主体

[=主体=]通过[=受控标识符文档=]中的`id`属性表示。`id`属性的值被称为标识符。

id

`id`属性的值必须是符合[[[URL]]]规则的字符串。

[=受控标识符文档=]必须在最顶层映射中包含一个`id`值。

            {
              "@context": "https://www.w3.org/ns/cid/v1",
              "id": "https://controller.example",
              "authentication": [{
                  "id": "https://controller.example#authn-key-123",
                  "type": "Multikey",
                  "controller": "https://controller.example",
                  "publicKeyMultibase": "z6MkmM42vxfqZQsv4ehtTjFFxQ4sQKS2w6WR7emozFAn5cxu"
              }]
            }
            

[=受控标识符文档=]的最顶层映射中的`id`属性值被称为[=受控标识符文档=]的基础标识符。用于检索给定[=标识符=]的当前权威[=受控标识符文档=]的URL被称为[=受控标识符文档=]的规范URL。解析[=规范URL=]必须返回当前权威[=受控标识符文档=]。返回文档的[=基础标识符=]必须与[=规范URL=]相同；如果不同，则返回的文档不是权威[=受控标识符文档=]，并且[=标识符=]应被视为无效。每个受控标识符文档都根据文档的[=规范URL=]存储和检索，该URL也必须是文档的[=基础标识符=]。

控制者

[=受控标识符文档=]的[=控制者=]是任何能够对该[=受控标识符文档=]进行更改的实体。能够更新通过解析控制者文档的规范 URL 返回的资源内容的任何人，按定义都是该文档及其规范标识符的控制者。满足[=受控标识符文档=]的[=验证方法=]的证明被视为对[=标识符=]的[=控制者=]创建这些[=证明=]的加密保证。

[=受控标识符文档=]的[=控制者=]被视为文档规范[=标识符=]的[=控制者=]，也称为其 URL。也就是说，能够更新[=受控标识符文档=]的人既是文档的[=控制者=]，也是[=标识符=]的[=控制者=]。更新文档是控制[=标识符=]的方式。这些术语可以互换使用。控制[=标识符=]的规范[=受控标识符文档=]等同于控制[=标识符=]。

controller

`controller`属性是可选的。如果可以将文档的合法控制者表示为 URL，则文档应列出标识这些控制者的 URL。

可以列出一个功能上由[=受控标识符文档=]的[=控制者=]以外的人控制的验证方法。例如，文档[=控制者=]可以将另一个方控制的公钥设置为身份验证验证方法。这将使另一方能够代表该[=标识符=]进行身份验证（因为他们的公钥列在身份验证验证方法中），而不会使该方能够更新[=受控标识符文档=]。然而，由于文档[=控制者=]明确列出了该密钥用于身份验证，因此该证明被视为由文档[=控制者=]创建，因为它是由其明确指定的受托人创建的。这在“另一方”是文档控制者控制的设备但具有独立的加密权限（即，它有自己的密钥存储并可以生成[=证明=]）时特别有用。这种模式使不同的设备能够使用自己的加密材料生成可验证的[=证明=]，这些[=证明=]被视为由标识符的控制者创建的。

如果存在，其值必须是一个字符串或集合，其中每个字符串都符合[[[URL]]]规则。

`controller`属性中的每个条目必须标识一个能够更新[=受控标识符文档=]规范版本的实体。通过其规范位置对该[=受控标识符文档=]的后续请求将始终接收最新版本。

如果`controller`属性不存在，则文档的控制权完全由其存储位置决定。

  {
    "@context": "https://www.w3.org/ns/cid/v1",
    "id": "https://controllerA.example",
    "controller": "https://controllerB.example/abc",
    "authentication": [{
        "id": "https://controllerA.example#authn-key-123",
        "type": "Multikey",
        "controller": "https://controllerA.example",
        "publicKeyMultibase": "z6MkmM42vxfqZQsv4ehtTjFFxQ4sQKS2w6WR7emozFAn5cxu"
    }]
  }
  

虽然用于[=控制者=]的[=标识符=]是明确的，但这并不意味着单个实体始终是[=控制者=]，也不意味着[=控制者=]只有一个标识符。[=控制者=]可能是单个实体，也可能是多个实体的集合，例如合伙企业。[=控制者=]还可能使用多个标识符来引用自己，例如出于隐私目的或在组织内划分操作边界。同样，[=控制者=]可能控制许多[=验证方法=]。因此，不应假设[=控制者=]是单一实体，也不应假设其仅控制单一[=验证方法=]。

