天刚擦亮，屏幕上的那两行字还并排挂着，像两块不肯退色的铁牌。

*机制说明禁止域外复制（已确认）*

*票据验证尝试在冻结后仍发生（已确认）*

没人先开口。不是没话说，是都明白，这两条并排摆出来，已经把昨夜那层“我们只是按机制办事”的薄皮掀开了。机制可以写得漂亮，边界可以画得端正，可一旦冻结后仍有尝试，说明有人在边界外另开了一扇门，而且那扇门不是临时撬开的，是早就备好的。

候选协助员盯着那一排回执，指尖在桌面上轻轻点了一下。

“继续往回源。”他说，“不要停在票据网关。票据只是入口，真正要问的是回执从哪一层返回，签名码是谁给的，谁替谁把门推开了。”

督导立即切到托管镜像的上游链路。新的核验路径被拉出来后，整条链像一截被剥开的线芯，外面的壳已经被剥掉，里面藏着更细的一层纤维。每一次签发验证请求，都不是单独落在网关上，而是先经过一层“上级回执确认”，再由签名码完成最终放行。签名码的形式很短，短到像一串无意义的字符，可它背后对应的是一个名字的合法位置。

“看这里。”沈谦把其中一段放大，“上级回执的生成点不在票据网关，也不在POLICY-CORE主库，而在三道门之后。”

裴照抬头：“哪三道门？”

沈谦没有立即答，手指在目录树上依次划过三层路径。

“第一道是门禁门，决定谁能进签发区；第二道是签章门，决定谁能碰确认回执；第三道是见证门，决定谁能把回执送回源头。”他说到这里，停了一下，“三道门都不是单点控制，是连带授权。前一门的放行，替下一门开名分。”

引冷冷道：“也就是说，真要推开替罪的人，不是一把钥匙能做到的。得三道门一起推。”

“对。”沈谦点头，“所以替罪也不是一个人单独替。它是三道门联手，把一个名字推成‘唯一责任人’。”

候选协助员把“上级回执确认”几个字圈出来：“那就先从门名入手。门名不清，签名码就只会落到匿名壳里。门名一清，谁在背后借门推人，就藏不住。”

他话音刚落，第一条新的异常回执跳了出来。

***GOV-TKT-ISSUE-GATE-ACK-2026-0041：上级回执回源尝试失败（见证路径缺口）**

这条回执不是成功，而是失败。可失败本身已经说明，回源动作确实发生了。有人试图把已冻结的票据验证链往上推，推到“上级回执”那一层去确认它的合法性。回源失败，意味着那层原本应该存在的确认人，已经不在原位，或者原位被改成了别的名字。

“上级回执回源。”引的声音压得很低，“他们是在补合法性。”

裴照冷笑：“不是补，是倒填。先把门推开，再去找谁能替门签字。”

督导又调出签名码核验目录。和先前不同，这一次显示的不是单一签名，而是一段“签名码族群映射”。原本应当唯一绑定的签名码，在风险窗口里被映射成了三个近似码段，每个码段都对应一个“可代签”身份。更刺眼的是，三个身份都不是真正的Owner，而是Owner的下级代理。

“这不是一把签名码，这是三重替签。”候选协助员看完之后，声音依旧平稳，却多了一丝冷意，“上级回执要的不是签名本身，要的是一个能被写进流程里的名字。只要名字被写进去，责任就能往下滑。”

沈谦轻轻吸了口气：“所以现在必须问名。”

“问谁的名？”引问。

“问最先被当作替罪壳的那个名。”沈谦说，“三道门推开之后，最前面的那个名字通常会被写成‘经办’，中间那个写成‘复核’，最后那个写成‘见证’。看上去三层分工，其实是同一件事的三次转移。”

裴照低声道：“经办、复核、见证，最后都落在一个人身上。”

“或者一个被推出去的人身上。”候选协助员接过话，“他们要的是一个能顶住外部询问的名字，不是一个真正负责的名字。换句话说，替罪不是把责任拿掉，而是把责任换壳。”

他没有再多说，直接让督导把三道门的路径和上级回执、签名码之间的映射关系并成一张硬页。硬页一合成，几个原本散乱的标签顿时连成了线：

门禁门放行时间与签发窗口重叠；

签章门的回执编号晚于放行编号两分十七秒；

见证门的签名码在冻结后仍被重新激活一次；

上级回执回源尝试正好发生在重新激活之后十六秒。

“就是这里。”沈谦盯着这组时间差，“他们先把门推开，再回源补签，再把签名码重新激活。只要三道门之间有一个空隙，替罪链就能闭合。”

引抬起眼：“那如果把空隙堵上呢？”

“堵上空隙，就得堵住门把。”裴照说。

候选协助员目光一沉：“对。不是堵流程，是堵门把。让它推不开。”

