账户与 Object 模型设计（单链）

日期：2026-07-19
类型：状态/账户模型设计
状态：已对齐需求
关联：2026-07-19-主分片共识-design.md（本模型作用于每一条链内部）
参考：lengzhao/vm docs（architecture / default_library / execution_environment）

1. 目标

在单条链内统一：

• 类 UTXO：用户拥有的 Object（含原生 Coin Object），修改需用户签名
• 全局账户：合约默认 Object（Owner=合约），类似 EVM 共享状态，冲突时串行
• 冻结：不另设类型，将 Owner 转为协议保留的 冻结地址
• 防状态爆炸：每个 Object 均有 有效期；到期移出活集；支付费用可续期

不另建「地址→余额」总账；原生币以 Coin Object 为主。

对象版本：活集与防双花以单调 version 为准（不用 content_hash 作活键）。

2. 核心模型（§1）

2.1 唯一状态载体：Object

每个 Object 至少包含（对齐 default_library Object）：

账户 = Address（签名主体与 Owner），不是独立余额账本。

所有 Object（含默认 Object、Coin、已冻结 Object）都必须带有效期；冻结只禁止改内容/Owner，不免除续期义务。

2.2 Owner 决定语义（不设 Shared/Immutable 枚举）

flowchart TD
  O[任意 Object 必有 Owner]
  O --> U{Owner?}
  U -->|用户| A[需用户签名<br/>类 UTXO]
  U -->|合约| B[仅合约可改<br/>类 Shared]
  U -->|FREEZE_ADDR| C[冻结只读]
  A -->|SetOwner 冻结地址| C
  B -->|合约 SetOwner| C

2.3 与 vm 双模式的对应

摘自 architecture §3.6：

1. 统一账户：状态写入合约默认 Object（空 ID，Owner=合约）→ 易冲突 → 串行
2. 并行路径：为用户创建独立 Object（Owner=用户）→ 无读写交集可 并行

权限（architecture §3.7）：可写当且仅当 Owner 为交易发起方（已签名）或当前执行合约。

2.4 有效期与续期（防状态爆炸）

stateDiagram-v2
  [*] --> Alive: Create(expire_at, version)
  Alive --> Alive: Renew(任何人付费)\nexpire_at 延长 / version 不变
  Alive --> Alive: 业务写入\nversion+1
  Alive --> Expired: now >= expire_at
  Expired --> [*]: 移出活集/可GC

实现提示：expire_at 为侧车元数据（租金索引），不因续期而 bump version；仅业务 Set / SetOwner / Coin 拆并等改变内容时 version += 1。

3. Coin Object（§2）

原生币是一类特殊 Object，不维护地址余额表。

某地址余额 = 其拥有的同币种 Coin 的 amount 之和。

业务变更（Split/Merge/Transfer/扣 Gas）→ version + 1；纯 Renew → version 不变。

3.1 拆分 / 合并 / Transfer

3.2 Gas

• 用原生 Coin Object 支付；Gas Coin ∈ write_list（带当前 version）
• Owner 须为发起方并签名
• 扣费通过减额/Split，找零留在发起方名下

3.3 冻结

• SetOwner(FREEZE_ADDR)（业务写入 → version + 1）
• 之后禁止 Set、禁止再 SetOwner、禁止作 Gas
• 默认不可解冻（治理特权另议）
• 仍须按 §2.4 续期；冻结≠永久免租金

3.5 Coin 与有效期

• Coin 同样有 expire_at；持币人需续期，否则过期后该 Coin 从活集消失
• 建议钱包在临近过期时自动 Renew；合并 Coin 时可取「各输入 expire_at 的保守策略」（例如取 min 再强制续期到统一截止）

3.4 存放边界

4. 交易、并行与防双花（§3）

4.1 交易声明

Gas Coin、默认 Object（若写入）必须出现在正确列表中。
引用对象时校验：活集中存在该 (id, version) 且 now < expire_at，否则按「对象不存在」失败。
Renew：不要求目标进入 write_list（version 不变）；支付续期费的 Coin 仍进支付方 write_list。任何人可续期任意未过期 Object。

4.2 写授权

flowchart TD
  W[Write 目标] --> O{Owner?}
  O -->|用户| S{含该用户签名?}
  S -->|否| F[拒绝]
  S -->|是| OK[允许]
  O -->|合约| C{在该合约上下文?}
  C -->|否| F
  C -->|是| OK
  O -->|FREEZE_ADDR| F

4.3 冲突与并行

冲突：一笔的 write 与另一笔的 read∪write 有交集（按 object_id，或更严按 (id, version)）。

由链节点按 Read/WriteList 调度；VM 可被并行调用（execution_environment §6）。

4.4 防双花：ID + version（已定稿）

活对象键 = (object_id, version)。

1. 交易输入必须引用当前活的 version
2. Object 一旦被业务写入，旧 version 立即从活集移除，新状态为 version + 1
3. 双花第二笔仍带旧 version → 该版本对象不存在 → 交易失败
4. 并行下同一 (id, version) 至多被一笔交易写入
5. Renew 不增加 version，故续期不会使已广播的 (id, version) 引用失效

sequenceDiagram
  participant T1 as 交易1
  participant S as 活对象集
  participant T2 as 交易2双花
  Note over S: O = id + version=5
  T1->>S: 引用 id@v5 并修改
  S->>S: 失效 v5，写入 id@v6
  T2->>S: 引用 id@v5
  S-->>T2: 版本不存在 → 失败

稳定的是 object_id；业务变更时递增的是 version。双花失败是因为旧 version 不在活集，不是因为 ID 消失。

5. 地址、默认 Object 与链边界（§4）

5.1 地址类型

5.2 合约默认 Object

• 部署时自动创建；空 ObjectID（或约定 ID）取得
• Owner = 合约地址；初始 version = 1
• 承载「全局账户」状态；多笔争用则串行
• 同样有有效期：可被任何人付费续期（version 不变），否则过期不可用

5.3 与主分片的关系

• 本模型 每条链一份 Object 状态；链间不共享 ObjectID 空间（或加 chain_id 前缀）
• 跨链资产移动走共识文档中的父子锚定 / 跨链消息，不在本文展开
• 创链、出块等见 2026-07-19-主分片共识-design.md

6. 决策记录

7. 待标定参数

• version 起始值（0 或 1）与溢出策略（u64 足够）
• FREEZE_ADDR 常量取值
• TTL_default、按字节计费的续期费率、单次续期上限（代付已定为任何人可续）
• 过期 Coin 是否提供短宽限期（默认无）
• expire_at 存储位置（侧车租金索引）
• 原生币小数位、最小面额、Coin 合并上限
• 交易未声明却访问对象时的失败策略（严格拒绝 vs 执行期补查）
• 合约上下文嵌套调用时的 Owner 授权栈规则细节

与 vm 文档统一：Object + Owner + 默认 Object 双模式；防双花采用单调 version（类 Sui），续期与 version 解耦。

• Previous
  智能合约 Design