请注意，[=身份验证=]的定义与[=授权=]的定义不同。一般来说，[=身份验证=]回答“我们知道这是谁吗？”的问题，而[=授权=]回答“他们被允许执行此操作吗？”的问题。本规范中的`authentication`属性用于执行[=身份验证=]，而其他[=验证关系=]（例如`capabilityDelegation`和`capabilityInvocation`）用于执行[=授权=]。由于成功执行[=授权=]可能对系统产生更严重的影响，建议[=控制者=]在执行[=身份验证=]与[=授权=]时使用不同的[=验证方法=]，并为用于[=授权=]的[=验证方法=]提供比用于[=身份验证=]的更强的访问保护。有关威胁模型和攻击向量的信息，请参见[[[#security-considerations]]]。

也称为

一个[=主体=]可以有多个标识符，这些标识符用于不同的目的或在不同的时间使用。可以使用`alsoKnownAs`属性声明两个或多个标识符（或其他类型的URI）指向同一个[=主体=]。

alsoKnownAs

`alsoKnownAs`属性是可选的。如果存在，其值必须是一个集合，其中每个项目都是符合[[RFC3986]]的URI。

此关系声明此标识符的主体也由一个或多个其他标识符标识。

{
  "@context": "https://www.w3.org/ns/cid/v1",
  "id": "https://controller.example",
  "alsoKnownAs": [
    "https://someOtherIdentifier.example/xyz",
    "https://yetAnotherIdentifier.example/987"
  ],
  "authentication": [{
      "id": "https://controller.example#authn-key-123",
      "type": "Multikey",
      "controller": "https://controller.example",
      "publicKeyMultibase": "z6MkmM42vxfqZQsv4ehtTjFFxQ4sQKS2w6WR7emozFAn5cxu"
  }]
}
            

服务

[=服务=]在[=受控标识符文档=]中用于表达与[=控制者=]或相关实体就受控[=标识符=]进行通信的方式。[=服务=]可以是[=控制者=]希望宣传以供进一步发现、认证、授权或交互的任何类型的服务。

由于隐私问题，不建议通过[=服务=]公开社交媒体账户、个人网站和电子邮件地址等公共信息。有关隐私问题的进一步探讨可以在[[[#keep-personal-data-private]]]和[[[#service-privacy]]]部分找到。与[=服务=]相关的信息通常是服务特定的。例如，与加密消息服务相关的信息可以表达如何在消息开始之前建立加密链接。

[=服务=]通过`service`属性表达，具体描述如下：

service

`service`属性是可选的。如果存在，关联的值必须是一个集合，其中每个服务由一个映射描述。每个[=服务=]映射必须包含`id`、`type`和`serviceEndpoint`属性。每个服务扩展可以包括其他属性，并可以进一步限制与扩展相关的属性。

id

`id`属性是可选的。如果存在，其值必须是符合[[[URL]]]的URL。一个[=符合规范的文档=]不得包含具有相同`id`的多个`service`条目。

type

`type`属性是必需的。其值必须是一个字符串或集合，其中包含一个或多个字符串。为了最大化互操作性，[=服务=]类型及其相关属性应在[[[?VC-EXTENSIONS]]]中注册。

serviceEndpoint

`serviceEndpoint`属性是必需的。`serviceEndpoint`属性的值必须是单个字符串、单个映射，或由一个或多个字符串和/或映射组成的集合。每个字符串值必须是符合[[[URL]]]的有效URL。

有关与[=服务=]相关的隐私和安全注意事项的更多信息，请参见[[[#service-privacy]]]、[[[#keep-personal-data-private]]]、[[[#controlled-identifier-document-correlation-risks]]]和[[[#service-endpoints-for-authentication-and-authorization]]]。

{
  "id": "https://controller.example",
  "authentication": [{
      "id": "https://controller.example#authn-key-123",
      "type": "Multikey",
      "controller": "https://controller.example",
      "publicKeyMultibase": "z6MkmM42vxfqZQsv4ehtTjFFxQ4sQKS2w6WR7emozFAn5cxu"
  }],
  "service": [{
    "type": "https://social.example/ExampleSocialMediaService",
    "serviceEndpoint": "https://warbler.example/sal674"
  }]
}
      

