XRPL在发现严重漏洞后修复权限委派问题

XRPL 在漏洞赏金计划报告发现测试期间存在高风险漏洞后，撤回了其权限委托修正案。目前，经过加固的 V1.1 版本正在完成安全审查和质量保证检查。

这一事件表明，协议层面的委托机制需要采取超越基本功能本身的安全措施。

XRPL 在漏洞报告后重做权限委托功能

权限委托（称为 XLS-75）允许一个账户授予另一个账户特定权限，使其能够代表自己行事。这些权限旨在严格限定范围，而非让受托方控制整个账户。

RippleX 工程主管 J. Ayo Akinyele 解释说，原始 V1.0 实现版本在漏洞赏金计划报告了一个漏洞后、尚未部署到 XRPL 主网之前便被撤回。团队没有就地修补该版本，而是推出 V1.1，以区分原始实现与加固后的版本。

一位名为 Shotes 的研究人员发现了一个严重漏洞，涉及不可撤销的受托权限：受托方可以删除自己的账户，之后再重新创建账户，同时保留另一个账户授予的权限，而原账户无法撤销这些权限。

这些改动不止是修复单个漏洞。V1.1 解决了涉及委托方身份的边缘情况，并防止 Vault 和借贷操作等新功能被意外委托。该版本还修复了委托付款的储备金核算问题，并堵住了一条可能绕过委托检查的多重签名路径。撤销行为也得到了进一步完善。

审查还发现，isDelegable 中存在一个中等严重程度的无符号整数溢出漏洞，可能导致格式错误的权限值被误判为可委托的交易类型。不过，研究人员表示，如果委托方没有违规行为，该问题不会造成实质性影响。

Ramkumar SG 于 8 月 26 日发布的 QA 报告记录了 179 项专门针对权限委托的测试，包括 112 项功能测试、48 项对抗性安全测试和 19 项跨功能测试。测试还涵盖了与 Batch、Confidential MPT、交易队列和多重签名的交互。

XRP Ledger Operations 表示，所有问题均已在 V1.1 中修复，并由 Cantina 安全公司验证。其 QA 团队还报告称，在 5,088 项测试中未发现回归问题，并指出没有尚未解决且被归类为严重级别的内部缺陷。团队据此认定，在经过测试的提交版本上，该功能已可投入生产使用。

权限委托于 2025 年 5 月推出，2025 年 9 月因等待安全修复而被标记为不受支持，10 月更名为 PermissionDelegationV1_1，并于 2026 年 6 月重新获得支持。

作为CryptoPotato据上周报道，开发者 Denis Angell 搭建的公开仪表板一直在追踪 XRPL 修正案在登陆主网前于 devnet 上经过了多充分的测试，委托功能是它标记为尚未完成的修正案之一。

对于用户和托管服务提供商而言，预期功能仍然没有变化。正如 Akinyele 所说，V1.1 不会改变 XLS-75 的功能；它改变的是启用该功能的条件。

来源：CryptoPotato