---
title: "Fystack Cosigner"
description: "Fystack Cosigner 是一个自托管的 MPC 参与方。它在你的基础设施上持有一份密钥分片，并且只签署你的策略所批准的内容。"
url: https://docs.fystack.io/zh/cosigner
last_updated: 2026-11-13
---

> ## Documentation index
> Fetch the complete documentation index at: https://docs.fystack.io/llms.txt
> Use it to discover all available pages before exploring further.

# Fystack Cosigner

Cosigner 是一个在你自己的基础设施上运行的 MPC 参与方。它持有每个钱包密钥的一份分片，并与 Fystack 的 [MPCium](https://docs.fystack.io/mpcium.md) 节点一起参与密钥生成和签名。每次签名前，它都会向你的审批服务器征求批准。

[安装 Cosigner](https://docs.fystack.io/zh/cosigner/installation.md)

[架构](https://docs.fystack.io/zh/cosigner/architecture.md)

## 为什么要运行 Cosigner

- **共同托管**：没有你的分片，Fystack 无法达到签名门限。
- **你的策略，在本地执行**：你的回调服务器能看到待签名的原始字节，并可以拒绝任何请求。
- **无需开放入站端口**：Cosigner 通过带 TLS 的 gRPC 主动连接 Fystack。
- **签名发布**：每个镜像和二进制文件都经过 Sigstore 签名。`cosigner-cli` 会在运行前验证并锁定摘要。
- **Enclave 隔离（即将推出）**：支持 AWS Nitro Enclave，使宿主机管理员无法读取密钥分片。

## 概览

_Diagram: 部署在你基础设施中的 Cosigner 主动连接 Fystack Gateway，向你的回调请求审批，并通过 AWS KMS 解封其存储密钥_

- **你的一侧**：Cosigner 容器、你的审批回调，以及存储密钥来源（密码或 AWS KMS）。
- **Fystack 一侧**：Apex（配对、请求）、Gateway（Cosigner 连接）、Orchestrator（会话）和 MPCium 节点。

MPC 消息在参与方之间端到端加密。Gateway 和 Orchestrator 负责中继，但无法读取消息内容。

## 操作

| 操作 | Cosigner 的作用 |
| --- | --- |
| Keygen | 生成其所持有的 ECDSA（secp256k1）和 EdDSA（Ed25519）密钥分片。任何人都不会持有完整密钥。 |
| Sign | 验证请求，询问你的回调，然后参与门限签名。 |
| Reshare | 将分片轮换到新的委员会。公钥和地址保持不变。 |
| Export | 写出加密的 `.mshare` 文件，用于离线恢复。 |

## 部署模式

| 模式 | 运行环境 | 谁能读取密钥分片 |
| --- | --- | --- |
| 常规模式 | Linux + Docker，由 `cosigner-cli` 管理 | 任何拥有宿主机 root 或 Docker 权限的人 |
| Nitro Enclave（即将推出） | 启用 Nitro Enclaves 的 AWS EC2 | 仅限经过证明的 enclave |

> **Note:** 目前支持的部署方式为常规模式。[Nitro Enclave](https://docs.fystack.io/cosigner/nitro-enclave.md) 支持即将推出。

## 文档

- [架构](https://docs.fystack.io/cosigner/architecture.md): 组件、通道和会话生命周期。
- [密钥生命周期与签名](https://docs.fystack.io/cosigner/signing-flow.md): 逐步了解密钥生成、签名和重新分片。
- [审批回调](https://docs.fystack.io/cosigner/approval-callback.md): 在你自己的服务器上批准或拒绝每一项操作。
- [安装](https://docs.fystack.io/cosigner/installation.md): 安装、配对并启动 Cosigner。
- [运维](https://docs.fystack.io/cosigner/operations.md): CLI 参考、备份、更新和监控。
- [密钥恢复](https://docs.fystack.io/cosigner/recovery.md): 利用导出的分片离线重建钱包密钥。
- [Nitro Enclave 部署](https://docs.fystack.io/cosigner/nitro-enclave.md): 即将推出：在 AWS Nitro Enclave 中运行 Cosigner。
- [安全模型](https://docs.fystack.io/cosigner/security.md): 信任边界、加密与验证。