数字钱包：信任框架

生态系统治理

© 2026 世界银行 1818 H街NW, 华盛顿特区 20433 电话: +1-202-473-1000; 互联网: www.worldbank.org

保留部分权利。

本作品是世界银行的成果。本作品中表达的发现、解释和结论并不一定反映世界银行执行董事或他们所代表的政府的观点。

世界银行不保证本作品中包含的数据的准确性、完整性或时效性，也不承担因信息中的任何错误、遗漏或差异，或因使用或未能使用信息、方法、过程或结论而产生的任何责任。本作品中显示的边界、颜色、名称、链接/脚注和其他信息并不意味着世界银行对任何领土的法律地位作出任何判断，也不意味着对这些边界的认可或接受。引用他人作品并不意味着世界银行赞同这些作者表达的观点或作品内容。

本文内容不构成或被解释为对世界银行特权和豁免权的限制或放弃，所有这些特权和豁免权均特别保留。

权利和许可

本作品中的材料受版权保护。由于世界银行鼓励其知识的传播，本作品可以全部或部分复制，用于非商业目的，只要对本作品给予充分的归属。

归属 - 请按照以下方式引用本作品：“世界银行。2026. 数字钱包：信任框架 - 生态系统治理。数字钱包政策笔记系列，第2号。© 世界银行。”

关于权利和许可的任何查询，包括附属权利，应发送至世界银行出版物，世界银行，1818 H街NW, 华盛顿特区, DC 20433, 美国; 传真: +1-202-522-2625; 电子邮件: pubrights@worldbank.org。

设计：Sergio Moreno, 世界银行集团。

数字钱包：信任框架

生态系统治理

关于我们

本出版物由世界银行集团的数字与人工智能副总统开发，得到了数字公共基础设施与服务伞形多捐助者信托基金（DPI TF）的支持。

数字公共基础设施（DPI）指的是使政府和经济体能够大规模提供服务的基础数字构建模块，如数字身份、数据共享和数字支付。

DPI与服务转型团队旨在增加安全、包容和互操作性强的数字基础构件以及数字服务的采纳和生产性使用。作为一个“世界银行”努力，它在数字转型、社会保护、卫生、金融包容、农业、治理和教育等领域调动专家力量，并与快速支付系统项目FASTT紧密合作。

DPI与服务转型团队基于三个支柱：

• 知识：生成证据并将标准转化为实用工具；

行动：支持国家层面的DPI战略、安全和包容的基础构件以及部门级数字转型；以及

• 召集：通过同行学习、标准对齐和数字公共产品，加强全球DPI社区。

DPI转型团队支持的工作植根于包容性和性别平等、以人为本的设计、通过数字公共产品实现的可重用性、保障措施、数据保护和基于证据的实施等跨领域承诺。

基于ID4D-G2Px MDTF（2016-2026）奠定的基础，DPI转型团队围绕三个工作流进行结构化：

识别发展（ID4D）倡议帮助各国实现识别系统对可持续发展目标的变革潜力，从基础识别和民事登记到下一代数字身份和信任服务。其使命是通过改进识别和信任服务生态系统的包容性、设计和治理，使所有人都能获得服务并行使他们的权利。更多详情，请访问id4d.worldbank.org。

数字政府对个人支付（G2Px）倡议将G2P支付转变为加速金融包容、妇女经济赋权、韧性以及政府效率。它通过以接收者为中心的框架和关于可持续、包容性模式的基于证据的指导，帮助各国现代化其G2P生态系统。更多详情，请访问www.worldbank.org/g2px。

数据共享工作流使国家范围内跨部门的安全、互操作和尊重隐私的数据共享成为可能，推进高价值用例和包容性利益。

我们的工作得益于盖茨基金会、英国国际发展部、法国政府、挪威开发合作署和Omidyar网络的慷慨支持。

致谢

本政策笔记由Christopher Tullis、Adam Cooper和David Black撰写，由Stela Mocan领导。在整个政策笔记的开发过程中，得到了宝贵的反馈和输入。作者对专家同行评审员Julia Clark、Nay Constantine、Guillermo Galicia Rabadan、Jonathan Marskell和Tiago Peixoto的宝贵评论表示感谢。作者还想感谢以下个人为本笔记所做的各种贡献：Audrey Ariss、Marie Eichholtzer、Victoria Esquivel-Korsiak、Daria Lavrentieva、Viky Manaila、Slavina Pancheva、Sintia Radu和Goran Vranic。

关于我们。
致谢
执行摘要
引言。
动机。
目的和范围 8
理解信任框架。 10
什么是信任框架？
你需要一个信任框架吗？
信任框架之间的互操作性
信任框架设计 16
第1层。战略。 18
第2层。技术。 21
第3层。方案规则 22
第4层。合规性 24
第5层。协议 26
角色和责任 28
互操作性考虑。 32
第1级。凭证的可移植性 34
第2级。对凭证的信任 36
第3级。法律认可 37
迭代方法 40
利用现有资产 42
合规基础设施 43
监管框架。 43
结论。 46

图表

图1. 信任框架的五个相互加强的层次。 17
图2. 数字钱包的互操作性层次。33
图3. 在贝宁的C’est moi可验证凭证。39

方框

方框1. 没有钱包的可验证凭证。38

表格

表1. 实践中的信任框架协议。27
表2. 实施信任框架的关键角色和责任。30
表3. 随时间迭代开发信任框架的指示模型。 41

缩略语

AB 认证机构
AI 人工智能
AMEX 美国运通
AML 反洗钱
APEC 亚太经济合作
API 应用程序编程接口
ARF 架构参考框架（欧盟）
CAB 符合性评估机构
CBOR 简明二进制对象表示法
CBPR 跨境隐私规则
CDD 客户尽职调查
DID 去中心化标识符
DPI 数字公共基础设施
eIDAS 电子身份认证、鉴定和信任服务（欧盟法规）
EQF 欧洲资历框架
EUDI 欧盟数字身份
FASTT 快速、一致、安全、透明和可信（支付系统）
ICAO 国际民用航空组织
IETF 互联网工程任务组
ISO 国际标准化组织
JSON JavaScript对象表示法
KYC 了解你的客户
mDL 移动驾驶执照
mdoc 移动文档
OID4VCI 可验证凭证发行的OpenID
OID4VP 可验证呈现的OpenID
PCI-DSS 支付卡行业数据安全标准
PCTF 泛加拿大信任框架
PhilID 菲律宾身份证
PhilSys 菲律宾识别系统
PKI 公钥基础设施
QR 快速响应（码）
SD-JWT 用于JSON Web Tokens的选择性披露
SEPA 单一欧元支付区
SLA 服务水平协议
SPEI 银行间电子支付系统（墨西哥）
SWIFT 全球银行间金融电讯协会
TSP 信任服务提供商
UNCITRAL 联合国国际贸易法委员会
UNESCO 联合国教科文组织
W3C 万维网联盟

