https://blog.elixus.tw/tags/elix/Recent content in Elix on ElixusHugozh_TWSun, 23 Aug 2026 00:00:00 +0800https://blog.elixus.tw/2026/08/elix-privacy-verifiable-credentials/Sun, 23 Aug 2026 00:00:00 +0800https://blog.elixus.tw/2026/08/elix-privacy-verifiable-credentials/<p><img src="https://blog.elixus.tw/images/img-3dc3f777c3a1.jpg" alt=""></p> <p>最近 Elix 上了 1.0.5 iOS 版，Android 目前還在送審的路上</p> <p>也開始有朋友傳訊息表達對於這個設計的興趣，畢竟目前各種社群媒體已經被各種沒有朋友的帳號、或是資訊操弄佔領。甚至我前幾天發的幾篇文，包含轉發紐約時報報導台灣民防的文章，都有類似的帳號來留言。就更不用說一些比較敏感的社團，常常會有奇怪的帳號入侵。</p> <p>很多人覺得這些問題真的很困擾，但想像上要解決這些問題，似乎又要犧牲大家的隱私，好像要有一個可以正常、而且不需實名制的公共討論空間已經難以達成。</p> <p>而 Elix 的眾多目的之一就是希望在這個前提底下，先有一個安全的網路公共空間，接著我們再來討論怎麼識別假訊息，或是因為演算法造成的社會極化等等困境。當然這些後續的問題也是 Elix 希望可以跟各位使用者共同面對的問題之一。</p> <p>我們希望實作能保有匿名，而又安全公共討論空間的方式，還是需要透過可受公眾信任的方式來達成，現在 App 採用的是護照以及電子自然人憑證。對絕大多數的使用者來說，這些都是極度敏感的個人資料，因此要可以安心使用 Elix App 應該還是必須先確認自己進行身分驗證的方式是受到保障的。</p> <p>目前 Elix 的完整原始碼是使用 MIT 授權的開放原始碼專案。即使如此，但大多數的人並不會去讀這些原始碼，而且這個專案整個 repo 內的程式也非常複雜，其中包含了 Node.js，Rust，Elixir，以及 Flutter。所以我就跟 AI 一起把整個驗證身分的流程跟相對應的原始碼位置幫大家整理出來，也歡迎大家有什麼建議或修正都可以送 Pull requests 來。</p> <hr> <p><strong>以下為我跟 AI 協作，AI 負責草稿以及對應的 code links，並由我確認內容</strong></p> <p>當一個社群服務說「已驗證真人」時，最重要的問題不是它用了哪個 API，而是：平台究竟知道了什麼、保存了什麼，又能把什麼交給其他人？</p> <p>Elix 的目標不是實名制。它要讓使用者能在需要時證明「這是一位通過特定條件驗證的人」，但不把姓名、身分證字號、護照號碼或出生年月日變成社群平台可以任意查詢的帳號資料。</p> <p>不過，這不是一句「所有資料都不會傳到後端」就能說清楚的事情。不同驗證方式有不同的資料路徑；尤其是 MobileMoica／TW FidO 與護照 NFC，隱私邊界並不相同。以下是依 Elix 原始碼整理的可檢驗說明。程式碼連結固定指向本文檢查時的 <a href="https://github.com/hcchien/Ansible/tree/c117a03ee9100bfe813d60d4fe17451ee41a6522">commit <code>c117a03</code></a>，避免日後程式改動使說明失去對照。</p> <h2 id="did不是姓名而是使用者可控制的驗證身分">DID：不是姓名，而是使用者可控制的驗證身分</h2> <p>DID（Decentralized Identifier）可先理解成一個可驗證的帳號識別碼，例如 <code>did:elix:…</code>。它本身不是法定姓名，也不應包含身分證字號或護照號碼。它所代表的是：某把公開金鑰所對應的身分，能否對一段指定訊息做出有效簽章。</p> <p>文中的 VC（Verifiable Credential，可驗證憑證）可以想成一張放在自己手機裡的「驗證結果卡」：它可以說明「這個帳號已通過真人驗證」或「持有人已滿十八歲」。其他服務能確認這張卡確實由可信的驗證單位發出、仍然有效，卻不需要看到你的身分證或護照原件。</p>