没有 CEO，组织如何作出并执行决定？

想象 10,000 个互不认识的人共同管理一笔链上资金：没有共同银行账户， 没有一个天然可信的财务负责人，也没有 CEO 可以替所有人拍板。 他们必须先回答一组非常具体的问题。

本课中的 DAO

一套把成员资格、集体决策、资产控制与执行权限连接起来的可验证规则系统。 它可以依赖智能合约，也一定依赖人：代码负责约束可编码的部分，人负责讨论、解释、 研究、谈判和处理现实世界中无法被 EVM 直接判断的事实。

Ethereum.org 将 DAO 描述为围绕共同使命、由成员共同拥有的组织；其金库与规则 可以由智能合约约束，而不必把最终控制权交给单个领导者。^[1] 但“DAO”不是一种全球统一的合约标准。两个都自称 DAO 的组织，可能在成员、票权、 管理员和法律身份上毫无相似之处。

四个必要部分，缺一就要补问

“去中心化”描述的是控制权如何分布；“自治”描述的是哪些动作能在规则满足后无需 额外裁量地执行。二者都不是开关，而是一条需要逐层检查的光谱。

同一个 DAO，可以同时分散又集中

“自治”究竟自动了什么？

智能合约能自动验证签名、历史票权、时间、阈值和角色，也能在条件满足后发送资产或 调用其他合约。它不能自动判断一份安全审计是否高质量、某项公共物品是否值得资助、 某个受款团队是否按约交付，或提案文字是否诚实解释了 calldata。

ERC-20 只定义余额、转账和授权等代币接口；它本身没有“提案”“委托”或“过去某一区块的票权”。 治理系统必须额外实现票权追踪。^[3]

ERC-5805 提出一套委托与历史票权查询标准：账户可把 voting units 委托给一个地址， 票权变化写入检查点；Governor 因而能查询过去，而不依赖当前余额。 要注意它目前仍处于 Stagnant 状态，而不是 Final。^[4]

为什么不直接在投票时读取余额？

如果每次投票都读取当前 balanceOf，同一批代币可以在地址 A 投票后转给地址 B， 再投一次。历史快照把本提案的权重固定为 wᵢ = getPastVotes(i, tₛ)：快照之后的转账、增发、销毁或重新委托， 都只影响未来提案。

治理时钟：数字 7,200 到底是什么单位？

ERC-6372（目前处于 Review）允许投票代币公开自己的 clock() 与 CLOCK_MODE()。常见时钟按区块号或时间戳， 也可以是其他非递减函数；Governor 查询历史票权时，timepoint 必须与代币的时钟语义一致。 因此看到 votingPeriod = 50,400 时，必须先确认它表示区块还是秒， 尤其是在出块节奏不同的 L2 上。ERC-5805 只要求实现者“应当”实现 ERC-6372； 若未实现，就按默认区块号时钟解释。^[4][5]

治理代币不天然代表什么

成员资格不只一种

链上治理最有价值的地方，不只是“公开计票”，而是把谁能在什么时间做什么， 变成一组确定的状态转换。攻击者和防守者都必须在这些时间窗里行动。

三段时间，保护的是三件不同的事

三道门，也不要混为一谈

• Proposal threshold：谁有资格把一项行动正式放进状态机。
• Quorum：至少需要多少有效票参与，结果才具有程序上的最低代表性。
• Approval rule：赞成、反对、弃权之间要满足什么关系，提案才算成功。

OpenZeppelin 的 Governor 是模块化框架：票权来源、quorum、计票、时间锁与设置都可以组合。 所以“Governor 风格”描述一种架构，不代表所有部署使用相同参数。^[7]

一场投票至少要回答两道独立问题：赞成是否战胜反对？参与是否达到最低门槛？ 把两者合成一句“多数通过”，会掩盖治理规则最重要的部分。

对快照时点 tₛ 的线性一币一票模型，先把每个地址的历史票权按选择相加：

OpenZeppelin GovernorCountingSimple 模块明确采用 F > A，并以 F + Z 检查 quorum；弃权帮助达到参与门槛， 但不帮助任何一方赢得多数。^[8] 基础 Governor 本身不提供一套全局默认计票规则。Compound Governor Bravo 风格的经典规则则以 For 票检查 quorum；两者可能对同一组票给出不同结果。

Quorum 的分母也需要审计

若模块把 quorum 定义为快照时历史总供应量的比例，则：

如果总供应量为 1,000,000，而只有 100,000 枚完成委托并激活票权， “总供应量 4%”其实要求活跃票权中 40% 参与。相反，quorum 过低时， 攻击者可能远不需要控制 51% 总供应量，只需在冷清的投票中控制一小部分即可。