执行摘要

数字钱包正在迅速成为数字公共身份凭证、个人数据，以及越来越多的电子签名和支付工具的基石。但是，尽管数字钱包背后的技术已经迅速成熟，但单凭技术无法创造信任。随着钱包生态系统的规模跨越行业和国界，能否依赖它们取决于支撑它们的治理、保障和法律框架。

本政策说明——关于数字钱包系列的第二篇——解释了信任框架如何提供这种治理基础。换句话说，本说明旨在帮助政府从如何构建钱包的问题，转向更根本的问题，即如何在钱包生态系统中建立信任。

信任框架定义了确保数字钱包、凭证发行者和验证者以可信赖的方式运作的规则、标准、角色和问责机制。它们决定了谁被允许发行凭证，如何进行身份验证，钱包必须如何保护密钥和敏感数据，如何验证合规性，以及当出现问题时谁承担责任。没有这样的治理，即使是最技术上健全的凭证也可能为冒充、篡改或其他类型的欺诈行为大开方便之门。

本政策说明提出了一个五层的信任框架模型，并展示了这些层次如何相互加强。第一战略层确立了整个方案的共享愿景、目标、范围和指导原则。第二技术层定义了确保互操作性和可信操作所需的技术架构、标准和安全要求。第三方案规则层阐述了对所有参与者实施框架的政策、程序和角色定义。第四合规层提供了评估、监督和执行遵守既定规则和技术标准的机制。第五协议层将这些元素正式化为具有法律效力的约束性文件，明确了信任框架的权利、义务和责任。

This policy note proposes a five-layer model for trust frameworks and shows how these layers reinforce one another. The first strategic layer establishes the shared vision, objectives, scope, and guiding principles that anchor the entire scheme. The second technology layer defines the technical architecture, standards, and security requirements needed to ensure interoperability and trustworthy operations. The third scheme rules layer sets out the policies, procedures, and role definitions that operationalize the framework for all participants. The fourth compliance layer provides mechanisms for assessing, supervising, and enforcing adherence to the agreed rules and technical standards. The fifth agreement layer formalizes these elements into binding instruments that give the trust framework its legal force and clarify rights, obligations, and liabilities.

该论文还强调了必须分配的关键机构角色，这既包括钱包本身的实施，也包括伴随的信任框架。这些角色包括钱包提供者、凭证发行者和验证者、信任服务提供商（TSPs）、监管机构、网络安全机构、数据保护机构、认证机构以及合格评定机构（CABs）。由于钱包生态系统的信任可能需要跨越机构、行业甚至国家边界，该论文在三个层面上考察了互操作性考虑：凭证可移植性（通用数据和协议标准）；签名可验证性（可互操作的信任基础设施，如公钥基础设施）；法律认可（相互认可协议以及对齐的保证标准和责任制度）。

论文还强调信任框架不必一次性全部建立。各国可以采取迭代方法，从一个最小规则集开始，用于试点或特定用途案例，并随着生态系统的扩展逐渐增加其他信任元素。最后，该笔记概述了利用现有资产——如国家PKIs、政府应用程序、行业法规和审计基础设施——来加速部署并避免不必要的重复的机会。

引言

动机

在过去十年中，技术、标准和治理模型的创新使得实施新型数字公共基础设施（DPI）成为可能。¹ 特别是，数字钱包已经在改变各国如何处理重要的DPI，如数字身份和数据共享。数字钱包提供了一个可信的技术基础设施，将这些以前分开的轨迹结合起来，允许用户通过一个单一的、可信的、以用户为中心的界面携带和展示各种凭证。

本政策笔记是系列中的第二篇，旨在指导政策制定者和从业者实施数字钱包和可验证凭证。本系列中的第一篇介绍了数字钱包作为模块化DPI层的总体愿景，可以支持数字身份、以用户为中心的数据共享，以及越来越多的电子签名甚至支付。它解释了什么是数字钱包，它们是如何工作的，以及与前几代系统相比，这种模型真正的新颖之处是什么。²

本系列中的第二篇笔记在此基础上进一步探讨了治理在建立数字钱包信任中的作用。为此，它从一个不那么舒适的事实出发：技术本身并不能创造信任。

事实上，即使是一个基于最强加密标准的数字生态系统，其可信度也仅限于支持它的机构和流程。如果在发行数字身份或签名凭证时，没有正确识别个人身份，那么从技术角度来看，结果可能是一个完全有效的凭证——有效的密钥、可用的数据、可验证的签名——尽管如此，它仍然是欺诈性的。如果这种情况无法预防，冒名顶替者将能够在网络上冒充真实的人，或者提供包含不准确信息的凭证，而没有任何方式可以检测到他们。

这个说明性场景并非边缘案例，而是在数字生态系统扩展到超出小规模、严格控制的用户群时所面临的一个系统性风险。随着数字钱包生态系统的增长，它们开始服务于整个人口，甚至被要求支持跨境交易，新的问题随之产生，这些问题没有技术解决方案，例如：

• 谁有权发行哪些凭证，以及基于什么基础？

• 验证者如何知道这些发行者——以及钱包本身——是可信的？

• 采取了哪些措施来确保正确的人获得正确的钱包？

• 当出现问题时——例如身份盗窃、数据泄露或欺诈性签名——谁应该负责，用户如何得到保护？

• 一个国家的参与者基于什么基础信任在另一个国家发行的钱包和凭证？

信任框架是回答这些问题的机制，它是透明的、可预测的、可执行的。它不是取代信任的技术基础，而是通过增加治理层来补充技术。一个设计良好的信任框架定义了游戏规则（谁可以做什么）、必须遵循的标准（如何做）、检查这些标准是否实际得到尊重的机制（审计、监督），以及使这些承诺具有约束力的法律安排（法律、协议）。

因此，本笔记有助于政策制定者和从业者了解如何设计和实施一个信任框架来管理数字钱包生态系统。接下来章节中描述的多层次方法对于国家级别的生态系统以及任何渴望跨境互操作性和相互认可的国家都尤为重要。

目的和范围

本政策笔记的目的是为政策制定者和从业者提供一个实用的路线图，通过信任框架来管理钱包生态系统。它假设对数字钱包和可验证凭证（如本系列第一篇论文中介绍的）有基本的了解，并专注于必须围绕技术的什么，以便它能够安全地大规模采用。具体来说，本文旨在：

解释在数字钱包背景下什么是信任框架，以及为什么需要它。

提出一个多层次的信任框架设计模型——涵盖战略、技术、方案规则、合规基础设施和法律协议——并展示这些层次如何相互加强。

阐明实施信任框架所需的关键机构角色和责任。

探讨钱包信任框架如何与现有行业信任框架（如金融行业的框架）相互作用，以及这对互操作性和相互认可意味着什么。

描述各国如何根据自身需求规划信任框架，并在必要时随着其数字钱包生态系统的成熟而逐步发展它们。

主要受众是政府内的决策者和实践者——特别是那些负责数字转型、国家身份识别、数据治理、金融部门监管和网络安全的人——他们寻求实施或监管数字钱包。本文也旨在对监管机构、标准机构、私营部门和其他寻求与国家整体方法保持一致的生态系统参与者有用。