验证材料

验证材料是任何用于应用[=验证方法=]的过程的信息。[=验证方法=]的`type`通常用于确定其与这些过程的兼容性。[=验证方法=]的示例包括`JsonWebKey`和`Multikey`。[=加密套件=]规范负责指定[=验证方法=]的`type`及其相关的验证材料格式。有关使用验证材料的示例，请参见 使用 JOSE 和 COSE 保护可验证凭证、 数据完整性 ECDSA 加密套件以及 数据完整性 EdDSA 加密套件。

为了提高互操作性实现的可能性，本规范限制了在[=受控标识符文档=]中表达验证材料的格式数量。实现者需要选择的格式越少，实现互操作性的可能性就越大。这种方法试图在简化实现和支持历史上广泛部署的格式之间取得微妙的平衡。

[=验证方法=]不得包含针对同一材料的多个验证材料属性。例如，在[=验证方法=]中同时使用`publicKeyJwk`和`publicKeyMultibase`表达密钥材料是被禁止的。

实现可以根据操作需要或与加密库接口的需要，在格式之间转换密钥。作为内部实现细节，这种转换不得影响密钥材料的外部表示。

以下示例展示了一个包含使用上述两种属性的验证方法的[=受控标识符文档=]。

{
  "@context": "https://www.w3.org/ns/cid/v1",
  "id": "https://controller.example",
  "verificationMethod": [{
    "id": "https://controller.example#authn-key-123",
    "type": "Multikey",
    "controller": "https://controller.example",
    "expires": "2025-12-01T00:00:00Z",
    "publicKeyMultibase": "z6MkmM42vxfqZQsv4ehtTjFFxQ4sQKS2w6WR7emozFAn5cxu"
  }, {
    "id": "https://controller.example/101#key-20240828",
    "type": "JsonWebKey",
    "controller": "https://controller.example/101",
    "revoked": "2024-12-10T15:28:32Z",
    "publicKeyJwk": {
      "kid": "key-20240828",
      "kty": "EC",
      "crv": "P-256",
      "alg": "ES256",
      "x": "f83OJ3D2xF1Bg8vub9tLe1gHMzV76e8Tus9uPHvRVEU",
      "y": "x_FEzRu9m36HLN_tue659LNpXW6pCyStikYjKIWI5a0"
    }
  }]
}
            

多密钥 (Multikey)

多密钥数据模型是一种特定类型的[=验证方法=]，它将密钥类型编码为单个二进制流，然后按照第[[[#multibase-0]]]节的描述将其编码为多基值 (Multibase)。

当指定一个`Multikey`时，该对象的形式如下：

type

`type`属性的值必须是一个字符串，并设置为`Multikey`。

publicKeyMultibase

`publicKeyMultibase`属性是可选的。如果存在，其值必须是按照第[[[#multibase-0]]]节描述的多基值编码值。

secretKeyMultibase

`secretKeyMultibase`属性是可选的。如果存在，其值必须是按照第[[[#multibase-0]]]节描述的多基值编码值。

下面的示例使用上述的格式表示了一个Ed25519公钥：

{
  "@context": "https://www.w3.org/ns/cid/v1",
  "id": "https://controller.example/123456789abcdefghi#keys-1",
  "type": "Multikey",
  "controller": "https://controller.example/123456789abcdefghi",
  "publicKeyMultibase": "z6MkmM42vxfqZQsv4ehtTjFFxQ4sQKS2w6WR7emozFAn5cxu"
}
  

公钥值的表达规则如下表所示：

私钥值的表达规则如下表所示：

开发者应注意不要意外发布私钥的表示形式。遵循本规范的实现将在遇到非上述公钥头部表中的多密钥头部值时，或在读取预期为公钥的多密钥值（例如发布在受控标识符文档中的公钥）但未以已知公钥头部开头时引发错误。

在为`publicKeyMultibase`和`secretKeyMultibase`定义值时，规范作者可以为其他规范中的其他密钥类型定义额外的头部值，但不得为本规范已定义的密钥类型定义替代编码。

