安全与运营

Pali 智能账户应被视为账户基础设施。合约持有资产，已安装的模块决定谁能移动这些资产。

检查清单

• 确认哪个验证器控制账户：passkey、ECDSA、composite 或 recovery。
• 将外部 ECDSA owners 视为高风险。
• 定义 guardians、threshold 和恢复延迟。
• 确保 gas payer 有足够余额。
• 监控部署失败、模块安装失败和过期恢复。

Pali 当前收集本地可用的内置子验证器批准，直到达到门槛。此版本不支持嵌套组合策略，也不收集外部或跨设备批准。守护者恢复仍独立于当前验证器策略。

设计组合策略时，应记录阈值的设计依据：1-of-N 优化可用性，N-of-N 优化保障，t-of-N 在两者之间取得平衡。验证器是可替换的模块，因此策略（甚至签名方案——包括未来的后量子验证器）以后都可以升级，而无需更改账户地址。Guardians 是执行器角色的模块，无论当前激活哪种验证器策略，都保持独立。

Pali 的引导式守护者恢复会在等待期后替换当前验证器。完成确认前，原批准方式仍然有效。但链上执行器能够执行守护者批准的账户操作，并不限于界面中的验证器替换；已安装的钩子可能增加限制。达到门槛的守护者遭到入侵会危及控制权和资金。已安装模块要求有效批准；Pali 每次尝试使用新的 salt，合约对每个账户只允许一个尚未到期的有效恢复。

最新守护者恢复指南

完整指南介绍设置、开始、完成及 Disable guardian recovery。新策略提供 3 天或 7 天等待期；10 分钟仅限已知测试网。确认停用需要当前批准方式和 gas，会使待处理恢复失效并移除此恢复途径，但不能撤销已完成的恢复。交易结果不确定时，请先检查链上状态再考虑重试。可选的 Sysnode 提醒需要已验证邮箱和钱包签名；不会获取密钥，也不保证邮件送达。