数字钱包政策说明系列

本文是数字钱包政策说明系列的一部分，该系列为政府和合作伙伴在下一代数字身份和数据共享生态系统方面提供了全面、模块化的参考，并包括以下政策和实践者说明。

1. 数字钱包：一种新范式

用户中心的数字身份、数据共享和支付的融合

数字钱包：管理生态系统的信任框架
数字钱包：在国家规模上部署钱包的实施实用指南

该系列一起提供了数字钱包设计、治理和实施的端到端视图。

理解信任框架

什么是信任框架？

在其核心，信任框架有助于回答一个简单但关键的问题：

“为什么我应该信任我从未见过的东西？”

当验证者从持有者那里收到一个数字凭证，可能是证明年龄、身份或资格时，他们需要信任它是真实的、准确的，并且没有被篡改。但验证者可能不认识发行者，也不知道使用了什么技术。那么他们如何仍然信任它？

这种信任来自于对系统背后的透明度。信任框架定义了适用于所有参与者的规则、标准和责任，包括凭证发行者、持有者、验证者和技术提供者。它规定了凭证必须如何创建，应该如何保护，以及如果有人违反规则会发生什么。它不仅涵盖技术，还包括人员和流程元素，并确保通过审计、认证以及违规的后果来追究责任。

参与者可能包括立法者、监管机构、政策制定机构和服务提供商，他们各自履行治理、保证或运营职能。实体可能根据使用案例承担多个角色，例如作为身份提供者、权威来源或验证者或依赖方。参与是由框架定义的范围决定的，这可能对功能、地理或管辖限制施加限制，以维护信任、可执行性和互操作性。

任何信任框架的目标是在适用的政策、程序和法规定义的约束内，使参与者之间的安全、高效和有效的合作成为可能。为了实现这一目标，必须解决几个关键考虑因素：

• 分配定义和执行框架的责任。

• 确定政策、程序和技术标准的开发、所有权和维护。

• 确保信任框架在所有参与组织中可靠运行。

• 促进与其他等效信任框架的互操作性，无论是在国内还是国际上。

• 建立明确的责任模型以定义问责制和管理风险。

• 确保参与者提供高效和有效的服务，充分利用信任框架的好处。

虽然必须有一个特定实体负责信任框架的初始定义和设计，但持续的交付、管理和管理可以委托给其他实体。治理结构在设定角色和责任方面至关重要。框架的所有权可能属于负责相关法律环境的监管机构，或属于参与实体的联盟。然而，治理通常委托给一个独立的权威机构，负责监督框架的实施，维护完整性，并在必要时指定认证和审计机构。

您需要一个信任框架吗？

正式的信任框架在需要更广泛的互操作性时特别有用，例如在政府和私营部门参与者之间，或者在双方对交易和共享数据的信任程度要求较高时。在这些情况下，依赖内部流程和参与者之间现有的信任关系是困难的，因此有必要正式建立对数据和流程的信任。信任框架通过建立一套所有生态系统参与者同意遵守的规则和责任，并让所有方案参与者对这些规范的遵守情况有透明度来实现这一点。

然而，钱包生态系统不一定是开放生态系统。例如，可以为单一组织的员工实施基于钱包的解决方案，例如用来持有建筑通行证。在这样小规模的实施中，可能不需要完全正式化一个信任框架。

即使对于中等规模的实施，也可能不需要一个完整的信任框架。在参与者限于一组志同道合的用户的情况下——例如，如果所有参与者都是政府行为者——这些参与者之间现有的信任可能部分足够。在这些情况下，可能不需要一个成熟的合规基础设施——例如，拥有独立和认证的第三方审计员——来确保对钱包和凭证的信任。然而，即使是这样有限规模的钱包实施也可能需要包括下面讨论的信任框架的其他常见组成部分，例如规定采用的标准，或确保角色和责任的明确定义。

在生态系统规模扩大时，可以看到完整信任框架的许多好处。这种扩展可能是由于参与者和用例的日益多样化。信任框架可以在所有参与者之间建立对凭证的信任，而无需他们有任何预先存在的信任关系。它甚至可以为那些可能不愿意彼此信任的参与者之间提供信任，例如私营部门参与者。没有信任框架，一些类型的参与者对适当保护或保护数据的动机可能会受到质疑；然而，有了信任框架，就有了对它们遵守一套共同同意的标准的完全透明度，这些标准由第三方审计和监督安排支持。有了足够的对标准合规性的透明度，即使是怀疑的参与者也可能被说服彼此信任。

当钱包生态系统的功能超越凭证并整合额外功能，如电子签名、服务访问或支付时，信任框架的相关性也变得重要。创建电子签名或发起金融交易的能力与风险相关联，因此随着这些功能的增加，理解信任在生态系统中的工作方式变得越来越重要。

信任框架之间的互操作性

钱包生态系统信任框架只是用户与服务提供商交易旅程的一部分。可靠地证明我们是谁或提供资格凭证是一回事，但一个人想要访问的服务可能受到其自身的特定法律、规范和标准的约束。这些甚至可能受到一个单独的信任框架的约束，无论是正式的还是非正式的。这可能意味着治理特定服务的信任框架（例如金融服务提供商）可能需要调整其规则或指导以接受来自钱包的凭证。或者相反，数字钱包信任框架可能需要与现有的信任框架保持一致，以确保钱包及其包含的凭证可以有效地用于识别用户或证明资格。

例如，在金融领域，了解你的客户（KYC）和反洗钱（AML）规则为银行在用户开立账户或获得信贷之前必须进行的客户尽职调查（CDD）和身份检查设定了标准。为了使钱包在这样一个高度受监管的领域中可用，钱包信任框架必须确保其凭证至少满足这一监管标准。同样，在教育领域，数字文凭和专业资格的认可取决于已建立的国家和跨境质量保证框架，³ 这意味着钱包发行的凭证必须与这些方案保持一致才能被接受。

在某种意义上，信任框架是使数字钱包不仅仅是一件技术产品，而是真正的DPI（数字个人身份），能够在其自身范围之外提供服务。

信任框架设计

本文提出了一个五层模型的信任框架。这个模型将信任框架的各种人员、流程和技术元素分组为相互加强的层次，从战略、技术、规则和合规性一直到参与者之间的正式协议。更具体地说，

战略层确立了共享愿景、目标、范围和指导原则，这些是整个方案的基石。
技术层定义了确保互操作性和可信操作所需的技术架构、标准和安全要求。
方案规则层规定了实现框架的政策、程序和角色定义，适用于所有参与者。
合规层提供了评估、监督和执行遵守既定规则和技术标准的机制。
协议层将这些元素正式化为具有法律效力的约束性文件，明确了信任框架的权利、义务和责任。

