为什么是 120 秒：信任的租约制

规范解读 · 第 4 篇 · 引证源：draft-li-rttp-iqa-addressing-00 §6.2 · 参考规范 AICENT-009 · 姊妹柱：rttp://（CRI 27）· iqa://（CRI 28）

解读这份规范，第四个驻足点几乎是条件反射式的：「120 秒——为什么是这个数？谁定的？太短了吧？」在回答之前，先看合并文档 §6.2 里两条更根本的规范立场：「站在轮回间的重放」——地位材料按定义的周期轮换，「一个先前有效的应答可以在 URI 毫无变化的情况下失效；客户端不得把缓存的应答无限期当作当前应答」；以及「沉默不是同意」——「不可达、超时或报错的端点不得被读作肯定的地位：证据的缺席不是合规的证据」。

这两条合起来说明一件事：信任的时效性不是我们附加的选项，而是体系的前提。一旦承认「被吊销或失守的主体，其旧应答必须失效」，就必然要回答「多快失效」——而任何以轮换周期为界的答案，本质上都是一个租约。120 秒是这个租约的具体刻度，其精确定义住在参考规范 AICENT-009 里；合并文档刻意不重复它（URI 方案只管寻址，不管算法——§9.2：「本方案只定义寻址与客户端行为；不定义传输、发现机制或证明算法」）。

为什么短是对的？对比三个参照物：TLS 证书以年计，吊销靠 CRL/OCSP 事后补漏——吊销延迟以天计；IETF 的 Agent Identity Protocol 草案诚实地承认其吊销缓存「最坏情况下，被吊销的智能体可以在吊销后继续调用至多 60 秒」。而 IQA 的租约把方向反过来：不靠「吊销后传播」来收拾残局，而靠「每 120 秒重新挣得」让残局无处产生——过期即 ghost，ghost 不会因为缓存而复活。

过短的成本是什么？验证方需要更频繁地重新取得应答。这个成本由两个事实兜底：其一，默认读取操作在规范里是 SAFE 级（§5.4：省略动作即「读取当前地位」，只读）；其二，验证是本地可完成的——离线三测的立场从来是「验证者不欠任何人情」。每 120 秒问一次，问的是一台本地计算能回答的问题。

一句话：120 秒不是信任的寿命，是信任的重估周期——我们把「曾经可信」从一种资产降级为一种需要持续续租的状态，因为现实世界里主体的可信度本来就该如此计量。