如何確認已簽署協議未被修改？

唯一原則：與事後沒人能編輯的內容比對

副本只能與簽署時已固定、雙方之後均無法改動的內容核對。一個人手裡的兩份副本證明不了多少，因為此人可能修改過兩份。有用的問題始終是：簽署時固定了什麼，由誰保管？

通常有三種答案：雙方各自的原件、您使用的電子簽名服務保管的紀錄，以及在已知日期寫入雙方都無法控制之處的指紋。下文逐一說明。

紙質協議：逐頁比對兩份原件

如果各自保留了簽署紙質原件，將兩份並排逐頁核對：措辭、數字、日期、手寫修改及旁邊的姓名首字母，以及頁數。替換頁面和數字的小改動，是副本最常出現差異的地方。

如果只有一份原件，次優選擇是對方在簽署時通過電子郵件或短信收到的掃描件或照片，因為訊息有自己的日期。將紙件與它比對。

電子簽名服務提供的 PDF

多數電子簽名服務會隨已簽署文件提供兩樣東西。一是完成證書或審計紀錄，列出文件、每位簽署人的電子郵箱，以及各人查看和簽署的時間。二是許多服務會在 PDF 本身加上數位封印。

用支持數位簽章的閱讀器打開已簽署 PDF，找到簽名面板。文件帶封印時，面板會顯示簽署後是否被改動。隨後將自己的副本與對方收到的副本比對；如果帳號仍能下載，也與服務商保存的副本比對。

證書和面板的位置因服務而異，應查看您所用服務的幫助頁面。注意檢查依賴什麼：日期和審計紀錄來自服務商，其他人仍是依據服務商的報告接受這些資訊。

逐步查核 TrustChain 協議

在 TrustChain 上，這項檢查針對已錨定紀錄。錨定把紀錄指紋寫入帶日期的 Polygon 交易，只有已錨定紀錄的改動才能這樣被發現：改動後便不再匹配。雙方簽署後公開連結即可使用，無需帳號。

第 1 至 3 步只需瀏覽器。第 4 步需要電腦上的 Node.js。如不想做這一步，可用 trustchain.biz/verify-signature 的“檢查紀錄”頁面，在瀏覽器中比對您貼上的指紋與 TrustChain 公開紀錄為該紀錄 ID 列出的指紋。

1. 打開公開紀錄. 打開紀錄的公開連結，末尾是 8 位紀錄 ID。無需帳號即可打開，已錨定的紀錄會顯示已在 Polygon 上錨定。
2. 記下指紋和交易. 複製指紋及“錨定於”日期，再通過“在 Polygonscan 查看”打開為其確定日期的 Polygon 交易。
3. 在 Polygon 上尋找相同指紋. 在瀏覽器中確認交易成功並讀取日期。該時間可能比紀錄頁面的“錨定於”時間早幾秒，後者是 TrustChain 保存錨定的時間。然後在交易輸入資料中找出與指紋相同的 64 個字元。
4. 運作開源查核工具. 從 TrustChain 的 GitHub 開源倉庫運作 trustchain-verify，並提供紀錄 ID。它讀取公開紀錄和 Polygon、進行比對，並輸出每項檢查及這些檢查不能說明什麼。

使用示例紀錄試一試

trustchain.biz/verify/5c79fbb0 是示例紀錄：TrustChain 在開發期間建立的自有測試紀錄，不是客戶的協議。它已在 Polygon 上錨定，因此上述每一步都適用，開源查核工具自身的測試資料也來自它。

安裝 Node.js 18 或更高版本後，這三個指令會下載查核工具，並對示例運作：

1. git clone https://github.com/TRUSTCHAIN-creator-KK/trustchain-protocol.git
2. cd trustchain-protocol
3. node verify/bin/trustchain-verify.js 5c79fbb0

• GitHub 上的 trustchain-verify: 原始碼、執行的每項檢查，以及通過檢查不能說明什麼

開源查核工具檢查什麼

trustchain-verify 唯讀。它向 TrustChain 發起一次調用，使用與紀錄頁面相同的公開接口；其餘資訊均從公開 Polygon 節點讀取。它絕不傳送交易，也無需密鑰或帳號。

最後會返回結束碼。0 表示全部檢查通過，1 表示某項檢查失敗。2 表示工具無法完成，例如網路中斷，絕不是對紀錄作出的判斷。

通過表示以下各項都成立：

1. 公開紀錄列出了錨定：指紋和 Polygon 交易。
2. 交易在 Polygon 上成功，併傳送到 TrustChain 的錨定合約；該合約程式碼與倉庫公開的原始碼一致。
3. 交易由 TrustChain 的錨定錢包傳送。任何人都能向合約寫入，因此這一項很重要。
4. 交易寫入的指紋與紀錄顯示的一致，合約自身的事件日誌也一致。
5. 合約仍保存相同指紋及相同時間，區塊時間也匹配。

什麼是指紋

指紋是根據資料計算出的短碼。相同資料總會產生相同指紋，改動一個字元就會產生完全不同的指紋，因此匹配說明其背後的資料未改變。

TrustChain 指紋涵蓋紀錄的內部 ID、標題、條款、金額和雙方帳號 ID。公開頁面不顯示帳號 ID，因此無法單憑協議正文重新計算指紋。把正文放入指紋工具，絕不會得到 TrustChain 的值。

查核工具也可利用包含這些確切輸入的紀錄檔案重新計算指紋。已錨定協議的任何一方都能從協議的“證據”分頁下載該文件，其中的 Polygon 檢查也在瀏覽器里進行同樣比對。PDF 或證書不夠，因為它們都不含帳號 ID。

錨定寫入的不只是指紋：Polygon 交易同時包含指紋、TrustChain 對該紀錄的 ID，以及兩個空錢包欄位。協議正文、姓名和郵箱均不寫入鏈上。TrustChain 如何儲存和錨定紀錄，詳見 trustchain.biz/security。

這些檢查不能說明什麼

匹配說明：該指紋在該時間由 TrustChain 的錨定錢包寫入 Polygon，而且 TrustChain 的公開紀錄仍報告同一指紋。合約沒有修改或刪除條目的功能。匹配仍不能回答以下問題，查核工具每次都會列印出來：

1. 當事人是誰，或是否有人簽署。簽署發生在 TrustChain 應用程式內，簽名及其時間來自 TrustChain 自己的紀錄。
2. 除 TrustChain 的說明外，不能獨立證明 8 位紀錄 ID 屬於這次錨定。該紀錄 ID 沒有寫入鏈上（寫入的是 TrustChain 的內部 ID，是另一段程式碼）；兩者的關聯來自 TrustChain 公開接口返回的交易。
3. 指紋由哪些內容生成，除非您有只有協議雙方才能下載的紀錄檔案。
4. 條款是否公平，或在您所在地意味著什麼。
5. 從未錨定的紀錄的任何情況。沒有錨定就沒有公開指紋，紀錄依賴 TrustChain 自身帶時間戳記的審計紀錄。

副本不一致時

不要丟棄任何副本，也不要修改一份來匹配另一份。保持兩份原樣，記下何時、如何發現差異，並保留收到各副本時所附的訊息。

然後把每份副本與簽署時固定的內容比對：另一份原件、服務商證書，或錨定指紋。下一次溝通應從可以指出且帶日期的差異開始。如果變成對約定內容的爭執，這篇指南介紹第一封應傳送的回復：

• 客戶說這不是我們的約定。現在怎麼辦？