设计和实施信任框架的考虑因素将在以下小节中逐层讨论。

图 1. 信任框架的五个相互加强的层次

第 1 层策略

共享愿景

信任框架始于方案参与者之间清晰表达的共同愿景。信任框架存在的根本问题是什么，它为参与者提供了什么价值？对于数字钱包生态系统，这样的愿景陈述可以概括为，“使服务提供商能够验证寻求在线访问服务的个人的身份并评估其资格。”补充这一愿景的可能还有其他核心战略原则，指导所有参与者，如用户赋权、数据保护、用户体验、成本效益和生态可持续性。任何特定的战略目标应在策略层面确定，以便信任框架的设计能够支持这一目标。设计数字钱包信任框架的设计师应考虑的一些战略问题包括：

• 钱包是否用于整个数字经济，还是仅限于特定行业？

• 是否有跨边境或跨行业相互认可凭证的雄心或要求？

• 将只有一个钱包，还是采用多个钱包提供商的联邦模式？

• 是否将授权私营部门实体作为凭证发行者、验证者或钱包提供商？

• 钱包是否仅发放给自然人，还是也将“企业钱包”纳入范围，用于法律实体？

• 从第一天起应构建哪些与现有方案（例如开放银行API、国家身份证、支付网络）的互操作性，这是否需要与其他监管机构（例如金融领域的监管机构）合作？

• 包含钱包的应用程序所涵盖的任何额外功能的范围是什么（例如离线认证、电子签名创建、支付或其他数字服务）？

参与者

策略定义的一部分是就信任框架的范围达成一致。谁将是参与者？他们的角色和义务是什么？在什么条件下他们有资格参与？信任框架可能会区分多种互补角色（例如，凭证发行者和验证者）。信任框架可以在国际、国家或行业基础上定义和运营，方案参与取决于商定的范围。

融资

方案运营和合规活动的经费可以通过会员或参与费、基于交易的费用、审计或认证费用，或政府预算的贡献来筹集。凭证发行者和钱包提供商可能会承担认证和一致性评估的费用，而验证者或依赖方可能会通过使用费为持续的治理和基础设施做出贡献。在生态系统成熟到自给自足之前，尤其是在早期阶段，可以考虑补贴、折扣或分层会员模式来促进采用。

法律

信任框架必须得到其法律和监管环境的支持。在设计过程的早期，利益相关者需要评估任何现有的法律义务和限制——例如数据保护和消费者保护立法——并确保遵守。

同时，需要识别并优先更新任何缺失或过时的使能立法。过时的电子交易或国家身份识别法律可能需要改革，以及各种方案参与者的法律授权，以确保他们能够有效地扮演他们被分配的角色。

风险

启用技术如数字钱包的风险不能孤立地评估，因为发行者和验证者的特征必须作为生态系统级风险评估的一部分来考虑。风险管理方法需要适应这些参与者面临的威胁，采取与风险成比例的缓解措施，以避免对可用性、可访问性或成本产生过度的负面影响。

例如，在某些情况下，可能会施加特定的技术要求，对钱包施加限制（例如，确保加密密钥的保护处于最高信任级别），而在其他情况下，这种复杂的安全措施可能被认为是不成比例的。还应考虑与特定交易相关的风险，因为这可能决定与共享的凭证相关的信任水平，甚至是否应该共享。

采用多层次的保证可以是一种根据交易风险定制缓解机制的方式，同时避免成本高昂的过度应用。在信任框架的各个层面可能需要风险缓解措施。

治理

为了维护信任，需要一个健全的治理制度来确保标准、政策和程序得到正确实施。治理安排的要素可能包括监督功能、合规和审计框架、组织认证或资质、执行安排以及争端解决机制。对于较大的信任框架、参与者群体异质性较高，或者关键元素将外包或留给市场的信任框架来说，这样的治理安排尤为重要。

信任框架还需要参与实体达成协议（通常是具有法律约束力的），以遵守框架规则，其中一部分是对特定角色的职责集的定义。因此，这些责任和义务必须被所有方清晰定义和理解。信任框架设计的战略选择是所需治理制度的类型，这取决于方案中的参与者类型、现有的机构安排和授权，以及所需的信任类型。

L AY E R 2 技术

技术是推动者，主要任务是确保生态系统中的各个实体在互操作时能够履行其要求、角色和责任。在钱包生态系统的情况下，这主要已经由一套成熟的国际标准所描述。这些标准包括ISO/IEC 18013用于mdoc/mDL，以及OpenID协议用于可验证凭证的发行和呈现。

在这些边界内，将有特定的技术要求定义凭证的格式、凭证数据负载的模式、安全要求（例如，对于密码证明或保护钱包中持有的凭证），或遵守国家法律要求（例如，使用云技术或数据保护法）。

为特定钱包选择的架构可能会有所不同，包含钱包的应用程序的更广泛能力也可能有所不同，但如果遵守信任框架下指定的核心安全和互操作性标准，将保持互操作性。从技术角度来看，假设框架规则允许，几乎没有阻止钱包提供商混合生态系统的。

信任框架必须回答一些关键问题，以确保生态系统参与者可以有效依赖呈现给他们的凭证；例如：

智能手机应用的信任水平 - 私钥的存储是否可以使用安全飞地，并且这些飞地是通过软件管理还是在设备上物理管理。

选择性数据披露的需求 - 允许用户决定与请求服务（验证者）共享哪些详细凭证数据的数据元素。这对于数据保护、隐私和数据最小化视角是有益的。同时，发行者应设计不过于数据繁重、保持相关性并且本身遵守数据共享最佳实践的凭证。

云存储与设备存储的钱包 - 在用户没有能力使用智能手机的情况下，云存储钱包是有用的，但这可能会降低钱包作为实体的安全性。

钱包应用程序，或包含钱包功能的应用程序 - 信任框架可能会关注数字钱包本身以及凭证生命周期，但在许多情况下，钱包功能是更广泛政府应用程序的一部分，可能包括电子签名功能。

第3层

方案规则

方案规则定义了操作信任框架所需执行的政策和程序。这些规则将伴随着信任框架参与者角色和责任的明确定义，他们作为参与者接受的标准（包括上船程序），以及可能包括正式认证、审计和监督措施的持续保证要求。

从高层次来看，数字钱包需要证明它们能够：

• 在数字钱包解决方案中存储时以及在钱包内外传输时，保护凭证免受未授权访问和恶意攻击。

• 提供点对点安全，其中凭证呈现给验证者。

• 确保访问任何数字钱包的认证至少与该钱包内持有的最高信任凭证的信任水平一样高。

• 提供保护密钥、秘密和其他私有数据（如凭证）免受未授权访问或恶意攻击的功能。

• 提供符合框架支持的最高信任级别的恢复机制。

必须明确定义能够加入信任框架的实体类型，并突出任何限制。例如，政府凭证的发行者应被识别为权威来源。可能对某些行业、国际交易或可以在这些凭证中共享的凭证和数据项类型有限制。

发行方和验证方的上架（及下架）流程应确保提供技术合规性检查。在可能的情况下，这些检查应实现自动化，以帮助实体构建高信任解决方案，而无需重新发明轮子。上架流程可能包括一系列评估标准或“门控”，例如服务准备情况，实体必须通过这些标准才能运营实时服务。这不必是一个冗长的过程，而且通常门控可以并行运行，以确保评估过程不会不必要地延迟上架。

