Olares BEC 架构解析：区块链—边缘—客户端三层去中心化网络的实现与落地

Olares（开源自托管个人云操作系统）通过 BEC（Blockchain-Edge-Client，区块链—边缘—客户端） 架构构建新一代去中心化互联网框架：高价值数据上链、个人数据留在私有边缘服务器、身份凭证由客户端钱包掌控。本文以仓库中 架构概念文档 为骨架，结合 自主主权网络 及仓库源码，逐层拆解 BEC 的设计动机、三大核心组件（Olares ID、Olares OS、LarePass）与去信任交互流程，帮助你理解 Olares 如何在不依赖第三方信任的前提下实现数据主权与安全交换。

BEC 架构总览

Olares 提出的 BEC 架构核心思想是：在不同平台间合理分配信息，从而实现数据存储的去中心化与安全性提升。它不追求把所有数据都放到链上，而是根据数据的价值密度与使用频率，将其放置在"最合适的位置"：

层级	数据内容	核心目标	Olares 中的对应实现
区块链层（Blockchain）	高价值数据：去中心化身份标识（DID）、交易信息	透明、不可篡改、可发现	Olares ID 的链上组件（DID Registry 智能合约）
边缘层（Edge）	个人数据：文档、聊天记录、照片	隐私与本地数据主权	Olares OS（自托管操作系统）
客户端（Client）	数字凭证、身份与密钥	所有权与隐私控制	LarePass（身份钱包应用）

• 区块链层：通过智能合约在区块链上存储高价值数据，包括去中心化身份标识（DID）和交易信息。这确保了数据的透明度、不可篡改性和可发现性。
• 边缘层：作为用户的去中心化网络节点，在私有边缘服务器上托管个人数据，如文档、聊天记录和照片。数据始终保持在边缘层用户的掌控之中，保障隐私和本地数据主权。
• 客户端：身份钱包应用，让用户可以安全地管理身份并与自托管系统进行交互，同时保持对数字凭证的所有权和隐私控制。

这种分层设计让 BEC 得以"彻底去中心化"——信任不再集中托管于任何一家中心化平台，而是由链上共识、用户自有硬件与本地密钥三方共同背书。

三大核心组件

对应 BEC 架构的三层，Olares 生态包含三个核心组件：

Olares ID：区块链层的身份与信誉基础

Olares ID 是一个整合了去中心化身份标识（DID）、可验证凭证（VC）和信誉数据的去中心化身份与信誉系统。通过实现去中心化环境中的透明和可验证交互来增强信任。

它采用类似电子邮件的可读格式（如 [e-mail]），兼具唯一性、易读易记性与 DID 的加密可验证性，是用户在 Olares 生态中的数字身份，使个人和组织无需依赖第三方即可自主管理身份。Olares 提供三类域名：个人域名（如默认的 olares.com）、组织域名（供企业/组织使用，管理员可在成员离职时回收）与实体域名（供应用等无法归类为个人/组织的实体使用，详见 去中心化声誉系统）。

Olares OS：边缘层的自托管操作系统

Olares OS 是专为边缘设备设计的完整自托管操作系统。用户可以在本地硬件（x86、树莓派、WSL、PVE、LXC 等）上托管和管理自己的数据与应用，将个人边缘设备转变为强大的主权云系统。关于其底层基础设施（Kubernetes/K3s 容器编排、Calico 网络、JuiceFS 分布式存储、etcd、GPU 管理）与平台层中间件（PostgreSQL、KVRocks、NATS、Vault 等）的完整说明，参见 Olares 系统架构。

LarePass：客户端的身份钱包

LarePass 是连接用户与其 Olares 系统的安全统一界面软件，提供身份管理、远程访问、设备管理和数据存储等核心功能，确保与 Olares 的无缝交互。作为身份钱包应用（详见 身份钱包应用），LarePass 承担了自主主权身份（SSI）生态中的关键角色：

• 管理 Olares ID：支持快速创建（无需 VC 绑定）与高级创建（绑定 VC）；使用助记词快速备份与导入账户；支持同时管理多个 DID / Olares ID。
• 管理可验证凭证（VC）：支持绑定至 Olares ID 的 VC 全流程操作，包括签发与存储、验证与呈现（提交 Verifiable Presentation）、发现与检索。

