Tornando Programas Imutáveis

Revogar a autoridade de atualização torna o bytecode do programa permanente na chain. Os usuários ganham confiança de que a lógica não pode ser alterada, mas você perde a capacidade de corrigir bugs sem implantar um novo ID de programa e migrar o estado.

Receita

Cartão de receita de referência rápida - pronto para copiar e colar.

# Irreversível - confirme o ID do programa e o hash primeiro
solana program set-upgrade-authority <PROGRAM_ID> --final
solana program show <PROGRAM_ID> | grep Authority

Quando usar isso:

• Protocolo maduro maximizando a confiança (trustlessness).
• Lançamento final pós-auditoria sem alterações planejadas.
• Requisito da comunidade para contratos imutáveis.
• Concluindo o cronograma de governança para congelar o código.

Exemplo de Trabalho

PROGRAM_ID=YourProgram1111111111111111111111111111111
 
# 1. Verifique se o hash corresponde à atestação publicada
solana-verify get-program-hash "$PROGRAM_ID" --url mainnet-beta
# compare com a atestação do README
 
# 2. Confirme a finalidade pretendida do multisig (se aplicável)
# proposta do squads: "Revogar autoridade de atualização"
 
# 3. Revogue a autoridade (FINAL)
solana program set-upgrade-authority "$PROGRAM_ID" --final
 
# 4. Confirme imutável
solana program show "$PROGRAM_ID"
# Authority: (none)

O que isso demonstra:

• --final define a autoridade de atualização para nulo permanentemente.
• Nenhuma instrução pode atualizar o ELF após este ponto.
• Exploradores mostram o status imutável aos usuários.

Mergulho Profundo

Como Funciona

• O upgradeable loader verifica a chave pública da autoridade nas instruções de atualização.
• Autoridade nula rejeita todas as atualizações futuras.
• O ID do programa e os endereços voltados para o usuário permanecem válidos.
• Nova lógica requer nova implantação de programa + migração de estado.

Imutável vs. Atualizável

Notas do bash

# Não há como desfazer na CLI - apenas implante um novo programa se um bug for encontrado
echo "Certifique-se de que os playbooks de incidentes cubram a migração para um novo ID de programa"

Armadilhas

• Revogação prematura - Bug descoberto após a revogação. Correção: Período de "bake" com atualizações apenas por multisig antes de --final.
• ID de programa errado - Revogação de implantação não intencional. Correção: Verifique triplamente a chave pública e a saída de program show.
• Bytecode não verificado - Código ruim imutável para sempre. Correção: solana-verify para corresponder antes da revogação.
• Assumir que a migração é fácil - Fundos do usuário vinculados a PDAs de programas antigos. Correção: Planeje ferramentas de migração antes do marketing de imutabilidade.
• Padrões de proxy - Programa imutável com delegado atualizável confunde os usuários. Correção: Documente a arquitetura claramente.
• Revogação de hot wallet - Chave comprometida revoga cedo. Correção: Multisig executa a revogação final.

Alternativas

FAQs

Relacionado

• Program Upgrades - antes da imutabilidade
• Governance-Gated Upgrades - caminho multisig
• Verifiable Builds - verifique primeiro
• Deployment Best Practices - política de autoridade

Versões da Stack: Esta página foi escrita para Agave 4.1.1, Solana CLI 3.0.10, Anchor 0.32.1, anchor-lang 0.32.1, Rust 1.91.1, @solana/kit 7.0.0, Surfpool 0.12.0, e LiteSVM 0.6.x.