对于设计用来满足各种用例需求的大型信任框架，对每笔交易应用一套保证标准并不总是实际的。非常严格的保证标准——例如，要求现场身份验证或高安全性的加密设备——可能提供高水平的信任，但代价是成本、便利性和最终的采用率。将保证标准降低到一个水平，以促进低风险用例的采用，可能无法提供保护高风险交易所需的信任水平。在信任框架设计中可以采用的一种方法是标准化多个保证水平，这样就可以为每种类型的交易提供适当的解决方案。

这种混合方法也可以为分配责任提供基础。例如，在信用卡支付信任框架中，如果使用了强认证技术，则在线交易中的欺诈责任可能由发卡行承担，但如果商户允许交易在没有使用强认证技术（如3D Secure）的情况下进行，则责任可能会转移到商户。⁴ 在许多电子签名框架下，也适用类似的逻辑，最高级别的保证通常享有法律有效性的推定，而当使用较低保证级别的签名时，举证责任则转移到对签名提出质疑的一方。使用保证水平以这种方式转移责任可以促进方案参与者之间的信任，通过更公平有效地分配责任。⁵

第四层合规

信任框架的第四层是合规制度，也被称为质量基础设施。⁶ 这回答了问题：

我们如何知道信任框架的参与者真的在遵守规则？

合规制度通过建立将用于展示和执行遵守方案规则（第三层）和技术标准（第二层）的流程和监督机制来回答这个问题。信任框架采取的保证合规的方法可以分为三大类：

自我调节。参与者承诺遵守共同的标准或行为守则，并定期进行自我评估或符合性声明。
事前评估。信任框架的参与者在获得参与认证之前，会正式接受符合方案要求的评估（即审计）。
事后评估。参与者在没有正式评估的情况下也可以运作，但可能需要根据监管机构的要求，定期或不定期接受审计，以验证持续的符合性。

混合模式也是可能的。例如，在欧盟的数字身份（EUDI）框架中，对于最高保证级别的信任服务（称为“合格”）使用了事前认证制度，而中等保证级别（“高级”）则依赖于事后的监督和评估。这种混合模式可以让信任框架同时提供两全其美的方案：通过要求事前评估和认证来提供高信任度，以应对高风险交易，同时也使低风险用例的合规评估更简单、成本更低。

此外，还有持续的监督和执行操作来补充符合性评估：

持续监督。监管机构的持续监控、报告要求和抽查，他们也可能有权要求进行事后评估。
执行。确保参与者有动机遵守方案规则，需要可信的执行机制，这可能包括：

a. 暂停不合规行为者参与方案或将其从信任名单中移除。

b. 罚款或其他法律制裁，可以由监管机构依法实施，或通过合同条款商业性地管理。

c. 软制裁和声誉措施，例如公开披露合规失败、暂停某些会员特权或正式警告。

无论是事前还是事后进行，确保对参与者审计的信任首先需要对审计员自身的诚信有信心。这个问题不仅存在于数字钱包领域。⁷ 为此，通常要求审计员由一个可信的主体进行认证。对于国家级的信任框架，他们可能会使用国家认证机构来承担这一角色。有国际标准用于这一认证过程，特别是ISO 17000系列标准。这些标准将审计或“符合性评估”功能分解为多个不同的角色，这些角色可以根据信任框架的需求由不同的实体或机构执行。根据ISO 17000，这些包括：

方案所有者。定义了参与者必须满足的特定要求，包括方案规则和技术要求。

符合性评估机构（CAB）。一个经过认证的第三方，负责对方案参与者进行审计。CABs检查流程、技术控制措施以及合规性证据，然后发布一份符合性评估报告，证明是否满足了要求。

认证机构（AB）。一个值得信赖的组织，负责评估和认证CABs，确保它们一致且公正地运作。

方案参与者。这些是实体（例如钱包提供商或凭证发行者），其符合方案规则和标准的情况由CABs进行评估。

在接受审计时，方案参与者提交符合已发布方案规则的证据。经过认证的CABs随后审查文件，评估系统，并在必要时进行现场审计，然后发布符合性评估报告。CABs通常由方案参与者支付报酬。

在需要事前认证的情况下，获准参与方案的申请者进入持续的符合性评估周期，包括定期的重新审计、突击检查以及实时监控，例如使用提交的任何投诉数据。不符合情况可能导致方案所有者或其他监管机构启动纠正行动计划，并在严重情况下，暂停或撤销方案成员资格，甚至采取法律处罚。

第五层

协议

这第五也是最后一层是法律的“包装”，它将上述信任框架的技术和组织元素正式化为具有法律约束力的安排。在这一层，各种规则、要求和其他元素被正式化为具有约束力的法律文书，迫使参与者实施信任框架。在支撑信任框架的协议中可能正式化的方面包括：

• 提供的服务范围和边界

• 商业安排

• 信息保证协议

• 隐私和数据保护义务

• 各参与方的角色和责任

• 服务水平协议（SLAs）

• 保证级别

• 责任考虑

表1. 实践中的信任框架协议

协议类型	示例信任框架	目的	协议名称
国际条约	国际民用航空组织护照框架	国际护照互认	芝加哥公约（1944年）
国际条约	公证文书公约	国际政府颁发文件的互认	海牙公证文书公约（1961年）
区域条约	欧盟数字身份钱包	欧盟范围内数字身份和凭证的互认	欧盟法规910/2014（eIDAS），由欧盟法规2024/1183（EUDI框架）更新
区域条约	欧盟单一欧元支付区（SEPA）	欧盟范围内的欧元支付转账互操作性	欧盟法规260/2012
国家立法	爱沙尼亚X-Road数据交换框架	政府实体间可信且安全的数据共享	爱沙尼亚公共信息法（2000年）
国家立法	印度Aadhaar-KYC信任框架	电子KYC流程的信任框架	Aadhaar法案（2016年）
部门立法	墨西哥SPEI（银行间电子支付系统）	实时银行间支付的标准化	墨西哥银行SPEI运营规则（2017年第14号通函）
部门立法	电子金融交易法	金融交易的标准化数字认证	电子金融交易法（2006年，2017年修订）
合同协议	PCI-DSS银行卡支付	跨支付计划的安全银行卡支付处理	Visa核心规则、Mastercard规则、AMEX网络规则
合同协议	SWIFT支付消息网络	全球银行间支付的标准化安全消息传递	SWIFT服务协议
谅解备忘录	泛加拿大信任框架（PCTF）	加拿大各省间数字身份凭证的互操作性	加拿大各省和领地间的非约束性凉解备忘录（MoUs）
谅解备忘录	APEC跨境隐私规则（CBPR）	APEC经济体间可信的跨境数据流动	APEC经济体间的自愿凉解备忘录

关于协议的形式，根据范围和管辖权的不同，这些工具在范围和正式程度上可能差异很大。在正式方面，这可能包括多边条约，并包括国际参与；在较不正式的一端，可以使用简单的合同或非约束性的谅解备忘录（MoUs）来表示对共同规则的同意，以指导一组志同道合的参与者的行动，例如同一政府内的各部委。

