثّق (أمر قضائي، أو اتفاقية رهن، أو إخطار عقوبات)؛ وكل إجراء يُصدر ForcedTransfer/Frozen؛ ويمكن للخطافات أن تشترط مرجع أمر في بيانات التحويل (فالعملية OP_FORCED_TRANSFER ليست معفاة من الخطافات). ويمكن النظر في استخدام تأخير زمني للإنفاذ غير العاجل.

اختراق القائم بالترقية. اختراق كامل. التخفيف: توقيع متعدد مع تأخير زمني؛ وفحوص الترقية الخاصة بـ OpenZeppelin في التكامل المستمر؛ وتخزين ERC-7201 لتجنب حوادث تخطيط التخزين.

إساءة استخدام الحالة. يستطيع STATUS_ROLE سحب دفعة يحوزها آخرون من التداول. وهذا مقصود — كأن يعلن مستودع أو مفتش أو جهة تنظيمية أن دفعة ما غير صالحة — ويجب الإفصاح عنه للحاملين. التخفيف: الإسناد إلى مؤسسة خاضعة للمساءلة؛ وكل تغيير حدث مقرون بسبب.

احتيال جهة الإصدار. يستطيع ISSUER_ROLE إنشاء دفعة لا وجود لها ماديًا. ولا يستطيع الرمز منع ذلك؛ لكنه يجعله منسوبًا إلى فاعل (issuer وoriginRef وmetadataHash) ويتيح اشتراط إفادات من أطراف مستقلة (المستودع، والمفتش، والسجل) قبل التحويل عبر AttestationHook.

موقع مخفي في مرجع المنشأ. تبدو التجزئة أو الـ geohash أو أي ترميز آخر لإحداثيات قطعة الأرض في originRef مجهولة الهوية، لكن يمكن إعادة حسابها من قطعة أرض مخمَّنة، ولا يمكن محوها من السجل أبدًا. التخفيف: originRef مرجع إلى دليل أو مرجع عشوائي؛ ويبقى الموقع الجغرافي خارج السلسلة (وفي حالة EUDR، في نظام معلومات الاتحاد الأوروبي). وتجعل المسودة المقترحة مع ADR-019 (مقترح) عبارة "لا يُشتق أبدًا من الموقع" إلزامية (MUST)؛ وقد كان ذلك أصلًا قرار ADR-008.

مراجع منبع لم يُتحقق منها. الدفعة المصنوعة من دفعة رمز آخر تسمّيها في قائمة upstream في بياناتها الوصفية. وهذا ادعاء من جهة الإصدار اللاحقة: فقد تسمّي دفعة لم تحزها قط، أو تُغفل دفعة حازتها. التخفيف: تتحقق المفهرسات والمدققون وأدوات السحب من السوق من كل مرجع مقابل رمز المنبع (أن الدفعة موجودة، وأن تجزئة البيانات الوصفية مطابقة، وأن التحويل إلى جهة الإصدار قد حدث حين تُعطى تجزئة المعاملة) وتعرض المراجع التي تعذّر التحقق منها بوصفها غير متحقَّق منها.

استبدال البيانات الوصفية. تغيّر setBatchMetadata التجزئة وعنوان URI. التخفيف: التقييد بدور؛ وتحفظ أحداث BatchMetadataUpdated وURI التاريخ؛ وتظل المستندات السابقة قابلة للتحقق مقابل التجزئات السابقة.

الركض الأمامي على transferCheck. يمكن أن يصبح الفحص المسبق قديمًا قبل تنفيذ المعاملة (إذ تتغير حالة خطاف). وتعيد المعاملة التقييم؛ وأسوأ الحالات تراجع مع كود دقيق.

استنزاف الغاز عبر الخطافات. يضيف كل خطاف استدعاءً خارجيًا واحدًا لكل معرّف متأثر في كل مرحلة. والخطاف الذي يحتوي حلقات غير محدودة يجعل التحويلات غير ميسورة الكلفة. التخفيف: قواعد كتابة الخطافات (دالة check محدودة)، والمراجعة قبل التسجيل.

الثقة في الخطافات القابلة للترقية. يستطيع خطاف منشور خلف وكيل تغيير سياسة التحويل دون أي تغيير في الرمز. التخفيف: عامِل مفاتيح إدارة الخطافات بالعناية نفسها التي تعامل بها HOOK_ADMIN_ROLE؛ وفضّل الخطافات غير القابلة للتغيير في الإنتاج.

نموذج التحكم في الوصول

يستخدم النظام AccessControl من OpenZeppelin بثمانية أدوار على الرمز ودور واحد على سجل الإفادات؛ ويدير DEFAULT_ADMIN_ROLE جميعها. والتوزيع الموصى به في بيئة الإنتاج:

تمنح initialize كل شيء لمسؤول واحد للتيسير؛ وتشترط قائمة التحقق الخاصة بالنشر إعادة التوزيع قبل الإنتاج.

