build Docker 镜像下载 - 轩辕镜像

Anchor 可验证构建（Verifiable Build）概述

Anchor 可验证构建是 *** 智能合约开发框架 Anchor 提供的一套构建验证机制，旨在解决传统智能合约构建中「环境不一致」「依赖不透明」「产物可信度低」等问题。通过这套机制，开发者可生成包含完整构建信息的元数据，第三方能基于相同的源码和环境配置独立复现构建过程，并比对产物哈希，以此确认合约二进制文件（.so）未被篡改，且与公开源码完全匹配，最终提升合约在部署和审计环节的可信度。

核心目标

1. 确保构建环境一致性

不同开发者或审计方的本地环境（如 Rust 工具链版本、依赖库版本）差异，可能导致同一源码生成不同的合约二进制文件。可验证构建通过强制锁定工具链和依赖版本，确保任意环境下的构建结果完全一致。

2. 实现依赖透明化

构建过程会记录所有直接/间接依赖的版本及哈希值，避免因依赖库被恶意篡改（供应链攻击）导致合约存在隐藏风险，让审计方清晰掌握完整依赖链条。

3. 支持第三方独立验证

生成的构建元数据（含源码哈希、工具链版本、依赖信息等）可随合约一同发布，第三方无需信任开发者，直接通过元数据和源码复现构建，并比对产物哈希，确认合约二进制文件与源码的一致性。

关键操作步骤

1. 准备标准化环境

• 安装指定版本的 Anchor CLI：可验证构建对 Anchor 版本敏感，需使用支持该功能的版本（建议 v0.28.0 及以上），通过 cargo install --version <版本号> anchor-cli 安装。
• 锁定基础工具链版本：确保本地 Rust 编译器（rustc）、*** CLI 版本与项目要求一致，可通过 rustup default <版本号> 固定 rustc 版本（如 rustc 1.75.0），并执行 *** --version 确认 *** CLI 版本匹配。

2. 配置项目构建参数

• 修改 Anchor.toml 文件：在项目根目录的 Anchor.toml 中添加或确认以下配置，锁定工具链和依赖：

  [toolchain]  
  # 固定 Rust 工具链版本（需与本地安装版本一致）  
  rustc = "1.75.0"  
  # 固定 Anchor 框架版本  
  anchor-cli = "0.28.0"  
  
  [dependencies]  
  # 明确指定所有依赖库的版本（如 anchor-lang = "0.28.0"），避免使用通配符（如 ^0.28.0）  
  

• 生成依赖锁定文件：执行 cargo update 确保 Cargo.lock 文件完整记录所有依赖的精确版本及哈希（该文件需随源码提交至版本库）。

3. 执行可验证构建

在项目根目录执行以下命令生成合约二进制文件和构建元数据：

anchor build --verifiable  

• 输出产物：
  • 合约二进制文件：位于 target/deploy/<合约名>.so；
  • 构建元数据：自动生成 verifiable-build.json 文件（位于项目根目录），包含关键信息：rustc 版本、依赖库哈希、源码 Git 提交记录、构建命令参数等。

4. 第三方验证流程

第三方（如审计方、部署平台）验证时，需按以下步骤操作：

1. 获取完整源码（包括 Cargo.toml Cargo.lock Anchor.toml 及所有合约代码文件）；
2. 安装与元数据中记录一致的工具链（rustc、Anchor CLI、*** CLI 版本）；
3. 执行 anchor build --verifiable 复现构建；
4. 比对复现的 target/deploy/<合约名>.so 哈希值与开发者提供的二进制文件哈希是否一致——若一致，说明构建可信。

注意事项

• 构建元数据需随合约发布：verifiable-build.json 是验证的核心依据，需与合约二进制文件一同发布（如上传至代码库、IPFS 或项目文档）。
• 避免本地临时修改：构建前需确保源码无未提交的本地更改（可通过 git status 检查），防止因源码不一致导致验证失败。
• 依赖版本严格锁定：Cargo.lock 不可省略或手动修改，需通过 cargo update 自动生成，确保依赖版本与构建时完全一致。

通过以上步骤，Anchor 可验证构建能有效降低智能合约的信任成本，尤其适用于需要公开审计或多方可信部署的场景（如 DeFi 协议、NFT 合约等）。