Stablecoin 지급 승인 및 재무 통제

스테이블코인 지불 승인은 하나의 변함없는 명령을 승인해야합니다 : 특정 네트워크에서 확인된 목적지로 특정 자산의 특정 금액. 지갑 서명은 단지 한 단계입니다. 귀하의 응용 프로그램은 또한 누가 명령을 만들 수 있는지, 누가 그것을 승인할 수 있는지, 언제 그것을 실행할 수 있는지, 그리고 금융이 그 후에 일어난 일을 어떻게 증명할 수 있는지 결정할 필요가 있습니다.

반복적인 공급자 지불을 고려하십시오. 운영 사용자가 요청을 준비합니다. 재무 검토자는 수혜자와 자금 출처를 확인합니다. 제한된 실행 서비스가 승인된 명령을 제출합니다. 재무는 결과를 조정합니다. 출시 전에 예외에 대한 소유자를 할당하세요. 결과를 알 수 없는 지급에는 두 번째 지급을 생성하지 않고도 공급자와 연쇄 증거를 조사할 수 있는 사람이 필요합니다.

아래 디자인은 엔지니어링 팀을위한 원래 구현 패턴입니다. 공급자 문서는 각 섹션에 연결된 개별 컨트롤을 지원합니다. 그것은 단일 공급자가이 전체 상태 기계를 공급한다는 것을 확립하지 않으며 비즈니스 특정 정책 검토를 대체하지 않습니다.

Maker와 Checker 역할을 분리하여 유지하십시오. Ripple의 문서화 된 지불 승인 작업 흐름은 계정에 대해 활성화되면 초기 사용자가 자신의 지불을 승인하지 못하게합니다. 공급자를 선택할 때 구체적인 평가 질문으로 사용하십시오. 관리자가 승인 규칙을 변경할 수 있는지, 변경을 승인하는 사람이 있는지, 그리고 감사 로그에 나타나는 이벤트를 별도로 확인합니다.Separately verify whether an administrator can change approval rules, who authorizes that change, and which events appear in the audit log.

응용 프로그램에서 제출 된 요청을 새로운 변함없는 버전으로 저장합니다.In your application, save the submitted request as a new immutable version. 각 승인은 목적지, 수혜자 버전, 자산 식별자, 네트워크, 전체 기초 단위 금액, 기금 계좌, 수수료 천장, 정책 버전 및 만료일에 대한 캐논적 지문에 연결합니다.Bind each approval to a canonical fingerprint of its destination, beneficiary version, asset identifier, network, integer base-unit amount, funding account, fee ceiling, policy version, and expiry. 명시적으로 카노닉 시리얼을 정의하십시오; 해시 arbitrary JSON는 충분하지 않습니다. 배송 직전에 지문을 다시 확인합니다.

목적지 편집, 변경 금액, 네트워크 스위치 또는 높은 수수료 천장은 새 버전을 생성하고 이전 승인을 무효화합니다.A destination edit, changed amount, network switch, or higher fee ceiling creates a new version and invalidates the previous approvals. 원본 레코드를 덮는 대신 거절 또는 취소 이유를 저장합니다.Save the reason for rejection or cancellation instead of overwriting the original record. 승인 만료 및 변환 인출의 만료는 별도의 제한 사항입니다: 둘 다 실행이 시작될 때 유효해야 합니다.

공급자가 요청을 수락했기 때문에 인터페이스가 결제 "완료"를 호출할 수 없도록 명시적 상태를 사용합니다. 다음 상태는 공급자 API 사양이 아닌 예시적인 애플리케이션 상태입니다. 검토된 어댑터를 통해 각 공급업체 상태를 매핑하고 조사를 위해 원시 공급자 값을 유지합니다.