还有哪些计票制度？

“给安全研究团队拨款 50,000 枚代币”只是人类语言。要让 EVM 执行，它必须被翻译为： 调用哪个地址、发送多少 ETH、调用哪个函数、传入哪些参数。

targets     = [governanceToken]
values      = [0]
calldatas   = [encode("transfer(address,uint256)", grantee, 50_000e18)]
description = "Grant 50,000 tokens to the security research team"

proposalId = keccak256(
  abi.encode(targets, values, calldatas, keccak256(bytes(description)))
)

在 OpenZeppelin Governor 中，提案 ID 由这些参数的哈希得到。哈希可以证明“当前看到的数据 与提交时相同”，却不能证明自然语言准确解释了 calldata。投票者必须解码并模拟每个调用： 一个标题写着“调整费率”的提案，字节数据仍可能转移金库或授予升级角色。

Timelock 为什么常是实际权力中心？

当 Governor 与外部 Timelock 配合时，最终发起目标调用的是 Timelock。 因此金库资产、协议 owner、升级权限与关键角色通常应交给 Timelock， 而不是只交给 Governor。OpenZeppelin 也明确建议让时间锁持有被治理资产与权限。 ^[7]

“任何人都能 execute”不等于任何人能改提案

如果 executor 角色开放给零地址，任何账户都能在时间锁到期后支付 Gas 触发执行。 但它只能执行已经排队、内容哈希匹配、延迟满足的动作；调用内容不是由执行者临时选择。 开放执行常用于避免组织因某个指定账户离线而停摆。

签名投票与委托：Gas 可以由别人支付

EIP-712 定义结构化数据签名，使钱包能显示带有域、类型和字段的消息。 delegateBySig 或 castVoteBySig 可以让持有人签署意图， 再由第三方提交交易。域分离、chainId、验证合约、nonce 与 expiry 一起降低跨域和重放风险；标准化编码本身并不会自动替应用完成所有重放保护。 ^[6]

“投票发生在区块链上”与“结果能自动执行”不是同一句话； “不用 Gas”也不等于没有加密验证。三种结构各自在成本、强制性、隐私和信任上取舍。

Snapshot：链下不等于不可验证

Snapshot Classic 的典型投票是钱包对消息签名；系统按提案设定的历史区块和投票策略计算权重。 投票者无需发链上交易，因此没有投票 Gas。官方文档强调其核心是链下签名消息与区块快照。 ^[10] 但签名证明“这个地址表达了这个选择”， 不会自动把结果变成金库转账。

多签：共享控制工具，不自动等于 DAO

Safe 的 M-of-N 阈值表示 N 位 owner 中至少 M 位签名，交易才能执行。 它能消除单密钥故障、支持密钥轮换并留下可审计记录。^[11] 但如果只有 3/5 位签名人能决定所有事项，而广泛成员没有任何约束他们的机制， 这仍是五人委员会，不会因为钱包叫“DAO Treasury”就自动去中心化。

如果规则允许某批票权通过并执行恶意提案，那么每一行合约都可能按设计工作， 系统却仍然被攻破。治理攻击的特殊之处，是它经常借用系统自己的合法路径。

防线为什么总有代价？

案例的目的不是背参数，而是练习一套阅读方法：谁控制议程？票权在哪个时点确定？ 哪类投票具有执行力？哪个地址最终持有资产与管理员权限？

案例一：Compound Governor Bravo 的经典路径

Compound v2 官方治理文档把系统拆成 COMP 代币、Governor Bravo 与 Timelock。 文档中的经典配置要求提案者在前一区块拥有严格大于 proposalThreshold() 的已委托票权；门槛为 25,000 COMP 时，恰好 25,000 仍不足。 官方概览把审阅与投票近似写成 2 天和 3 天，但合约参数的单位是 Ethereum 区块； Timelock 的 2 天延迟才按时间计。提案还需多数赞成且至少 400,000 个 For 票， 因此文档称协议变更至少约一周。^[9]

这组数字是特定版本与文档中的设计，不是 DAO 普遍标准，而且治理本身可以修改参数。 真正值得记住的是三段防线：提案门槛过滤议程，历史票权防止重复使用， Timelock 在多数决定与高权限执行之间插入反应时间。

案例二：ENS 的分层治理

ENS 官方建议流程展示了混合架构：论坛用于起草和讨论，三类正式提案随后都安排 Snapshot 投票。 社会提案与章程修正若在 Snapshot 通过，流程即完成；可执行提案还要提交 Governor 再进行一次链上投票，通过后经历两天 Timelock，才调用链上合约。 这份流程是社区维护的 living document，并非每一步都由合约强制。^[12]

ENS 章程还说明了另一层事实：链上可执行权限之外，组织需要一套“哪些行动被视为合法” 的社会规则。当前章程对修改本身设置更高赞成门槛。^[13] 合约能强制程序，章程与社会共识决定组织是否承认程序结果。