深入区块链层：DID 派生、链上注册与去中心化声誉

BEC 的区块链层并非承载业务数据，而是承担身份锚定与信任锚定的职责。其技术链路在 去中心化标识符（DID） 与 区块链上的 DID Registry 两篇概念文档中有完整描述。

DID 的助记词派生流程

DID 由 W3C 定义，是一种自主管理、全球唯一且无需中心化注册即可验证的标识符，由 DID URI 方案标识、DID 方法标识、方法专属标识三部分组成。在 Olares 中，DID 通过类似区块链地址的助记词算法自生成：

助记词 → 私钥 → 公钥 → DID 链上地址

1. 助记词（Mnemonic）：随机生成的 12 个英文单词，用于派生私钥。
2. 私钥（Private Key）：由助记词派生，需妥善保管；用于生成公钥与链上地址。
3. 公钥与链上地址：由私钥计算得出，可公开分享；链上地址用于 DID 注册。

⚠️ 请务必妥善保管私钥与助记词，避免泄露并确保可恢复性。

DID Registry：智能合约实现的去中心化注册

W3C 标准并未规定 DID 注册的具体实现方式，Olares ID 采用智能合约完成注册，相比中心化方案具备三项优势：

• 去中心化：无需依赖中心化机构或服务商；
• 抗审查：结构对审查与干预具有韧性；
• 全网可发现：其他用户可轻松检索到已注册的 DID。

发行方可将关键 DID 元数据上传到 Registry，包括：DID 本身、Olares ID、RSA 公钥及其他相关信息。由于 DID 元数据体积小、更新频率低，非常适合使用主流区块链技术进行存储与检索，系统开销低且效率高。目前，Olares ID 的智能合约部署在以太坊二层网络 Optimistic Rollups（即 Optimism）上。作为对照，文档还提到 Web5 开发团队已从 ION Registry 迁移至 DHT（分布式哈希表）网络——与 Layer2 区块链相比，DHT 去中心化程度更高，但在高节点数量下保持效率、稳定性与数据完整性更为复杂。

声誉系统：链上原始数据与开放算法

在 DID 与 VC 之上，Olares ID 还构建了去中心化声誉系统，以解决"如何为他人建立可信评价"的问题（详见 去中心化声誉系统）。其核心设计为：用户评分直接通过智能合约写入区块链（链上原始数据）、算法提供者公开发布计算方法（开放算法）、用户可访问链上原始数据按需生成个性化评分（自定义声誉评估）、通过专用的 Market 协议分发声誉洞见（声誉分发）。而实体域名正是这一体系的基石——电影、应用、做市商等抽象实体通过实体域名获得 DID，从而催生 Web3 版的 IMDb、Yelp、LinkedIn 式自治声誉网络。

深入客户端层：Olares ID 与域名派生规则

BEC 客户端层的核心任务是让用户掌控私钥与身份，而 LarePass 中对 Olares ID 的解析与各服务地址的派生逻辑，在仓库源码中有直接对应。以 cli/pkg/olares/id.go 为例，该文件定义了 ParseID、Local、Domain、TerminusName 等原语：

• ParseID 校验原始 olaresId 字符串，拒绝空值与包含多个 @ 的值；
• 无域名后缀时回退到默认域名 olares.com（对应 DefaultDomain 常量）；
• TerminusName 将 [e-mail] 渲染为 alice.olares.com 的点分形式。

在此基础上，各服务的每用户子域名按 {service}.{terminusName} 规则派生，与概念文档中的示例一一对应：

Olares ID 为 [e-mail] 时的派生地址	用途
alice123.olares.com	个人主页
desktop.alice123.olares.com	Olares 桌面
files.alice123.olares.com	文件管理器
auth.alice123.olares.com	Authelia 每用户认证入口
vault.alice123.olares.com/server	Vault 密钥服务
market.alice123.olares.com	应用市场（v2 API 位于 /app-store/api/v2）
dashboard.alice123.olares.com	仪表盘 BFF
control-hub.alice123.olares.com	控制面板 BFF

