邱望舒把自己的姓名从试验板上摘了下来。
木牌背后原本连着三项记录：巡契人身份、短时试验输出和结算账户。她只是测试人员，并不真正供能，系统却在她录入第一道波形时自动补全了年龄、籍属与万契台履历。
“这就是为什么不能先填真实姓名。”她说。
衡灯院旧技师认为这只是旧系统的方便功能。姓名能连接历次输出、伤病风险和信用，若全部拆开，每次新请求都要重新判断，调度会慢，恶意违约也更难追。
供能者席问：“什么叫恶意违约？”
“答应一刻却中途停止，或者隐瞒无法承受的负荷。”
“若中途身体不适呢？”
“需医疗记录证明。”
“若他不愿把病历交给调度机构？”
旧技师顿了一下：“至少要有稳定性结论。”
问题正卡在这里。设备需要知道某一份输出能承受多少、持续多久，不需要知道提供者父母是谁、住在哪间屋、欠过哪一笔钱。结算需要确认报酬付给正确的人，也不需要把姓名长期留在总控灯路。
邱望舒提出三层编号。
第一层是本人保管的可撤回源号。每次参加试验前由本人生成，只标明本次允许的负荷、时段与自动停止条件。源号到期即失效，下一次是否沿用由本人决定。
第二层是独立健康档。医修只回答当前安全上限、必要停供条件和复查时间，不向调度席开放病名、旧伤来源与完整病历。本人可以换医修，也可以要求两人复核。
第三层是一次性结算码。报酬先进入中立账，完成约定后凭码转入本人选择的账户。财务席只见金额与纳税、债务等合法扣项，不把账户反向交给调度席。
三层之间只有本人能主动连接。发生争议时，公议所可发出核对请求，不能自行打开全部对照。若涉及立即安全风险，设备先停止相应源号，等本人或医疗代理确认后再决定是否恢复。
衡灯院提出反例：“同一个人同时申请三个源号，超过身体上限怎么办？”
邱望舒没有回避。健康档可给个人端设备签发一个只回答“当前总量是否超过上限”的盲判印。调度席提交三个源号，盲判印只返回可行或超限，不显示这些源号是否属于同一姓名。本人也能在自己的界面看见总量。
“若他借用别人的健康印？”
“即时掌纹或本人选择的双重验证。”
“掌纹也是身份。”
“验证发生在本人端，只回真假，不上传纹样。”
旧技师连续问了七种钻空方式。有人嫌他存心阻挠，邱望舒却让他继续。匿名不是一句保护隐私便结束，若结构轻易被冒用，第一次事故就会成为恢复实名总表的理由。
他们用二十份假资料做攻击测试。
负责攻击的人不只来自专业席。公议所请来一名客栈掌柜、一名医馆账房、一名曾经替宗门批量登记姓名的归籍吏和两名普通居民。专业人会寻找高深的权限漏洞，实际生活里更多泄露来自一句顺口询问、一张放错桌面的收据和“大家都这么办”的熟练动作。
客栈掌柜用入住时辰与源号上线时辰对照，猜中三份模拟身份；医馆账房从罕见复查周期猜中一份；归籍吏甚至不看系统，只凭批次号排列方式判断哪几人来自同一宗门。技术上没有公开姓名，组合信息仍可能把人重新认出来。
匿名层于是增加最小批次与延迟显示。公开屏不显示精确到一息的上线时刻，只显示足够监督结算的区间；罕见医疗条件合并成安全类别；批次号随机生成，不保留宗门顺序。本人仍能看完整时间和金额，若要举证，可主动开放相应片段。
延迟不能掩盖事故。公共硬线下降、设备故障和机构调用仍实时公开，只把个人源号做短时模糊。若有人怀疑结算造假，可由独立席核对原始记录，并留下谁查过、为什么查、查到什么范围。
一人重复申请、两人交换结算码、过期源号再次上线、健康档撤回后设备继续读取、机构用维修名义索要姓名、居民以补偿核验为由查询住址。二十次里，最初设计挡住十四次，余下六次暴露了漏洞。
一次性结算码若被转交，钱会付给持码账户；过期源号在旧接口有三息缓存；机构维修日志仍会留下源号与具体床位同时出现的组合。