不论使用哪种工具，每个协议都需要明确信任框架的一些核心设计元素，例如谁可以参与，在什么条件下参与，以及违反协议的后果，明确信任框架所依据的法律基础。

表1说明了在实践中如何使用不同形式的协议来支撑广泛部署的信任框架，这些信任框架可能对读者来说是熟悉的。

角色和责任

在数字钱包的信任框架中，明确识别出执行各种治理角色的特定参与者是重要的。对于每一个角色，定义清晰的责任是重要的，并确保被选中的参与者具有足够的能力，并且在公共部门机构的情况下，拥有必要的法律授权。每个方案参与者必须知道它提供哪些服务，它执行哪些规则，以及它承担哪些责任。角色应该根据机构授权、能力以及任何战略优先事项（如国际互操作性、专注于特定行业或使用案例，或快速全国推广）进行分配。能力评估可能会发现需要针对信任框架要求与现有能力之间的差距发展机构能力。

下一部分将审视在实施信任框架中的一些关键角色以及在选择扮演各种角色的参与者时需要考虑的因素。它首先介绍实施技术组件的角色和责任：钱包、发行者、验证者和信任功能。然后，接下来的小节考虑信任框架治理层的角色和责任。通常，方案所有者定义战略愿景并维护整体治理，而监督机构通过审计和制裁机制执行合规性。认证机构确保符合性评估机构满足国际审计标准，这对于信誉和互操作性至关重要。标准机构将全球标准适应到本地环境，促进互操作性、安全性和操作清晰度。网络安全机构设定网络安全标准和要求，向方案参与者发布指导，监控合规性并帮助应对任何安全事件。

根据信任框架的需求，这些不同角色之间可能存在重叠。例如，方案所有权和监督功能可以由同一机构提供。同样，对于较小的方案，如果不需要外包给专业审计师，单一实体可以在内部管理认证和符合性评估角色。

此外，并非所有角色都必须由国家机构执行。例如，在EUDI框架中，欧盟国家可以选择是否认证自己的审计师或依赖邻国认证的审计师。实际上，截至撰写本文时，EUDI框架的30个参与者中有10个国家选择了指定国内认证机构，⁸ 其余19个国家选择依赖其他欧盟成员国的审计师。⁹ 国际标准可以——并且通常应该——被采用来实现钱包生态系统的大多数方面，从而最小化国内标准机构所需扮演的角色。

明确划分治理角色并将其分配给适当的机构对于有效实施信任框架至关重要。一旦角色被定义，进行能力差距评估可以帮助识别需要机构加强的领域，例如开发新系统、程序或提供员工培训。此外，还应审查现有的法律授权，以确保参与机构拥有执行其角色所必需的权力，特别是在涉及监管责任时。

表 2. 实施信任框架的关键角色和责任

角色	主要责任	演示者示例	所需能力
方案所有者	确定战略愿景、政策和高级规则召集利益相关者并确保一致性	数字转型部	政策制定和法律起草利益相关者协调和变更管理
监督机构	监督合规和认证决策管理投诉、调查和制裁委托事后审计和抽查	数字转型部国家网络安全局	监管执法权力法律和调查专长审计监督和事件管理
网络安全局	设定网络安全要求监控安全合规管理事件	国家网络安全局	网络威胁情报事件响应技术标准设定专长
认证机构	认证认证机构(CABs)监测CABs的表现	国家认证委员会	认证流程和评估员培训
符合性评估机构（审计员）	对方案参与者进行第三方审计跟进纠正行动计划	认证的审计公司专业数字咨询公司	根据各种技术标准进行审计
标准机构	采用和调整国际标准以适应本地环境发布技术指南与国际标准机构联络	国家标准机构	对数字标准的理解

互操作性考虑

一般而言——并且在可行的情况下——新的数字钱包计划应寻求与现有的身份方案和国际框架保持一致。利用已建立的标准可以加速部署，降低实施成本，提高安全性，并促进生态系统之间的无缝互操作性。通过重用已证明的凭证格式、传输协议和信任框架，政府和实施者可以最小化努力的重复，并促进数字凭证的更广泛的跨境认可。

尽管如此，对齐并不是万能钥匙。如果现有的框架无法解决本地优先事项，或者采用成本过高，那么必须最初使用遗留系统，或者如果跨境互操作性不是立即需要的，其他解决方案可能更为合适。因此，决策者必须权衡重用的好处与实际限制——如机构能力、预算和时间表——以及他们利益相关者的具体需求。

为了指导这些选择，数字钱包的互操作性可以分解为三个递进的层级，每个层级都提供一个独特的结果：

凭证可移植性，使凭证能够跨不同方案的钱包被发行、传输和呈现，确保数据能够被正确读取和解析。
签名可验证性，使凭证的密码学验证成为可能，从而提供对数据准确性、完整性和来源的信任。
法律认可，使凭证和签名在信任框架和司法管辖区之间被认定为具有法律效力。

图 2. 数字钱包互操作性的层级

在构建钱包生态系统和信任框架时，需要战略性地决定所需的互操作性级别。如果用户基础小，系统是为了满足临时需求而快速构建的，或者如果决定不需要其他方案认可凭证，则可以实施一个不遵循标准的闭环系统。然而，如果需要互操作性，就必须进行规划。即使互操作性不是近期的优先事项，实施者也应该考虑如何为未来的互操作性打下基础。

层 1

凭证的可移植性

确保凭证在钱包之间可移植涉及技术层面的互操作性，特别是通过数据模型、传输协议和连接器的对齐。实现这种对齐确保了一种方案发行的凭证能够被另一个方案的钱包和验证者完全理解。具体来说，凭证可移植性得到以下方面的支持：

• 数据模型。标准化数据模型和数据模式确保凭证易于理解，并且可以被接收服务轻松处理，无论发行者或钱包提供者如何，并且编码为任何合规验证者都可以解析的格式，无需自定义代码。与凭证数据模型相关的常见标准包括 W3C 可验证凭证、¹⁰ ISO/IEC 18013、¹¹ IETF SD-JWT，¹² 等等。

• 协议。钱包、发行者和验证者必须共享一个共同的机制来交换凭证。例如，OpenID Foundation 的可验证凭证发行协议 (OID4VCI)¹³ 以及展示 (OID4VP)¹⁴ 可以采用，无论选择哪种凭证数据模型。

• 连接器。除了核心协议外，还需要一个连接器层来提供可发现性，确保钱包能够可靠地识别和访问正确的发行者和验证者端点，检索发行者元数据、撤销列表和公钥。采用欧盟架构参考框架（ARF）中指定的发行者/验证者API等标准¹⁵ 或者W3C去中心化标识符（DID）发现规范¹⁶ 可以帮助支持连接器的互操作性。

凭证的可移植性通常可以通过采用上述提到的常见国际标准之一来实现。它目前还不能保证对其真实性和完整性的真实信任，这需要在信任层实现互操作性（见下文）。信任框架的作用是定义在其特定范围内允许什么，但也定义了如何实现该范围之外的互操作性。例如，在欧盟，这意味着身份凭证可能以两种不同的格式发行（SD-JWT和ISO 18013-5）。