从源码注释可以进一步推断，olares-cli 的 settings、dashboard、cluster 等命令树分别面向 settings、dashboard、control-hub 子域构建，且这些每用户服务共享同一条边缘认证链（Authelia + l4-bfl-proxy，通过 X-Authorization 头鉴权）。这印证了 BEC 客户端层"身份在本地、访问经认证"的设计：终端不直接暴露业务数据，所有交互经由边缘层代理完成。

账户与设备绑定的生命周期同样遵循这一分层：创建 Olares 账户时，系统先生成 DID 与助记词（DID 阶段），绑定 Olares ID 后系统在区块链上记录 ID 与 DID 的关联（详见 Olares 账户系统），最后与 Olares 设备建立关联才能完整访问系统功能。在 cli/pkg/terminus/account.go 中可以看到 CLI 侧的交互式注册流程：提示用户输入 "the Olares ID (which you registered in the LarePass app)"——即先由 LarePass 客户端完成身份创建，再由命令行将 ID 关联到本机 Olares。

BEC 之上的去信任信息交换

当两方都已通过 Olares ID 在区块链上注册 DID 后，BEC 网络即可支撑点对点的去信任信息交换。以 Alice 向 Bob 发送消息为例，完整流程分为五步：

1. 终端 → Edge：Alice 在终端设备发送消息至其 Edge 服务器（即她的 Olares）。
2. 链上定位：Alice 的 Edge 通过区块链这一去中心化 DNS 定位 Bob 的 Edge。
3. Edge → Edge：消息从 Alice 的 Edge 转发至 Bob 的 Edge。
4. 签名验证：Bob 的 Edge 以区块链为 CA，验证 Alice 的加密签名。
5. Edge → 终端：验证通过后，消息安全地转发至 Bob 的终端设备。

值得注意的架构语义：在这个流程中，区块链分别扮演了 DNS（地址解析与发现）与 CA（证书权威，验证签名）两个角色，而用户间实际传输的是消息本身，由各自的 Edge 服务器直接完成——这正是 BEC"在最合适的位置分布存储数据"的体现。

Otmoic 协议：去信任的价值交换

除信息交换外，BEC 还支撑价值交换。Otmoic 是建立在 Olares ID 之上的去信任自动价值交换协议，目标是在公用品场景中提供公平价格与透明交易：

其核心特性包括：

功能	说明
链上声誉机制	对交易者与流动性提供者建立声誉体系，解决 Free-Mint 问题
VC 驱动的 KYC	通过可验证凭证完成身份验证而不损害去中心化
基于 RFQ 的价格发现	高效的 Request-for-Quote 模式进行价格撮合
原子交换（Atomic Swap）	支持链上无信任原子交换交易
自动做市	流动性提供者可在 Olares 上安装应用参与自动做市

这里涉及的可验证凭证（VC）机制与 DID 协同工作：签发者（Issuer）注册 DID 后向持有者（Holder）签发 VC，持有者将 VC 存储于 LarePass 钱包，需要时生成包含 VC 的 Verifiable Presentation（VP）提交给验证者（Verifier），验证者通过 DID Registry 校验签名（完整六步流程见 可验证凭证（VC））。值得注意的是，VC 本身并不存储在区块链上——链上只存身份锚定与校验所需的最小元数据，再次印证 BEC 的"分层存储"哲学。

延伸阅读

围绕 BEC 架构，可以继续深入以下仓库文档：

• 自主主权网络（Self-Sovereign Network）：BEC 与点对点去信任网络的整体框架；
• 去中心化标识符（DID） 与 区块链上的 DID Registry：区块链层实现细节；
• Olares ID 与 去中心化声誉系统：身份与信任体系；
• 身份钱包应用（LarePass） 与 可验证凭证（VC）：客户端层实现；
• Olares 系统架构：边缘层操作系统的完整技术栈；
• 创建 Olares ID：从实操角度体验身份创建流程；
• 源码佐证：cli/pkg/olares/id.go（Olares ID 解析与域名派生）、cli/pkg/terminus/account.go（CLI 侧 ID 绑定流程）。