公议所没有把六次失败藏掉。
结算增加本人端二次确认，仍允许本人合法指定收款人；三息缓存改为只允许降载，不允许增加输出；维修日志把源号替换为随机故障位，只有本人和独立安全席可连接。每次改动都记下新增成本与可能延迟。
修改后又做二十次复测。第一次攻击的四名非专业参与者调换位置，避免只会防住已经见过的动作。复测仍有一处能被猜到：同一人连续三日选择极少见的高负荷短时段，熟人可能从生活习惯辨认。
这类风险无法靠完全打乱数据消除，否则居民也看不见高负荷是否集中在少数人身上。最终决定由本人选择是否合并跨日摘要；公共屏只展示整体有多少来源连续参加，不展示哪一个源号连续。保护隐私与监督集中使用之间没有完美答案，只能把剩余风险写明，让本人知道再选择。
匿名说明也增加撤回入口。源号到期后，结算与事故所需的最小记录按期限保留，其余对照由本人删除；若存在争议，保留范围需单独通知，不能用“以后也许有用”无限保存。
姜明妩也参加测试。
她没有灵根，不能作为人力源，便用水轮的模拟输出申请一个设备号。两张编号贴纸一正一反，她随手把本人对照贴到了公开接口，把公开源号收进袖中。
晏清和站在旁边，看见了，没有说。
姜明妩把木牌扣上去，调度屏立刻跳出“格式不可读”。她检查接口，又检查水轮，折腾半刻才发现贴纸反了。
“你早就看见了？”她转头问。
“看见了。”
“为什么不提醒？”
“本人保管。”
姜明妩被自己的规则堵得无话可说。周围几名记录员同时低头，假装没有笑。她撕下贴纸重新贴好，经过晏清和身边时压低声音：“今晚你的茶也本人保管。”
“我可以提出访问申请。”
“驳回。”
“理由？”
“申请人明知错误不提醒。”
“那我申请复核。”
姜明妩到底笑了。她的设备号在下一息成功上线，公开屏只显示负荷、时段、费用与设备类别，没有出现她的姓名。两刻后她亲手撤回，对照表随即失效，旧接口也无法重新连接。
这次小插曲反而验证了一件事：即使对照被误放到公开端，系统也不应读取真实信息。格式不可读比聪明地替人补全更安全。
下午，第一份真实申请进入。
申请人是一名愿意提供半个时辰短时输出的天市居民。他不愿公开姓名，只允许独立医修确认当前可承受一成负荷，结算进个人账户，源号在半个时辰后失效。
旧衡灯系统拒绝建立记录，理由是“无长期身份信用”。
机构席借此再次要求至少保存十年姓名对照。许兰因反问，普通债权的短期工也不会因为只做半个时辰，就把十年住址交给雇主；信用应来自每一份契是否完成、争议如何处理，而不是先掌握一个人的全部生活。
邱望舒将信用拆成三类。
设备信用属于水轮和阵具，记录故障与维护；服务信用属于具体源号，只记录本次履行；个人若自愿积累跨次信用，可以在本人端生成可验证摘要，例如过去十次中完成九次、一次因医疗自动停止，却不公开十次是否同一住址、同一宗门或同一病史。
停止本身也不能自动算违约。若在约定的即时退出权内停止，只影响本次已完成时长的结算，不生成负面标记。只有伪造输出、盗用验证或收款后从未上线等明确行为，才进入可申诉的争议记录。
旧系统仍不接受。
要让那半个时辰真正进入灯路，众源契必须先建立一套不依赖长期姓名的短期价格与履行方式。
申请人等在门外，只留下一句话：“我可以只试半个时辰。若你们非要我的一辈子，这半个时辰也不给。”
邱望舒把这句话写进测试结论，却没有公开申请人的声音和到场时辰。连一句有力量的话也可能成为识别线索，记录员只保留文字，并注明经本人同意用于说明短期授权。
当天共收到另外九份咨询。四人愿意匿名参加，两人只想提供设备，三人明确不参加却要求查询自己的旧姓名是否会被自动带入。众源契必须同时服务愿意、犹豫与拒绝，不以报名人数证明制度正确。