JsonWebKey

JSON Web Key (JWK) 数据模型是一种特定类型的[=验证方法=]，它使用 JWK 规范 [[RFC7517]] 将密钥类型编码为一组参数。

当指定一个 `JsonWebKey` 时，该对象的形式如下：

type

`type` 属性的值必须是一个字符串，并设置为 `JsonWebKey`。

publicKeyJwk

`publicKeyJwk` 属性是可选的。如果存在，其值必须是一个符合 [[RFC7517]] 的 JSON Web Key 的映射。该映射不得包含任何属于私密信息类别的成员，例如 `d`，详见 JWK 注册模板。建议使用 JWKs [[RFC7517]] 表示其[=公钥=]的验证方法将 `kid` 的值用作其片段标识符。建议将 JWK 的 `kid` 值设置为使用 SHA-256 (SHA2-256) 哈希函数计算的 JWK 指纹 [[RFC7638]]。 有关包含复合密钥标识符的公钥示例，请参见 [[[#example-various-verification-method-types]]] 中的第一个密钥。

如 JWK 规范第 4.4 节所述，可选的 `alg` 属性标识了公钥预期使用的算法，建议包含该属性以防止在同一密钥与多个算法一起使用时可能出现的安全问题。如 JWA 规范第 6.2.1.1 节所述，描述使用椭圆曲线的密钥时，必需的 `crv` 属性用于标识公钥的特定曲线类型。如 JWS 规范第 4.1.4 节所述，可选的 `kid` 属性是一个提示，用于帮助发现密钥；如果存在，`kid` 值应与封装 `JsonWebKey` 对象的 `id` 属性匹配，或包含在其路径、查询或片段中。

secretKeyJwk

`secretKeyJwk` 属性是可选的。如果存在，其值必须是一个符合 [[RFC7517]] 的 JSON Web Key 的映射。 如果包含该数据结构的内容是公开的或可能被合法密钥持有者以外的方披露，则不得使用该属性。

以下是符合 `JsonWebKey` 的对象示例：

{
  "id": "https://controller.example/123456789abcdefghi#key-1",
  "type": "JsonWebKey",
  "controller": "https://controller.example/123456789abcdefghi",
  "publicKeyJwk": {
      "kid": "key-1",
      "kty": "EC",
      "crv": "P-384",
      "alg": "ES384",
      "x": "1F14JSzKbwxO-Heqew5HzEt-0NZXAjCu8w-RiuV8_9tMiXrSZdjsWqi4y86OFb5d",
      "y": "dnd8yoq-NOJcBuEYgdVVMmSxonXg-DU90d7C4uPWb_Lkd4WIQQEH0DyeC2KUDMIU"
    }
}
  

在上面的示例中，`publicKeyJwk` 值包含 JSON Web Key。`kty` 属性编码了密钥类型 "EC"，表示 "椭圆曲线"。`alg` 属性标识了公钥预期使用的算法，在此示例中为 `ES384`。`crv` 属性标识了公钥的特定曲线类型 `P-384`。`x` 和 `y` 属性指定了与公钥关联的 `P-384` 曲线上的点。

`publicKeyJwk` 属性不得包含在 JOSE 注册表 [[JOSE-REGISTRIES]] 中标记为 "Private" 或 "Secret" 的任何属性，包括 "d"。

JSON Web Key 数据模型还能够编码私钥，有时也称为秘密密钥。

{
  "id": "https://controller.example/123456789abcdefghi#key-1",
  "type": "JsonWebKey",
  "controller": "https://controller.example/123456789abcdefghi",
  "secretKeyJwk": {
      "id": "secret-1",
      "kty": "EC",
      "crv": "P-384",
      "alg": "ES384",
      "d": "fGwges0SX1mj4eZamUCL4qtZijy9uT15fI4gKTuRvre4Kkoju2SHM4rlFOeKVraH",
      "x": "1F14JSzKbwxO-Heqew5HzEt-0NZXAjCu8w-RiuV8_9tMiXrSZdjsWqi4y86OFb5d",
      "y": "dnd8yoq-NOJcBuEYgdVVMmSxonXg-DU90d7C4uPWb_Lkd4WIQQEH0DyeC2KUDMIU"
    }
}
  

上面的私钥示例与前面的公钥示例几乎相同，不同之处在于信息存储在 `secretKeyJwk` 属性中（而不是 `publicKeyJwk`），并且私钥值编码在其 `d` 属性中（同时 `x` 和 `y` 属性仍然指定了与公钥关联的 `P-384` 曲线上的点）。

引用验证方法

[=验证方法=] 可以嵌入到或从与各种 [=验证关系=] 相关的属性中引用，如第[[[#verification-relationships]]]节所述。引用 [=验证方法=] 允许它们被多个 [=验证关系=] 使用。

