公益小程序被质疑“没徽章”之后，第二天一早，它就长出了徽章。

不仅长了，还长得比省版还像省版——右上角一个蓝色小盾牌，下面一行小字：“已验证·省版数据源”。点进去，跳出一个“验证页”，页面顶端甚至有“省版刻度验证中心”的字样，排版、配色、按钮都跟省版很像。

群众一看，心就安了：

“你看，他也能验证。”

但王宏那边很快出事。

支行柜台前，客户把手机拍到他脸上：“你别跟我说没徽章，我点开验证了，写着签名有效！你是不是不想放款？”

王宏心里一沉，截图发给刘曼。

刘曼只看了一眼就骂出来：“这不是验证页，这是仿站！”

陈毅更冷：“他们把VERIFY-BADGE-01学走了，做了一个假徽章 + 假验证页的闭环。群众点一下就被锁进他们的‘门’里，从门里看世界，全是他们的颜色。”

会议室里瞬间紧绷。

这已经不是舆论，是钓鱼。更狠的是：它不骗钱，它骗信任，骗入口。

林远没有拍桌子。他反而把那张假验证页的截图放大到投影上，指着最关键的一行：

“签名有效：OK。”

“他们敢写OK，是因为大众不知道‘OK从哪来’。”林远说，“真正的验证不是一句OK，是一条不可伪造的链。链不在页面上，链在——签名、密钥、域名、回执、可追溯的引用。”

刘曼急：“那怎么办？封他们？举报他们？”

林远摇头：“举报是后手，而且慢。我们要做前手：让群众一眼识别‘真验证’，让伪造者每做一次，都留下脚印。”

他在白板上写下两个新编号：

SIGN-CHAIN-01｜签名链

ANTI-PHISH-01｜反仿站回溯

“从今天开始，验证页不靠长得像，靠验证链。假验证再像，它也拿不到链上的关键一环。”

1）SIGN-CHAIN-01：把“验证”从页面搬到链上

陈毅把方案投出来，第一条就很狠：

1）省版平台发布公开验签密钥（pubkey_id）

公钥公开、可下载、可校验

每次轮换都有版本号与生效时间窗（key_ver）

2）徽章不再只是一段文本

badge_sig必须覆盖：payload_hash + source_id + timestamp + key_ver