话刚说完，系统又弹出一条更危险的回执：

***ARB-ESC-2026-0098：替罪承接候选名单已生成（见证回执待封存）**

名单生成的那一刻，值守间里的空气像被硬生生抽了一截。因为所有人都清楚，这意味着对抗者已经不满足于在链条里补痕，而是在准备把责任正式套到一个活人身上。候选名单一旦封存，后续就会变成程序上“早已明确”的既成事实，谁再反问，谁就像在挑战一份已经生效的回执。

“他们还真敢。”引的声音里带着压不住的冷意。

“敢，是因为想把我们拖进‘只讨论名单不讨论机制’的坑里。”候选协助员把那条回执划掉一半，剩下的部分只留下四个字：**待封存，未定**，“名单没封之前，它只是候选；名单封了，它才是责任。我们要做的不是争吵名单真假，而是让它根本封不进去。”

“怎么让它封不进去？”沈谦问。

候选协助员没有立刻回答，而是把三道门的映射图往前推了推。

“先拆问名条件。”他说，“上级回执要回源，必须先认门名；签名码要恢复，必须先认签名人；替罪名单要封存，必须先认经办链。把这三个‘先认’卡住，门就推不动，人就栽不实。”

督导立刻执行核验，新的结果很快浮出：

门禁门的放行记录对应的是一个已经停用的权限组；

签章门的回执签发人显示为“临时代签池”；

见证门的激活凭据属于“共享轮值码”；

而这三个字段的最初设立依据，全都指向同一份文件附件：**《风险窗口替代签发说明（摘要）》**

“终于露头了。”裴照盯着那份摘要，语气发冷，“替罪不是临时起意，是预设说明。”

沈谦却抓住了最关键的地方：“说明里一定有门名，也一定有授权边界。”

候选协助员点头：“找。”

不过这一次，找出来的不是完整正文，而是一段被折叠过的条目。条目里写得很稳，甚至带着一种近乎体面的语气：当源头责任人无法在场时，可由风险窗口内的门禁值守、签章值守与见证值守依次代行，形成上级回执回源闭环，以保证业务连续性。

“业务连续性。”引重复了一遍，像咬碎一颗带血的钉子，“他们连替罪都写成了连续性。”

裴照冷声道：“写得越顺，越说明是惯手。”

候选协助员没有被这句话带偏，他只看见了那句最要命的尾巴——“形成上级回执回源闭环”。这意味着一旦有人被推上去，责任就会在闭环里完成自证，外人看到的只会是一个完整顺滑的过程，根本看不见最初那只推门的手。

“回源闭环不能让它闭。”他说，“闭了，就真成了替罪。”

他抬起头，直接对TRUST-OPS代表下令：“发起门把阻断请求。三道门的推送权限全部改成见证下双人确认，临时代签池清空，轮值共享码作废。上级回执不许回源到无名链，必须先落名后再进入封存。”

TRUST-OPS代表没有迟疑，立即提交：

***ARB-REQ-2026-0381：三道门推送权限阻断与替罪候选名单回执前置问名请求**

这条请求没有等太久。几分钟后，ARB命令落下，短促、锋利，像把三道门的门把同时卸了一半。

***ARB-ORD-2026-0156：三道门推送权限临时阻断与问名前置令（摘要）**

1）门禁门、签章门、见证门的推送权限进入临时阻断；

2）任何上级回执回源动作须先完成问名与责任链确认；

3）临时代签池与共享轮值码即时冻结；

4）替罪候选名单不得封存，直至门名、签名人、经办链全部可核。

命令落地的一瞬间，屏幕上的候选名单那一栏猛地一闪，原本准备入库的封存态被硬生生顶住，像一张刚要盖章的纸被人按住了边角。与此同时，回源失败的提示被重新写了一遍，后面多出一行灰字：**“问名未完，签名码回源中止。”**

“这就对了。”候选协助员吐出一口气，“先问名，再谈签名。名字不清，责任就会乱跑。”

引看着那行灰字，眼神终于沉下来：“他们不会就这样停。”

“当然不会。”沈谦说，“他们会换壳。会把门名往更深的层里埋，把上级回执再往上一层推。”

裴照冷笑：“那就继续往上问。”

候选协助员没有接这句。他只是把那份《风险窗口替代签发说明（摘要）》重新放大，在最底部找到一行几乎要被折叠线压没的批注。

批注很短，短到像随手添上去的一句口头记录，却让所有人都微微一顿：

**“门开之后，先报源名，再报承接名。”**

门开之后，先报源名，再报承接名。

这不是建议，这是规矩。也是一个最老练的推门人留下的暗号。

候选协助员看着那行字，缓缓抬眼。

“源名。”他说，“下一步就不是问谁推门了，是问门从谁那里学会了怎么开。”