如果 [=验证方法=] 属性的值是一个 映射，则 [=验证方法=] 已被嵌入，其属性可以直接访问。然而，如果值是一个 URL 字符串，则 [=验证方法=] 是通过引用包含的，其属性需要从 [=受控标识符文档=] 的其他部分或另一个 [=受控标识符文档=] 中检索。这是通过取消引用 URL 并在结果资源中搜索具有 `id` 属性且值与 URL 匹配的 [=验证方法=] 映射来完成的。

          {
            "@context": "https://www.w3.org/ns/cid/v1",
            "id": "https://controller.example",
            "authentication": [
              // 此密钥是引用的，可能被多个验证关系使用
              "https://controllerB.example/123456789abcdefghi#keys-1",
              // 此密钥是嵌入的，仅可用于身份验证
              {
                "id": "https://controllerA.example/123456789abcdefghi#keys-2",
                "type": "Multikey",
                "controller": "https://controller.example/123456789abcdefghi",
                "publicKeyMultibase": "z6MkmM42vxfqZQsv4ehtTjFFxQ4sQKS2w6WR7emozFAn5cxu"
              }
            ]
          }
            

身份验证

`authentication` [=验证关系=] 用于指定如何对 [=主体=] 进行 [=身份验证=]，例如登录网站或参与任何形式的质询-响应协议。身份验证后的处理是特定于应用程序的。

authentication

`authentication` 属性是可选的。如果存在，其值必须是一个 集合，包含一个或多个 [=验证方法=]。每个 [=验证方法=] 可以是嵌入的或引用的。

          {
            "@context": "https://www.w3.org/ns/cid/v1",
            "id": "https://controller.example/123456789abcdefghi",
            ...
            "authentication": [
              // 此方法可用于身份验证
              "https://controller.example/123456789abcdefghi#keys-1",
              // 此方法仅被批准用于身份验证，因此其完整描述嵌入在此而不是仅使用引用
              {
                "id": "https://controller.example/123456789abcdefghi#keys-2",
                "type": "JsonWebKey",
                "controller": "https://controller.example/123456789abcdefghi",
                "publicKeyJwk": {
                  "crv": "Ed25519",
                  "x": "VCpo2LMLhn6iWku8MKvSLg2ZAoC-nlOyPVQaO3FxVeQ",
                  "kty": "OKP",
                  "kid": "_Qq0UL2Fq651Q0Fjd6TvnYE-faHiOpRlPVQcY_-tA4A"
                }
              },
              {
                "id": "https://controller.example/123456789abcdefghi#keys-3",
                "type": "Multikey",
                "controller": "https://controller.example/123456789abcdefghi",
                "publicKeyMultibase": "z6MkmM42vxfqZQsv4ehtTjFFxQ4sQKS2w6WR7emozFAn5cxu"
              }
            ]
            ...
          }
            

这对任何验证身份验证的实体都很有用，这些实体需要检查试图 [=身份验证=] 的实体是否提供了有效的身份验证证明。当这样的身份验证验证实体接收到一些数据（以某种协议特定的格式）包含为 "authentication" 目的而制作的 [=证明=]，并且表明某个实体由 `id` 标识时，该 验证者 检查以确保 [=证明=] 可以使用 [=受控标识符文档=] 中 `authentication` 下列出的 [=验证方法=]（例如，[=公钥=]）进行验证。

请注意，[=受控标识符文档=] 的 `authentication` 属性所指示的 [=验证方法=] 只能用于代表 [=受控标识符文档=] 的 [=基础标识符=] 进行 [=身份验证=]。

断言

`assertionMethod` [=验证关系=] 用于指定 [=控制者=] 授权用于表达断言或声明（例如在可验证凭证中）的 [=验证方法=]。

assertionMethod

`assertionMethod` 属性是可选的。如果存在，其关联值必须是一个 集合，包含一个或多个 [=验证方法=]。每个 [=验证方法=] 可以是嵌入的或引用的。

例如，在验证者处理可验证凭证时，此属性非常有用。

          {
            "@context": "https://www.w3.org/ns/cid/v1",
            "id": "https://controller.example/123456789abcdefghi",
            ...
            "assertionMethod": [
              // 此方法可用于断言声明
              "https://controller.example/123456789abcdefghi#keys-1",
              // 此方法仅被批准用于断言声明，不用于任何其他验证关系，因此其完整描述嵌入在此而不是仅使用引用
              {
                "id": "https://controller.example/123456789abcdefghi#keys-2",
                "type": "Multikey", // 外部（属性值）
                "controller": "https://controller.example/123456789abcdefghi",
                "publicKeyMultibase": "z6MkmM42vxfqZQsv4ehtTjFFxQ4sQKS2w6WR7emozFAn5cxu"
              }
            ]
            ...
          }
            