승인된 명령, 잔액 예약 및 배송 의도를 하나의 데이터베이스 트랜잭션에서 맡기십시오.Commit the approved instruction, balance reservation, and dispatch intent in one database transaction. 트랜잭션 아웃박스는 노동자가 사업 지침을 재현하지 않고도 그 의도의 배달을 재시작할 수 있습니다.A transactional outbox allows a worker to retry delivery of that intent without recreating the business instruction. 유일성 제한으로 명령 ID 및 배송 시도를 보호; 경쟁 국가 전환을 시리즈화하거나 버전 검사를 사용합니다.Protect the instruction ID and dispatch attempt with uniqueness constraints; serialize competing state transitions or use version checks.

배송 후 네트워크 타이밍은 결과가 알려지지 않는다는 것을 의미합니다. 원본 참조를 사용하여 공급자를 쿼리하고 다른 제출이 허용되는지 결정하기 전에 후속 이벤트를 검사합니다.Quest the provider using the original reference and inspect subsequent events before deciding whether another submission is allowed. HTTP 응답이 손실되었기 때문에 예약을 해제하거나 새로운 idempotency 키를 생성하지 마십시오.

예비 지갑, 실행 유동성 및 지불 실행 권한을 의도적으로 범위를 유지하십시오. 실행 서비스는 수혜자를 편집하거나 자신의 요청을 승인할 수 없습니다. 재무 검사자는 지불을 검토하기 위해 무제한 서명 액세스가 필요하지 않아야합니다. 마지막 책임 순간에 지갑 정책에 대한 승인 된 거래를 다시 확인하십시오.

Fireblocks는 역할 기반 트랜잭션 정책 및 승인 내역을 문서화합니다. 평가하는 동안 공급자에게 대상 제한, 임계값, 정책 변경 거버넌스 및 계정에 사용 가능한 기록을 보여달라고 요청하세요. 애플리케이션 승인이 자동으로 지갑 정책이 올바르게 구성되었음을 의미하지는 않습니다.

정확한 네트워크와 계약 또는 발행 식별자를 기준으로 자산을 선택하세요. USDC과 같은 기호는 기본 자산, 브리지된 표현 또는 지원되지 않는 대상을 구별하는 데 충분하지 않습니다. 지원되는 각 경로에 대해 별도의 잔액과 수수료 예산을 유지하고 이를 실행하기에 충분한 기본 통화 또는 구성된 후원을 사용합니다.

안정적인 비즈니스 명령 ID, 별도의 배송 시도 ID, 그리고 범위가 공급자의 계약과 일치하는 공급자 idempotency 키를 사용하십시오. 키 보유, 매개 변수 일치 및 해당 공급자의 문서에서 오류가 발생한 행동을 확인합니다.Confirm key retention, parameter matching, and behavior after errors in that provider's documentation. Stripe은 자신의 idempotency 행동을 문서화합니다; 다른 지불을 가정하지 않거나 지갑 API는 동일하게 행동합니다.

Webhook deduplication 및 payout deduplication은 다른 문제를 해결합니다. 이벤트를 수락하기 전에 서명을 원래 요청 바이트에 대해 확인합니다.Verify the signature against the original request bytes before accepting an event. 제공자 이벤트 ID를 유일성 제한을 가진 인코딩 상자에 저장하고 신속하게 인식하고 지속적으로 처리합니다.Save the provider event ID in a inbox with a uniqueness constraint, acknowledge promptly, and process durably. Stripe 문서는 웹 호크에 대한 복제 배달 및 배달 주문 제한을 문서화합니다; 자신의 통합 테스트에서 이러한 실패 사례를 사용하십시오.

첨부만 이벤트 기록을 유지하고 현재 운영 상태를 추출합니다.Keep an append-only event history, then derive the current operational state. 지연된 "처리"전화 반환은 확인 된 지불을 뒤로 이동해서는 안됩니다. 모순 또는 인식되지 않은 상태를 찾으려면 이벤트를 카란테이션하고 권위있는 공급자 레코드를 쿼리합니다.For a contradiction or unrecognized status, quarantine the event and query the authoritative provider record. 브라우저에서 성공적인 리디렉트나 복제된 콜백은 레지거 크레딧을 생성해서는 안 된다.