通常情况下，凭证的可移植性是推荐给大多数钱包实现的基础互操作性步骤，因为它通常可以通过技术层面的对齐来实现，而不需要在治理或法律层面进行大量的额外干预。这种互操作性层通常可以被视为双赢，因为它促进了生态系统的可扩展性和未来的可扩展性，同时也为其他互操作性层奠定了技术基础，允许它们并行或在未来进行追求。

第2层凭证的信任

尽管凭证的可移植性促进了它们的共享，并允许它们在到达时被解析和理解，但它并不保证接收者信任它们（以及它们所包含的数据）。为了使在方案之间交换的凭证能够被有意义地依赖，验证者必须有一种机制来通过密码学确认它们的真实性和完整性：这是“凭证”和“可验证凭证”之间的关键区别（见框1）。他们还必须信任钱包本身的安全性，并且它能够充分保护其包含的数据和用户的隐私。

确保可验证性不仅需要在凭证和协议层面进行对齐，还需要在支撑每个方案的底层信任基础设施层面进行对齐。在实践中，这意味着需要使底层信任基础设施具有互操作性。由于信任架构和治理模型可能因方案而异，互操作性的实现方式将因具体情况而异，但通常需要包括以下元素：

技术信任互操作性。所有参与者同意对数字证明的共同方法和标准，确保凭证签名可以容易地创建和验证。在实践中，这可以通过使用实现X.509证书的PKI（公钥基础设施）来满足，并提供一个可信机制来验证用于验证数字签名的公钥。

验证凭证的可靠方法。验证者必须能够访问验证凭证证明（数字签名）的手段。有多种方法可以实现这一结果，但实际实施可能依赖于底层的PKI架构。¹⁷

可信的钱包。由于凭证将被保存在钱包中并从中共享，因此需要确保这些钱包为凭证提供足够的保护，并确保它们只能被用户访问。应定义钱包安全标准，并将钱包解决方案的合规性作为认证制度的一部分进行审计，或作为更广泛的保证计划的一部分进行评估。

在这个签名验证级别的互操作性对于建立真正的跨方案凭证交换的信任至关重要，因此强烈推荐给预期跨行业或国际使用凭证的生态系统。实现签名可验证性可能需要参与方案之间的额外治理对齐，特别是当需要用于签署凭证的签名也是具有法律约束力的电子签名时，在这种情况下可能需要额外的法律认可（见下文）。

L E V E L 3

法律认可

虽然上述的技术互操作性措施确保了凭证可以被共享、解析和加密验证，但它本身并不能保证依赖方会在其司法管辖区内将这些凭证视为合法有效。法律认可是钱包互操作性的最后，也是最复杂的层次。好处是巨大的，因为它允许凭证及其相关的签名在其他所有国家都得到完全信任和具有法律约束力。实现这一结果需要超越前两个互操作性层次的政治意愿和承诺。尽管具体的细节将根据所涉及司法管辖区的具体情况而有所不同，但通常在这个层次上的互操作性需要在三个领域进行对齐：

• 政策和保证。参与方案必须在身份证明、凭证发行和签名创建的规则上达成一致。根据当地使用的术语，这些可能被编纂为最低保证水平的标准。¹⁸ 或者作为TSPs的要求。这些政策的一致性确保了一个信任框架用来在凭证中提供信任的措施是透明的，并且被另一个方案的参与者公认为同等稳健。

• 责任和执法。为了使凭证和签名具有法律效力，所有参与司法管辖区的法律框架必须一致地分配责任和责任。这包括澄清当凭证被滥用或签名被证明是欺诈时谁承担风险，以及为受影响方提供什么补救措施。

信息框1. 无需钱包的可验证凭证

即使没有数字钱包，数字凭证也可以被实施和交换。在这样的“无钱包”模型中，凭证——通常是数字签名的二维码或文件的形式——仍然可以被依赖方通过密码学验证，提供对其所含数据的真实性和完整性信任。

不将凭证绑定到持有者（钱包和用户）会带来一些限制。没有一个安全的钱包来保护密钥或将凭证绑定到已知用户，验证者无法知道一个凭证是否真正属于呈现它的人。这个限制可能使得这样的“裸露”凭证无法用于访问需要远程可靠地识别用户而无需面对面身份检查的在线服务。一些实现通过在二维码的已签名负载中嵌入生物特征（例如，发给凭证持有人的低分辨率面部图像）来缓解这个问题，以实现面对面验证。（消除钱包的另一个缺点是，选择性披露也不可能，因为凭证只能以全部形式呈现。）

尽管有这些限制，无需钱包实施可验证凭证具有优势。第一个是可访问性，允许那些没有智能手机或缺乏可靠互联网访问的人——例如低收入或老年人口——仍然至少可以使用一些可验证凭证的功能。第二个好处是简单性，因为取消钱包组件可以降低对技术能力和治理能力有限或预算受限的发行者的开销。

无需钱包的数字凭证已经在世界银行ID4D计划支持的几个国家系统中部署，包括菲律宾的PhilSys PhilID，¹⁹ 多哥的e-ID卡，²⁰ 以及在

贝宁的C’est moi卡。²¹ 所有这些都使用数字签名的二维码，允许在没有钱包或互联网连接的情况下离线验证凭证。在这些实现中，用户照片的数字签名版本允许进行视觉比较，为某些面对面使用场景提供了一些身份验证能力。

图3. 贝宁的C’est moi 可验证凭证

国际标准也紧随其后，W3C可验证凭证数据模型的最新版本现在包括一种特别适用于这种离线和无钱包使用场景的变体。²² 这种标准化为在无法假设互联网连接或智能手机访问的上下文中实现可验证凭证的完全互操作性开辟了道路。

• 相互认可协议。可能需要正式的工具来约束参与者接受彼此的凭证和签名作为法律上等同的。这些协议定义了认可的范围（哪些凭证类型，哪些签名格式），各方的责任（监督、审计和撤销），以及在不符合情况下的争端解决或制裁机制。协议的形式可以包括谅解备忘录、双边条约或区域规定，具体取决于有关司法管辖区的法律要求。

通过结合对齐的保证框架、正式的相互认可工具和协调的法律责任规则，信任框架可以将技术上可互操作的凭证提升为具有法律约束力的工具。政府和方案运营商应该提前规划这一层——确定哪些政策、法律和协议需要谈判或制定——以便在国内外环境中实现数字钱包的全部承诺。如果有任何特定的司法管辖区出于战略原因希望获得法律认可，那么这些或这些方案的要求应指导信任框架的设计。

迭代方法

即使战略考虑和互操作性使得开发完整的信任框架成为必要，但在实施的初始阶段可能不需要实现完全的互操作性，也不需要实施一个完全形成的信任框架。可以采取迭代或敏捷的方法来开发信任框架。

