一、安全术语需要分层理解
讨论区块链安全，可以先区分三个问题：记录是否发生变化，交易是否符合规则，网络如何确定共同认可的历史。哈希与数字签名、交易验证、共识机制分别承担不同职责，不能把其中任何一项理解为全部安全保证。
二、哈希与默克尔树：核对数据，不是隐藏数据
哈希把数据映射为摘要，用于核对内容是否一致。比特币开发者指南介绍，区块通过前一区块头的哈希相互连接，交易摘要则汇总为默克尔根。交易内容改变，会影响相关摘要及后续关联。
默克尔证明可以帮助核对某笔交易是否包含在特定区块中，但“被包含”不等于交易及整个区块都已完成独立验证。哈希也不是加密：可核对数据与隐藏数据是不同目标。
三、数字签名与双重支付：授权不等于任意有效
数字签名用于核验交易是否具有相应密钥的授权。签名正确只是有效性条件之一，节点还要检查余额或可支配输出等规则。因此，“交易已签名”不等于“交易一定会被接受”。
双重支付指同一份可支配资金被重复花费。比特币使用未花费交易输出，即UTXO，描述尚可使用的交易输出；同一输出不能在有效链中被重复花费。这里检查的是支出资格，而不是仅看交易是否带有签名。
四、PoW与PoS：不同的共识约束
工作量证明（PoW）以计算工作作为区块竞争的一部分；权益证明（PoS）则将验证参与和质押权益联系起来。以太坊开发者文档介绍，其PoS验证者负责检查区块并参与投票，特定违规行为可能触发罚没。
理解两者时，应关注协议如何选择历史、约束参与者，而不是把它们当成“绝不会出错”的认证标志。经济成本可以构成安全约束，但不能替代交易规则验证。
五、最终性与不可篡改：都有适用条件
最终性描述已确认历史获得何种稳定保障。以太坊通过检查点及代表至少三分之二质押权重的投票，在协议规定的条件下推进最终确认；破坏这种保障涉及严重的经济惩罚。
“不可篡改”更适合理解为：历史修改能够被检测，并受到共识规则及相应成本的约束。它不是说数据在物理上无法改动，也不意味着所有区块链都具有相同的确认方式。
六、常见问题：分叉是否意味着安全失效
不一定。区块传播存在时间差，节点可能暂时看到不同的链头，共识协议需要用分叉选择规则协调这些差异。短暂分歧不能直接等同于系统遭到破坏。
阅读安全描述时，可依次追问：它保证的是授权、数据完整性，还是历史稳定性？保证成立需要什么条件？理解这些边界，比只记住“去中心化”“不可篡改”等标签更准确。