이 가상의 레코드는 승인을 실행에 연결하는 데 필요한 식별자를 보여줍니다.This fictitious record illustrates the identifiers needed to connect approval to execution. 금액은 구성된 자산의 기본 단위에 있는 전체 문자열입니다.The amount is an integer string in the configured asset's base units. 목적지 및 자산 참조는 버전화된 내부 레코드를 나타냅니다; 그들은 실제 지갑 주소가 아닙니다. 승인 지문은 해결된 값을 다루어야 하며 변수 데이터베이스 포인터는 아닙니다.The approval fingerprint must cover their resolved values, not mutable database pointers.

인증된 배우 식별자, 서버 타임스탬프 및 각 전환에 대한 결정 이유를 기록합니다.Record authenticated actor identifiers, server timestamps, and the decision reason for each transition. 이벤트 스토어를 허가되지 않은 변경으로부터 보호하고, 수혜자 정보에 대한 액세스를 제한하고, 비즈니스를 담당하는 팀과 함께 보존을 정의합니다.Protect the event store against unauthorised changes, restrict access to beneficiary information, and define retention with the team responsible for the business. 이러한 레코드 밖에서 자료 및 웹 호크 비밀을 서명하십시오. 라이브 서명 시스템에 대한 액세스가 필요하지 않고도 결정을 재구성할 수 있는 충분한 컨텍스트를 내보냅니다.Export enough context to reconstruct the decision without requiring access to the live signing system.

각 공급자 시도, 체인 트랜잭션, 레지더 예약 및 최종 항목에 변함없는 지시를 연결하는 조화 테이블을 사용하십시오.Use a reconciliation table that joins the immutable instruction to each provider attempt, chain transaction, ledger reservation and final entry. 하나의 비즈니스 지불은 여러 기술적 시도를 가질 수 있으며, 하나의 배치 거래는 여러 비즈니스 지불을 나타낼 수 있습니다. 단일 트랜잭션 해시를 가정하는 대신에 이러한 관계를 명시적으로 모델링하는 것은 완전한 수신입니다.

원본, 네트워크 수수료, 공급자 수수료 및 모든 변환을 별도로 추적하십시오. Onchain 확인은 수신자의 은행 계좌가 사용 가능한 자금을 받았다는 것을 증명하지 않습니다. 오프 램프를 가진 지불을 위해, 공급자 신용, 변환, 은행 제출 및 수신자의 가용성은 자신의 참조로 별도의 마이클로 유지하십시오.

비교되지 않은 금액, 지연 된 전화 반환, 반환 된 은행 지불 및 체인 재조정에 대한 예외 차례를 구축합니다.Build an exception queue for unmatched amounts, delayed callbacks, returned bank payments and chain reorganizations. 기록을 삭제하는 대신 추적 가능한 보상 항목으로 올바른 회계.Correct accounting with traceable compensating entries rather than deleting history. 재무 소유자는 각 보고서 기간의 끝에서 여전히 남아있는 예비 사항과 해결되지 않은 예외 사항을 설명할 수 있어야 한다.

하나의 지원되는 자산 네트워크 경로, 작은 검증된 수혜자 세트 및 보수적인 운영 제한으로 시작합니다. 아래의 실패 사례를 합성 기록을 사용하는 비생산 환경에서 실행합니다.Run the failure cases below in a non-production environment with synthetic records. 거기에서 재현할 수없는 공급자 행동의 경우 문서화 된 테스트 계획을 얻고 생산 예외를 소유하는 사람에 동의하십시오.

유용한 시작 결정을 위해서는 증거가 필요합니다: 검토자는 승인된 지시를 수행하여 레지거 결과를 얻을 수 있습니다; 운영자는 자금을 다시 보내지 않고 알려지지 않은 결과를 해결할 수 있습니다; 그리고 관리자는 조사 기록을 보존하면서 배송을 중단 할 수 있습니다. 이러한 책임과 절차가 함께 작동 한 후에만 볼륨을 확장하십시오.