Module tuân thủ giữ ba loại dữ liệu: allowlist (địa chỉ, trạng thái, và hash tham chiếu KYC — không bao giờ là dữ liệu định danh cá nhân), vai trò (quản trị, cán bộ tuân thủ, vận hành, kiểm toán), và tham số (chế độ permissioned, có kiểm người nhận không, denom token gas, danh sách miễn trừ).

Năm lớp cưỡng chế

Lớp	Cơ chế	Chặn được gì
1	Decorator trong AnteHandler	Ai được ký và gửi giao dịch — cả Cosmos lẫn EVM
2	Hạn chế ở module bank	Dòng tài sản; token gas không chuyển nhượng
3	Hook EVM	Gate triển khai hợp đồng; chặn mẫu factory
4	Middleware liên chuỗi	Tài sản công khai đi vào: người nhận chưa duyệt → ack lỗi, hoàn tiền về nguồn
5	Precompile	Cho hợp đồng tự hỏi "địa chỉ này có được phép không"

Sơ đồ

flowchart TB TX["Giao dịch đến"] --> L1{"Lớp 1 · người ký<br/>có trong allowlist?"} L1 -- "không" --> R1["Từ chối · phát sự kiện"] L1 -- "có" --> L2{"Lớp 2 · dòng tài sản<br/>có hợp lệ?"} L2 -- "không" --> R2["Từ chối"] L2 -- "có" --> L3{"Lớp 3 · triển khai<br/>hợp đồng được phép?"} L3 -- "không" --> R3["Từ chối"] L3 -- "có" --> EX["Thực thi"] EX --> L5["Lớp 5 · hợp đồng tự hỏi<br/>precompile isAllowed"]

Hình 5 — Một giao dịch đi qua các lớp; mỗi lớp có nhánh từ chối riêng.

Giới hạn nói thẳng

AnteHandler không bắt được lời gọi nội bộ giữa hợp đồng với hợp đồng trong EVM. Đó chính là lý do lớp 5 tồn tại. Nói "không thể lách" mà không nói câu này là quảng cáo sai.

Tài sản công khai đi vào

Sơ đồ

sequenceDiagram participant N as Mạng công khai participant R as Relayer participant M as Middleware tuân thủ participant C as Chain khách N->>R: Gói chuyển tài sản R->>M: Giao gói M->>M: Người nhận có trong allowlist? alt Được phép M->>C: Đúc voucher cho người nhận C-->>N: Xác nhận thành công else Chưa duyệt M-->>N: Ack LỖI → tài sản hoàn về nguồn Note over M,N: Không đúc gì. Tiền không kẹt. end

Hình 6 — Cổng kiểm ở biên: từ chối thì hoàn tiền, không bao giờ để tài sản mắc kẹt.

Mọi thay đổi đều phát sự kiện, và bộ lập chỉ mục ngoài chain gom chúng thành báo cáo kiểm toán. Một chi tiết kỹ thuật đáng giữ vì nó đã trả giá: khi middleware từ chối một gói, tầng dưới hoàn tác ngữ cảnh nhưng phát lại sự kiện với một tiền tố khác — bộ lập chỉ mục phải khớp cả dạng có tiền tố, nếu không sẽ đếm thiếu đúng những gói bị chặn.

Câu chốt: tuân thủ chỉ đáng tin khi nó không phụ thuộc vào thiện chí của người viết hợp đồng.