密钥协商

`keyAgreement` [=验证关系=] 用于指定实体如何执行加密，以便传输给 [=控制者=] 的机密信息，例如用于与接收方建立安全通信通道。

keyAgreement

`keyAgreement` 属性是可选的。如果存在，其关联值必须是一个 集合，包含一个或多个 [=验证方法=]。每个 [=验证方法=] 可以是嵌入的或引用的。

此属性的一个有用场景是加密发送给 [=控制者=] 的消息。在这种情况下，对方使用 [=验证方法=] 中的加密 [=公钥=] 信息来包装接收方的解密密钥。

   {
     "@context": "https://www.w3.org/ns/cid/v1",
     "id": "https://controller.example/123456789abcdefghi",
     ...
     "keyAgreement": [
       "https://controller.example/123456789abcdefghi#keys-1",
       // 以下方法仅被批准用于密钥协商用途
       // 它们不会用于任何其他验证关系
       // 完整值嵌入在此，而不是仅使用引用
       {
         "id": "https://controller.example/123#keys-2",
         "type": "Multikey",
         "controller": "https://controller.example/123",
         "publicKeyMultibase": "zDnaerx9CtbPJ1q36T5Ln5wYt3MQYeGRG5ehnPAmxcf5mDZpv"
       },
       {
         "id": "https://controller.example/123#keys-3",
         "type": "JsonWebKey",
         "controller": "https://controller.example/123",
         "publicKeyJwk": {
           "kty": "OKP",
           "crv": "X25519",
           "x": "W_Vcc7guviK-gPNDBmevVw-uJVamQV5rMNQGUwCqlH0"
         }
       }
     ]
     ...
   }
     

能力调用

`capabilityInvocation` [=验证关系=] 用于指定 [=控制者=] 可能使用的 [=验证方法=]，以调用加密能力，例如授权更新 [=受控标识符文档=]。

capabilityInvocation

`capabilityInvocation` 属性是可选的。如果存在，其关联值必须是一个 集合，包含一个或多个 [=验证方法=]。每个 [=验证方法=] 可以是嵌入的或引用的。

此属性的一个有用场景是 [=控制者=] 需要访问受保护的 HTTP API，该 API 需要授权才能使用。在使用 HTTP API 进行授权时，[=控制者=] 使用与特定 URL 相关联的能力，该 URL 通过 HTTP API 暴露。能力的调用可以通过多种方式表达，例如放置在 HTTP 头中的数字签名消息。

提供 HTTP API 的服务器是能力的 验证者，它需要验证被调用的能力所引用的 [=验证方法=] 是否存在于 [=受控标识符文档=] 的 `capabilityInvocation` 属性中。验证者还需要检查所执行的操作是否有效，以及能力是否适用于正在访问的资源。如果验证成功，服务器已通过加密方式确定调用者被授权访问受保护的资源。

   {
     "@context": "https://www.w3.org/ns/cid/v1",
     "id": "https://controller.example/123456789abcdefghi",
     ...
     "capabilityInvocation": [
       // 此方法可用于调用能力 https:...fghi
       "https://controller.example/123456789abcdefghi#keys-1",
       // 此方法仅被批准用于能力调用；它不会
       // 用于任何其他验证关系，因此其完整描述
       // 嵌入在此，而不是仅使用引用
       {
         "id": "https://controller.example/123456789abcdefghi#keys-2",
         "type": "Multikey", // 外部（属性值）
         "controller": "https://controller.example/123456789abcdefghi",
         "publicKeyMultibase": "z6MkmM42vxfqZQsv4ehtTjFFxQ4sQKS2w6WR7emozFAn5cxu"
       }
     ]
     ...
   }
     

能力委托

`capabilityDelegation` [=验证关系=] 用于指定一种机制，该机制可能被用来将加密能力委托给其他方。此机制（例如授权能力或UCAN）以及委托后的处理（例如访问特定的 HTTP API）是特定于应用程序的。

capabilityDelegation

`capabilityDelegation` 属性是可选的。如果存在，其关联值必须是一个集合，包含一个或多个 [=验证方法=]。每个 [=验证方法=] 可以是嵌入的或引用的。