国家可以分层构建信任框架，首先采用共同的规则和标准，然后构建合规和监督安排，并在未来的阶段随着参与者使用案例和战略目标的最终要求，逐步正式化协议层。

表3提供了一个指示性的示例，说明了随着数字钱包项目的战略雄心增长以及随着生态系统随时间成熟，如何逐步构建信任框架。

表3. 随时间迭代发展的信任框架指示性模型

时间
阶段	1	2	3	4
战略	概念验证	运营钱包	国家层面的钱包凭证法律认可	在目标外国司法管辖区跨境法律认可钱包凭证和签名
目标	概念	运营钱包
目标	有限的国家行为者集合	有限数量的特定行业用例
规模	试点	特定行业	国家	国际
互操作性	凭证	凭证	凭证	凭证可移植性
	可移植性	可移植性	可移植性	凭证可移植性
		签名可验证性	签名可验证性法律认可（国家）	签名可验证性法律认可（国际）
技术	采用国际标准	采用	采用国际标准	采用国际标准
技术	采用国际标准	国际标准	采用国际标准	采用国际标准
方案规则	最小可行	初始编码	完全形式化	完全形式化互操作的目标司法管辖区
合规制度	无	发展阶段（并行）	在全国部署	在全国部署与国际模型一致
协议	谅解备忘录（MoU）	承包商行业法规	国家立法	国际协议

利用现有资产

合规基础设施

许多国家已经有了一个国家认证机构，该机构认证各种行业的合格评定机构进行审计。这些包括重量和度量的校准、医疗实验室、产品测试实验室和食品安全认证。尽管这些现有的认证机构可能没有进行数字审计的具体经验，但这种国家合规基础设施仍然可以通过加强这些现有机构的能力来构建。

在某些情况下，建立或增强国内认证机构和国内数字钱包认证机构网络的能力可能不是下一步的最佳选择。对于较小的计划来说，一开始就尝试这样做可能会带来过重的治理负担，或者无法立即证明其成本的合理性。

对于尚未准备好实施自己的合规基础设施的国家，一个选择是依赖在另一个信任框架下获得认证的审计员进行的一致性评估，无论是国内还是国外。例如，在欧盟，任何在任何欧盟成员国获得EUDI框架认证的审计员都可以在任何其他成员国审计信任服务。这扩大了可用审计员的范围，使得并非每个成员国都需要投资自己的合规基础设施。

监管框架

大多数司法管辖区已经在某种程度上对身份验证进行了规范，例如在金融行业规定（用于客户尽职调查）或电子交易法律（管理电子签名）下。各国可以通过增加额外的规定或定义来建立和完善这些现有的法律框架。例如，通过将新的凭证保证级别和身份验证要求映射到已建立的监管框架上，政策制定者可以促进更顺畅的采纳，减少混乱，并比起草全新的法规更有效地建立利益相关者的信心。法律改革可以是渐进的，而不是革命性的。

此外，各国在改革其法律框架时无需重新发明轮子。有许多法律文本可以采纳，或作为灵感来源，以帮助现代化与数字钱包相关的规定。UNCITRAL有许多与电子交易、数字身份和电子签名相关的模型法律，已被许多国家作为资源使用。例如，自2001年引入以来，已有40多个国家采用了基于或受UNCITRAL电子签名模型法影响的立法。²³ 自2022年以来，还有一种扩展的模型法可供使用，涉及跨境识别数字身份和信任服务。²⁴ 对于那些寻求与欧盟实现数字钱包互操作性和相互认可的国家，无论是因为他们有兴趣加入欧盟，还是仅仅因为他们希望作为第三国受益于访问欧盟数字单一市场——2024年EUDI框架法规²⁵ 也已成为一个重要的灵感来源。

结论

数字钱包有望改变人们的身份验证方式、共享数据以及获取服务——在政府和更广泛的经济领域中。但正如这份政策简报所强调的，真正的挑战并不是部署钱包技术本身。相反，是要建立一个信任环境

这决定了钱包是否可以被验证者信赖，是否可以跨部门整合，是否可以全国范围内扩展，或者是否可以跨境认可。

信任框架是使这一切成为可能的机构和治理层。它们将抽象的原则——例如问责制、最低保证级别、隐私、用户控制和互操作性——转化为实际的规则、标准、角色和法律承诺，生态系统参与者可以遵循并受到约束。没有这个治理基础设施，即使是最先进的钱包技术也有可能成为一个孤立的试点，或者更糟：成为新型欺诈的载体。从本文的分析中得出三个总体教训：

信任必须被设计。身份验证、凭证发行、钱包安全以及流程保证都需要明确的政策决策和责任的清晰分配。信任不会自然地从技术部署中产生。它必须被治理、审计、监督，并得到法律认可。信任框架提供了使这些期望变得透明和可执行的结构。
信任必须被共享。只有当多个参与者——无论是公共的还是私人的——能够识别、依赖并重用他人发行的凭证时，数字钱包才能创造变革性的价值。这不仅需要在技术标准上达成一致，还需要在治理安排、责任模型和合规机制上达成一致。钱包的信任依赖于实施者和依赖者之间的相互信任。
信任框架可以逐步构建。旨在支撑复杂环境和跨境信任的信任框架可能包含许多元素和机构角色。在不太成熟的机构环境中，可能缺乏有效执行所有这些角色的能力，或者众多参与者可能难以协调。值得庆幸的是，各国不必从第一天起就实施一个成熟的信任框架。可以从有限的使用案例、简单的规则书和基本的合规检查开始。随着时间的推移，随着生态系统在雄心和风险上的增长，可以逐步增加合规制度、认证结构和正式协议。

展望未来，数字钱包将继续演变，越来越多地集成电子签名、支付和AI辅助交互等功能，并扩展到支持跨境交互。随着这种演变的继续，信任框架将成为政府管理这种规模扩大而不损害信任或互操作性的关键工具。通过早期投资于健壮、适应性强的信任框架，政府可以确保钱包生态系统不仅功能齐全，而且值得信赖、可持续，并能够支持下一代DPI。

数字钱包：信任框架

© 2026 世界银行 1818 H街NW, 华盛顿特区 20433 电话: +1-202-473-1000; 互联网: www.worldbank.org

保留部分权利。

权利和许可

数字钱包：信任框架

关于我们

致谢

目录

图表

方框

表格

缩略语

执行摘要

引言

动机

目的和范围

数字钱包政策说明系列

1. 数字钱包：一种新范式

理解信任框架

什么是信任框架？

您需要一个信任框架吗？

信任框架之间的互操作性

信任框架设计

第 1 层 策略

共享愿景

参与者

融资

法律

风险

治理

L AY E R 2 技术

第3层

方案规则

第四层合规

我们如何知道信任框架的参与者真的在遵守规则？

第五层

协议

角色和责任

互操作性考虑

层 1

凭证的可移植性

第2层 凭证的信任

法律认可

信息框1. 无需钱包的可验证凭证

迭代方法

利用现有资产

合规基础设施

监管框架

结论

第 1 层策略

第2层凭证的信任

数字钱包：信任框架 - 管理生态系统（Digital Wallets: Trust Frameworks - Governing the ）