部署密钥应该完全不可信，并被视为一次性使用。 即使对于可升级的协议，密钥也应该部署、配置，然后永久放弃控制。然后主要治理可以验证并接受新代码。