DID与可验证凭证：数字人授权与可信核验基础

先区分四个概念：标识、凭证、验证与信任

讨论数字人授权与可信核验时，DID、可验证凭证、区块链和认证经常被混在一起。更准确的理解是：DID用于标识一个主体；可验证凭证用于表达由签发方作出的声明；密码学验证用于检查凭证来源与完整性；业务信任则由核验方根据签发方、审核规则、用途和风险作出判断。

这四层相互连接，但不能互相替代。一个凭证通过密码学验证，不代表其中每项事实都适合当前业务；一个身份标识独立，也不代表其背后的个人、组织或数字人已经完成充分授权。

适合谁阅读

• 正在评估品牌数字人、真人数字分身、虚拟主持人、AI讲解员或数字员工授权核验方案的市场、品牌、产品和数字化负责人。
• 需要向法务、合规、安全、IT或管理层解释“可信认证到底验证什么”的项目负责人。
• 已经听到 DID、VC、区块链、凭证、核验等概念，但还没有把它们放进业务流程和责任边界中的团队。
• 需要把数字人可信能力概念转给同事、合作方或管理层，先形成共同语言的企业团队。

如果你正在搜索“DID是什么”“可验证凭证是什么”“可信数字身份”“数字人身份认证”“数字人可信凭证”或“DID和区块链关系”，这篇内容适合先帮助你建立基础判断：哪些是技术验证，哪些是业务信任，哪些还需要产品、安全、合规和项目规则共同确认。

你可能正在关心的问题

读完后可以怎么继续

• 先对照自己的场景：把文中的问题对应到当前项目，确认哪些已经清楚、哪些还需要补充。
• 再准备沟通资料：整理现有素材、授权关系、使用渠道、上线目标或风险关注点。
• 进入方案沟通：带着初步判断预约沟通，进一步确认范围、实现路径和下一步安排。

什么是DID

W3C《去中心化标识符（DID）1.0》把DID描述为一种支持可验证、去中心化数字身份的新型标识符。DID可以指向个人、组织、物体、数据模型或其他主体，并与控制该标识所需的验证方法和服务信息建立关系。

一个DID通常类似一段URL，例如以did:开头，并包含具体DID方法。不同方法决定标识如何创建、解析、更新和停用。DID标准并不等于某一条区块链，也不要求把个人资料直接公开写入链上。

DID文档承担什么作用

解析一个DID后，系统可能获得与该标识相关的DID文档。文档可以包含验证方法、认证关系、服务端点等信息，用于帮助系统确认谁有权控制该标识，以及如何与相关服务交互。

DID文档不是个人档案，也不应默认承载姓名、证件、人脸或完整授权合同。身份属性和权利声明更适合通过受控的可验证凭证表达，敏感资料则应依据用途、权限和法律要求处理。

什么是可验证凭证

W3C《可验证凭证数据模型2.0》把可验证凭证定义为一种可由密码学方式验证作者身份、并能发现篡改的凭证。它可以表达“某个签发方对某个主体作出了哪些声明”，同时包含凭证类型、签发方、有效期、状态和安全机制等信息。

在数字人场景中，一张凭证可能用于表达品牌授权、角色关系、运营资格、资产版本或其他经过审核的声明。具体声明必须由业务和合规规则确定，不能因为技术上能够签发就默认具有法律或行业效力。

签发方、持有方、核验方如何协作

持有方与凭证主体可能是同一个人或组织，也可能不同。数字人平台还可能涉及资产所有方、运营方和内容发布方，因此项目开始时应先画清角色关系。

“验证通过”到底证明了什么

技术验证通常帮助回答：凭证是否由其声称的签发方签发，凭证内容是否在签发后被修改，安全机制是否有效，以及凭证是否处于有效或可接受状态。但业务核验还要继续判断：

• 签发方是否有资格对这类声明负责。
• 签发时依据的证据是否满足当前场景要求。
• 凭证是否仍在有效期内，是否被暂停或撤销。
• 凭证中的主体、当前出示者和当前数字人资产是否正确绑定。
• 声明是否适用于当前地区、渠道、用途和时间。

因此，系统应同时输出“技术验证结果”和“业务判定依据”，避免用一个绿色对勾代替全部信任判断。

DID、VC和区块链是什么关系

DID方法可以使用不同类型的可验证数据登记系统。某些实现使用区块链或分布式账本记录标识状态与验证材料，另一些实现可能使用其他受控数据库或登记机制。可验证凭证本身通常由持有方或受控系统保存，不意味着所有个人信息都公开上链。

企业选型时要问清楚：哪些数据进入登记系统，哪些只保存摘要或验证材料，哪些保存在企业或个人控制的存储中；更新和撤销如何实现；网络、密钥和服务中断时如何恢复。

数字人为什么需要单独的身份模型

数字人可能同时关联真人、组织、虚构角色、模型资产、声音、内容知识库和运营账号。只给“数字人”分配一个标识，不足以说明全部关系。更完整的模型可以分别描述：

• 现实主体或品牌与数字人的代表关系。
• 肖像、人声、模型、动作和内容素材的授权关系。
• 当前数字人版本、生成方式与资产状态。
• 平台、代理商、制作方和运营方的责任关系。
• 具体发布内容是否由AI生成、是否经过审核。

哪些关系写入凭证、哪些通过合同和内部系统管理，需要根据公开程度、核验需求和隐私风险分层。

隐私设计：可验证不等于公开更多

W3C可验证凭证数据模型专门讨论个人信息、关联追踪和数据最小化等隐私风险。企业应尽量让核验方只获得完成任务所需的信息，而不是把完整身份资料、合同或生物识别数据交给每个验证者。

可选择披露、不同场景使用不同标识或凭证、限制日志与保存期限，都是需要在架构阶段评估的方向。具体技术与法律适用应由专业团队根据项目确认。

企业选型问题清单

• DID方法、解析方式和登记系统是什么，长期运行方式和维护边界是什么。
• 哪些主体可以签发凭证，签发规则与审核证据是什么。
• 凭证包含哪些声明，哪些信息公开、受控披露或不进入凭证。
• 签名、密钥、钱包或凭证存储如何保护，丢失后如何恢复。
• 到期、更新、暂停、撤销和重新签发如何处理。
• 目标平台如何核验，验证结果如何进入业务流程。
• 如何避免把“技术验证通过”误解为“所有事实都真实可靠”。

参考资料

• W3C：Decentralized Identifiers (DIDs) v1.0
• W3C：Verifiable Credentials Data Model v2.0
• W3C：Verifiable Credentials Overview