评价 DAO 不应从代币价格、持有人数量或宣传口号开始，而应从权限拓扑开始。 下面十问可以把大多数治理系统拆回可验证事实。

1. 谁是成员，谁只是旁观者？ 确认资格来自代币、NFT、白名单、贡献还是身份；区分钱包地址、自然人、机构与托管平台。
2. 谁能形成议程？ 记录论坛权限、提案门槛、押金、验证者和前端发布权；投票开放不代表提案开放。
3. 票权从哪里来？ 查代币或策略地址、voting units、委托规则、是否需自委托，以及质押或包装是否改变票权。
4. 哪一个时点决定权重？ 确认快照区块或时间戳、voting delay、时钟模式，以及快照前借币和跨链票权如何处理。
5. 到底怎样才算通过？ 分别写出 proposal threshold、quorum 分母、For/Against/Abstain 计法、超级多数和末段延长。
6. 提案包含哪些机器动作？ 逐项解码 targets、values 与 calldatas；模拟升级、授权、转账和批处理中的每一个调用。
7. 谁真正持有资产与角色？ 追踪 Treasury、owner、ProxyAdmin、upgrader、pauser、minter、oracle admin 与桥接权限。
8. Timelock 能否被绕过？ 列出 proposer、canceller、executor、admin 与最短延迟；确认初始化账户是否已放弃额外权限。
9. 紧急权力如何退出？ 检查 Guardian、多签和安全委员会能做什么、持续多久、如何轮换，以及谁能取消其权限。
10. 不同意的人有什么出口？ 时间锁期间能否退出、资产是否可赎回、前端消失后能否直接调用、链外权利是否受到法律保护。

把答案压缩成四条线

六题自检

核心术语

DAO

把成员、决策、资源与执行连接起来的规则系统；不是单一合约类型。

Governance token

按具体规则提供治理权的代币；不天然等于股权、收入权或已激活票权。

Voting units

票权系统用于计算影响力的基础单位，可以来自 ERC-20、ERC-721 或其他策略。

Delegation

持有人把票权指向自己或代表，不转移代币所有权。

Delegate

聚合自己与他人委托票权、实际参与提案和投票的代表地址。

Checkpoint

某时点票权的历史记录，使 Governor 能查询过去而非当前余额。

Snapshot

为一项提案固定票权状态的区块或时间点；也可指同名链下投票工具。

Proposal threshold

创建正式提案所需的最低票权、资格或其他门槛。

Voting delay

提案创建到投票开始之间的等待期，也是快照前的准备窗口。

Voting period

提案处于 Active、可以提交投票的时间范围。

Quorum

结果有效所需的最低参与或支持；具体哪些票计入由规则决定。

Governor

管理提案生命周期、读取历史票权并按计票规则确定结果的治理合约。

Timelock

让通过的操作在执行前至少等待一段时间的权限控制合约。

Calldata

目标合约调用的函数选择器与编码参数；真正被 EVM 执行的指令数据。

Multisig

需要 N 位 owner 中至少 M 位签名才能执行交易的共享账户控制。

Guardian

在限定条件下暂停、取消或紧急干预的角色；提供救援也引入中心化信任。

官方与标准原文

1. [01]
   Ethereum.org · What is a DAO?

   DAO 定义、智能合约金库、委托、自动交易治理与多签治理概览。

2. [02]
   Ethereum.org · Introduction to Ethereum governance

   明确区分以太坊协议的链下治理与应用 DAO 的链上治理。

3. [03]
   ERC-20 · Token Standard

   余额、转账、授权等基础代币接口；标准本身不定义治理。

4. [04]
   ERC-5805 · Voting with Delegation

   委托、当前和历史票权、检查点、签名委托与预期性质；当前状态为 Stagnant。

5. [05]
   ERC-6372 · Contract Clock

   合约的非递减时钟接口与模式声明；当前状态为 Review。

6. [06]
   EIP-712 · Typed structured data hashing and signing

   域分离的结构化签名编码，是签名投票与委托的基础之一。

7. [07]
   OpenZeppelin · How to set up on-chain governance

   ERC20Votes、Governor、quorum、提案生命周期与 Timelock 配置。

8. [08]
   OpenZeppelin · Governance API

   Governor 模块、CountingSimple、Votes、TimelockController 与角色接口。

9. [09]
   Compound v2 · Governance

   COMP 委托、Governor Bravo、经典门槛、投票期与 Timelock 流程。

10. [10]
    Snapshot · FAQ

    区块快照、链下签名、无 Gas 投票与投票资格的官方说明。

11. [11]
    Safe · Glossary

    多签 owner、M-of-N threshold、签名收集与共享账户控制。

12. [12]
    ENS DAO · Governance Process

    论坛、Snapshot、代表委托、社会与可执行提案、Governor 和 Timelock。

13. [13]
    ENS DAO · Constitution

    治理合法性的社会约束、组织原则与章程修改要求。