Bitcoin 时间戳：开发者入门指南
你能在不公开源代码的情况下，证明某个特定提交存在于某个特定日期吗？这正是 Bitcoin 时间戳要解决的问题。对于开发者、创始人和注重合规的工程团队来说，这个问题已经不再是学术性的了：内部 Git 日志可以被重写，电子邮件可以被伪造，而法务团队往往将自托管的历史记录视为“自说自话”。Bitcoin 时间戳用锚定在全球最不可篡改的公共账本中的密码学证明，取代了那些薄弱的证据。
本指南将解释什么是 Bitcoin 时间戳、它为什么对软件开发很重要、它在底层是如何运作的，以及 Timestamp GIT 如何将整个过程变成一个零配置的 GitHub App 工作流。
什么是 Bitcoin 时间戳？
Bitcoin 时间戳是将数据的密码学哈希锚定到 Bitcoin 区块链中，以证明该数据在特定时间点已经存在的过程。区块链是一个公开的、只可追加的账本。一旦某个哈希被包含在一个已确认的区块中，除非重写 Bitcoin 的历史，否则在数学上无法更改或移除它。
一个有用的类比是公证人，但有三点重要区别：
- 无需可信第三方：由 Bitcoin 网络验证锚定，而不是某个公司或政府。
- 数学上可验证：任何人都可以对照区块链检查证明。
- 保护隐私：实际数据永远不会存储在链上——只有哈希。
对于开发者来说，“数据”通常是一个 Git 提交哈希。该哈希是某个提交时整个仓库状态的唯一指纹。任何拥有该仓库的人都可以重现相同的哈希，但没有人能够反向推导出源代码。
为什么开发者需要时间戳
软件开发存在一个“存在性证明”的空白。你知道你构建了什么，但证明你何时构建的，往往比想象中更难。
最常见的威胁包括：
- 专利流氓：一个非实施实体就你已经实现的技术申请了一项宽泛的专利。如果没有独立的在先技术证明，你可能面临昂贵的诉讼。
- 员工纠纷：一位首席开发者离职后声称某个功能是在别处构思的。如果没有不可篡改的时间戳，纠纷就变成了各执一词。
- 净室声明：竞争对手声称他们“独立开发”了类似的东西。如果你能证明你完成的逻辑早在 18 个月前就已存在，这种声明就不攻自破。
- 脆弱的日志：GitHub 历史可以被删除，服务器可以被迁移，内部日志可以被编辑。法院和审计机构通常对自管理日志的采信度很低。
Bitcoin 时间戳改变了证据的等式。由于锚定存在于 Bitcoin 区块链中，它是公开的、不可篡改的，并且可以独立验证。Timestamp GIT 在实现这一切的同时，从不读取你的源代码，这意味着它适用于商业机密和私有仓库。
Bitcoin 时间戳在底层是如何运作的
从高层次来看，Bitcoin 时间戳使用 OpenTimestamps 协议。该协议将许多哈希聚合到一个 Merkle 树中，并将 Merkle 根锚定到一笔 Bitcoin 交易中。一旦该交易在一个区块中被确认，树中的每个哈希就继承了该区块的时间戳。
这个过程可以分解为三个概念性步骤。
第一步——指纹
Git 已经为每个提交创建了一个密码学指纹。你可以在本地查看：
git rev-parse HEAD
# 9f2e8b1c3d4e5f6a7b8c9d0e1f2a3b4c5d6e7f8
这串长长的十六进制字符串是一个 SHA-1 或 SHA-256 提交哈希。它唯一地代表了确切的仓库状态，包括文件、提交信息、作者元数据和父提交。这就是用于时间戳的指纹。
第二步——锚定
Timestamp GIT 只提取这些提交哈希。每天晚上，它将待处理的哈希收集到一个每日清单中，构建一个 Merkle 树，并使用公共 OTS 日历创建 OpenTimestamps 证明。然后，Merkle 根被锚定到 Bitcoin 区块链中。
你的源代码永远不会进入这个流程。只有提交哈希从你的仓库移动到时间戳服务或 GitHub App。
第三步——证明
在 Bitcoin 网络确认锚定之后，你会收到一个 .ots 回执文件。这个回执包含了从你的提交哈希到 Merkle 根、最终到 Bitcoin 区块的密码学路径。你可以使用回执和 Bitcoin 区块链独立验证它——不需要 Timestamp GIT 服务器。
确认需要时间，因为 Bitcoin 区块大约每十分钟产生一个，而且证明必须被包含在一个已确认的区块中。在正常情况下，Timestamp GIT 的证明在几个小时后即可就绪，通常大约三小时。
困难方式 vs. 托管方式
你可以通过手动运行 OpenTimestamps 工具、管理日历并手动处理 Bitcoin 交易来完成所有这些工作。困难方式具有教育意义，但对于繁忙的开发团队来说并不是一个实用的工作流。
Timestamp GIT 是托管替代方案。它是一个 SaaS 加 GitHub App，完全自动化并隐藏了 OpenTimestamps 协议。你只需安装一次 GitHub App，选择你想要监控的仓库，之后这些仓库的每个提交都会在每晚自动锚定到 Bitcoin 中。无需安装 CLI 工具，无需记忆 OpenTimestamps 命令，也无需手动操作 Bitcoin。