دلالات الإنفاذ والإيقاف المؤقت

• يمنع الإيقاف المؤقت عمليات السك والتحويل والحرق والتحويل التصنيعي؛ لكنه لا يمنع التحويلات القسرية، ولذلك يمكن تنفيذ أمر قانوني أثناء حادث.
• تتجاوز التحويلات القسرية canSend/canReceive وفحص الرصيد المجمّد، وتخفض المقدار المجمّد إلى ما تبقى، وتشغّل الخطافات مع OP_FORCED_TRANSFER. وتُرجع الخطافات المرجعية OK لتلك العملية؛ ويجوز لخطاف يحكم الإنفاذ أن يشترط مراجع أوامر في data.
• يجوز أن يتجاوز التجميد الرصيد (ERC-7943)، ولذلك يمكن لحق امتياز أن يشمل الإيداعات المستقبلية.

القدرات في المعيار، والسياسات في ملفات السياسات

يرسم ADR-019 (مقترح) خطًا واحدًا عبر كل ميزات الإنفاذ. فالمعيار يثبّت ما هو موجود وما يضمنه: الأدوار، والأحداث، وما يوقفه الإيقاف المؤقت، والكودان AREX:PAUSED وAREX:SANCTIONED، ومن يجوز له إبطال الإفادة، وقواعد الخصوصية. أما ملف السياسات، الذي يُحفظ لكل ولاية قضائية ولكل مؤسسة وتُؤرَّخ إصداراته كما تُؤرَّخ اللوائح، فيحدد من يجوز له استخدام كل قدرة وبأي شروط:

وبذلك يصبح تغيّر القانون تحديثًا للملف، لا عقدًا جديدًا ولا إصدارًا جديدًا من المعيار أبدًا.

سلامة الترقية

• UUPS؛ و_authorizeUpgrade مقيّدة بـ UPGRADER_ROLE.
• هيكل تخزين بفضاء أسماء وفق ERC-7201؛ بالإلحاق فقط.
• تعمل فحوص إضافة الترقيات الخاصة بـ OpenZeppelin في الاختبارات، وينبغي أن تعمل في التكامل المستمر قبل أي معاملة ترقية.
• يُبقي إعداد optimizer.runs = 1 الخاص بالملف التنفيذ تحت حد EIP-170؛ وأي تغيير يدفعه فوق الحد يفشل وقت الترجمة بتحذير وعند النشر بتراجع.

أمان الاعتماديات والبناء

• تثبيت OpenZeppelin Contracts وContracts-Upgradeable عند 5.3.0؛ وإيداع ملف القفل؛ ويستخدم التكامل المستمر npm ci.
• Solidity 0.8.22، وviaIR، وEVM paris (دون اعتماد على التخزين العابر، وقابل للنشر على سلاسل لم تعتمد Cancun).
• لا مكتبات خارجية مرتبطة؛ ولا delegatecall خارج وكيل UUPS.

موقف التدقيق

• 46 اختبارًا على التنفيذ المرجعي والخطافات والامتدادات تغطي كل ثابت أعلاه، بما في ذلك تشغيل عشوائي للثوابت ببذرة محددة.
• يُقاس الغاز والحجم بسكربتات في المستودع.
• يُعد تدقيق من طرف ثالث لـ ARexToken وARexAttestations والخطافات المرجعية شرطًا مسبقًا معلنًا لوجود مشارك محوري في الإنتاج ولتقديم ERC (انظر التطورات المستقبلية).
• التحقق الصوري من ثوابت المسار مدرج في خارطة الطريق؛ والثوابت صغيرة بما يكفي لصياغتها خصائص.

النشرات الأمنية

يحلّ 2.0.0-alpha.3 محلّ 2.0.0-alpha.2. وتُرقّى وكلاء الرمز المنشورة إلى التنفيذ الجديد عبر UPGRADER_ROLE؛ ولا يتغير تخطيط التخزين. أما DeliveryHook فغير قابل للترقية: انشر الإصدار الجديد، وسجّله بـ registerHook، وأزل القديم بـ removeHook، وأعد جدولة عمليات التسليم الجارية، لأن أقفالها محفوظة في تخزين الخطاف القديم. وعلى عمليات التكامل التي تقسّم أو تدمج مباشرة في حساب المشتري أن تعيد تكوين الدفعة في المكان ثم تحوّل، أو أن تستخدم حسابًا يحمل TRANSFORMER_ROLE. ولا تتغير واجهات المعيار.

المخاطر المتبقية التي لا يزيلها المعيار

• الوجود المادي للدفعة وجودتها يُفاد بهما ولا يُثبتان؛ والرمز يجعل الادعاءات منسوبة إلى أصحابها، لا صحيحة.
• يعتمد توافر البيانات الوصفية خارج السلسلة على التخزين المختار؛ والتجزئة تضمن السلامة، لا التوافر.
• حوكمة الخطافات والوحدات لا تفوق في جودتها جودة المفاتيح التي تتحكم فيها.