此属性的一个有用场景是当 [=控制者=] 选择将其访问受保护 HTTP API 的能力委托给其他方时。为了委托能力，[=控制者=] 将使用与 `capabilityDelegation` [=验证关系=] 相关联的 [=验证方法=] 对能力进行加密签名并转交给另一个 [=控制者=]。受委托方随后可以以类似于[[[#capability-invocation]]]中描述的方式使用该能力。

            {
              "@context": "https://www.w3.org/ns/cid/v1",
              "id": "https://controller.example/123456789abcdefghi",
              ...
              "capabilityDelegation": [
                // 此方法可用于执行能力委托
                "https://controller.example/123456789abcdefghi#keys-1",
                // 此方法仅被批准用于授予能力；它不会
                // 用于任何其他验证关系，因此其完整描述
                // 嵌入在此，而不是仅使用引用
                {
                  "id": "https://controller.example/123456789abcdefghi#keys-2",
                  "type": "JsonWebKey", // 外部（属性值）
                  "controller": "https://controller.example/123456789abcdefghi",
                  "publicKeyJwk": {
                    "kty": "OKP",
                    "crv": "Ed25519",
                    "x": "O2onvM62pC1io6jQKm8Nc2UyFXcd4kOmOsBIoYtZ2ik"
                  }
                },
                {
                  "id": "https://controller.example/123456789abcdefghi#keys-3",
                  "type": "Multikey", // 外部（属性值）
                  "controller": "https://controller.example/123456789abcdefghi",
                  "publicKeyMultibase": "z6MkmM42vxfqZQsv4ehtTjFFxQ4sQKS2w6WR7emozFAn5cxu"
                }
              ]
              ...
            }
            

上下文注入

`@context` 属性用于确保实现处理本规范中的术语时使用相同的语义。 例如，当处理 `authentication` 属性及其值（如 `Multikey` 或 `JsonWebKey`）时，这一点很重要。

当应用程序处理 [=受控标识符文档=] 时，如果文档中未提供 `@context` 属性， 或者文档中使用的术语未被 `@context` 属性中的现有值映射， 实现必须注入或追加一个值为 `https://www.w3.org/ns/cid/v1` 的 `@context` 属性， 或一个或多个具有至少相同声明的上下文，例如去中心化标识符 v1.1 上下文 (`https://www.w3.org/ns/did/v1`)。

  {
    // 此受控标识符文档中缺少 @context 声明
    "id": "https://controller.example/101",
    "verificationMethod": [{
      "id": "https://controller.example/101#key-203947",
      "type": "JsonWebKey",
      "controller": "https://controller.example/101",
      "publicKeyJwk": {
        "kid": "key-203947",
        "kty": "EC",
        "crv": "P-256",
        "alg": "ES256",
        "x": "f83OJ3D2xF1Bg8vub9tLe1gHMzV76e8Tus9uPHvRVEU",
        "y": "x_FEzRu9m36HLN_tue659LNpXW6pCyStikYjKIWI5a0"
      }
    }],
    "authentication": ["#key-203947"]
  }
            

不打算使用 JSON-LD 的实现可以选择不在文档的顶层包含 `@context` 声明。 无论是否使用 `@context` 值或 JSON-LD 处理器， [=符合规范的文档=] 中表达的所有属性和值的语义在 [=符合规范的处理器=] 中是相同的。 在两种模式下处理的文档之间的语义差异是实现或规范的错误。

`multibase` 数据类型

Multibase 编码的字符串用于将二进制数据编码为可打印格式， 例如 ASCII，这在无法直接表示二进制值的环境中非常有用。 本规范使用了这种编码。在支持字符串值数据类型的环境中，例如 RDF [[?RDF-CONCEPTS]]， Multibase 编码的内容通过数据类型值 `https://w3id.org/security#multibase` 表示。

`multibase` 数据类型定义如下：

表示此数据类型的 URL

`https://w3id.org/security#multibase`

词汇空间

任何以 [=Multibase头=] 开头且其余字符由相应基数编码字母表中的允许字符组成的字符串。

值空间

所有整数的标准数学概念。

词汇到值的映射

词汇空间的任何元素通过基于词汇字符串中第一个 [=Multibase头=] 关联的基数解码字母表进行基数解码映射到值空间。

规范映射

规范映射由词汇到值的映射组成。