帖子
sopleat（E卫兵）
安全委员会应当有权救火却不能永久掌权
协议出现漏洞时，等待完整治理流程可能让攻击持续扩大，因此许多应用设置安全委员会，可以暂停合约、限制某项功能或推动紧急升级。这样的权限能缩短响应时间，却也形成一组少数人可影响用户资产的入口。救火能力越强，越需要明确它什么时候能用、能做什么。
合理设计会限制权限范围，采用多人签名、公开成员、链上记录和事后复盘，并让紧急措施在固定期限后失效。委员会可以暂停高风险操作，不应长期代替正常治理。$ETH上的代码可验证，并不意味着管理员权力自动消失；用户必须把控制面也纳入安全评估。
判断安全委员会是否可信，可以看成员是否独立、密钥是否分散、行动是否有时间锁或退出窗口，以及过去紧急操作是否公开说明。完全没有应急权可能让漏洞失控，无限应急权又让系统接近托管。成熟治理要在反应速度与可问责性之间留下清楚边界。