其架构在设计上是零知识的：
- 标准模式（GitHub App）：GitHub App 只读取你所监控仓库的 HEAD 提交哈希。证明被写入同一仓库或单独目标仓库中的一个专用分支。
- 企业 ZK 模式：一个简短的 GitHub Action 在你的基础设施上运行，只将提交哈希推送到 Timestamp GIT API。在这种模式下，Timestamp GIT 完全不需要对你源代码仓库的读取权限，因此适用于隔离或高度受限的环境。
在两种模式下，除非你明确公开，否则实际源代码永远不会离开你的环境。
开始使用 Timestamp GIT
实际路径被设计为融入正常的 GitHub 工作流：
- 安装 GitHub App：前往 Timestamp GIT 并从网站安装该应用。授予所需的仓库权限。
- 选择仓库：选择你想要监控的公共或私有仓库。私有仓库需要相应的付费计划。
- 让它运行：Timestamp GIT 自动检测新提交。在午夜，它会批量处理所有待处理的哈希，构建 Merkle 树，将根锚定到 Bitcoin 中，并将证明回执推送回你的仓库。
证明以 .ots 文件的形式到达一个专用的 timestamps 分支或影子仓库中。你不需要改变团队正常的 git 流程。
一旦你的仓库连接完成，你可以在 README.md 中添加一个验证徽章。Timestamp GIT 仪表板提供了一个可直接使用的 markdown 片段，并带有实时预览。它看起来类似于：
[](https://timestampgit.dev/status/USER/REPO)
该徽章链接到一个公开的状态仪表板。仪表板显示证明的存续时间、最早的锚定日期、Bitcoin 区块和交易数据、日历热力图，以及下载审计 CSV 或 PDF 证书的选项。对于合规要求较高的团队，这些 PDF 证书将密码学证明转化为可供法务审查的人类可读工件。
关于 Bitcoin 时间戳的常见误解
“它把我的代码存储在区块链上。”
并非如此。只有哈希被存储。密码学哈希无法被反向推导以恢复你的源代码。Timestamp GIT 从不读取、复制或存储你的实际代码。
“我需要购买 Bitcoin 或支付交易费用。”
不需要。Timestamp GIT 在内部处理 Bitcoin 锚定。你支付订阅费用，或使用免费的公共仓库层级。你不需要 Bitcoin 钱包，也不会按交易收费。
“它只对法律诉讼有用。”
法律辩护是一个用例，但不是唯一的。时间戳还有助于在客户纠纷中证明交付日期、在尽职调查期间保护商业机密，以及通过公开展示一个仓库长期以来持续被锚定来建立信任。
“验证很复杂。”
过去确实如此，但有了托管服务就不再复杂了。Timestamp GIT 提供了一个基于浏览器的验证页面，Merkle 链在你的浏览器中本地计算。如果你更喜欢独立验证，你可以下载 .ots 文件，并使用标准的 OpenTimestamps 验证工具对照 Bitcoin 区块链进行验证。
常见问题
到底什么被时间戳了？
只有 Git 提交哈希——SHA-1 或 SHA-256——被时间戳。该哈希是你在该提交时仓库状态的唯一指纹。你的实际源代码从未被 Timestamp GIT 读取、复制或存储。
时间戳确认需要多长时间？
Timestamp GIT 每天批量处理哈希并将其锚定到 Bitcoin 区块链中。确认通常需要几个小时，具体取决于 Bitcoin 网络状况。证明就绪后你会收到通知。
我可以在没有 Timestamp GIT 的情况下验证时间戳吗？
可以。.ots 回执文件可以使用标准的 OpenTimestamps 工具和 Bitcoin 区块链独立验证。Timestamp GIT 还提供了基于浏览器的验证页面和 PDF 报告以方便使用。
Timestamp GIT 是免费的吗？
Timestamp GIT 为公共仓库提供免费计划。对于私有仓库，付费计划从 Pro Agency 层级的每月 49 美元起。带 GitHub Actions 的企业 ZK 模式为每月 199 美元。
结论
Bitcoin 时间戳回答了每个严肃的开发团队最终都会面临的问题：我们能证明这个东西在这个时间点存在吗？ 区块链提供了不可篡改性，OpenTimestamps 提供了技术标准，而 Timestamp GIT 通过 GitHub App 完全自动化了这一过程，消除了运维负担。
对于想要获得密码学在先技术证明、又不想安装新工具或学习 Bitcoin 交易细节的开发者来说，实际路径很简单：安装一次 GitHub App，连接你关心的仓库，让夜间锚定在后台运行。你收集的每一个证明都会成为一份永久的、不依赖供应商的记录，无法被悄悄篡改或辩驳。
相关文章
