令牌还能不能再上笼：lncli constrainmacaroon 给已签发权限做减法

闪电节点的 macaroon 令牌一旦烤好，权限就固定了吗？不是。LND 的 lncli constrainmacaroon 专门处理一种场景：你手上已经有一份功能完整的令牌，现在要把它降级——交给客服系统的那份不能再管开道，借给合作方的那份半年后必须过期。命令定义在 v0.19.0-beta 源码的 cmd_macaroon.go 里，用法一句话：读入一份令牌文件，追加限制条件，写出另一份令牌文件。本文全部以该版本源码为准。

命令的输入输出

constrainmacaroon 的参数是两个位置参数：源令牌文件与目标令牌文件，缺一不可，多一个就弹帮助页。可选旗标四件：--timeout 加时效、--ip_address 锁单个 IP、--ip_range 锁一个 CIDR 网段、--custom_caveat_name 配 --custom_caveat_condition 加自定义条件。它不改写源文件，输出永远是一个新文件——源码注释写明”应用约束总会创建一个新的 macaroon 对象，即使一个约束都没加”。这个”即使没加也重建”的细节意味着：你可以用同一份令牌跑一遍无约束的 constrain 来做格式转换或流程验证，产物二进制上与原件等价但对象是新造出来的。

四种约束的语义与边界

超时约束要求正整数秒，填零或负数直接报错；服务端校验时以当前时间对比到期时间，过期的令牌无论权限多大都会吃闭门羹。IP 锁定有两种粒度：单地址要求能按 IP 解析，填个主机名会失败；网段约束接受 CIDR 记法，源码把网段规范化后存成约束字符串——注意这是”锁来源地址”而非”锁目标”，令牌从别的出口 IP 出示即失效。自定义条件对要求最严：名称与条件值都不允许含空白字符，空字符串同样被拒，违规时报错区分”名称里有空格”和”条件里有空格”两种情况。

与 bakemacaroon 的分工

自烤（bakemacaroon）要求你持有签名密钥，从零开始决定权限清单；constrain 则相反，不需要任何密钥参与——macaroon 的密码学设计允许持有者单方面追加”外层条件”而不破坏签名链，这正是它能做减法的原因。实操上的推论：约束只能收紧不能放宽，给一份只读令牌加时效得到的是”有时效的只读令牌”，永远不会变出写权限。另一个推论是约束可叠加：对同一份令牌反复 constrain、每次再加一条，条件全部生效；反过来，被约束过的令牌无法再”解除”约束，想恢复宽松只能回到上游要一份新的。

什么时候该用它

典型场景有三个。其一，转交前的裁剪：把管理员令牌借给一次性迁移脚本之前，先套上时效和 IP 锁，脚本跑完约束自然作废，不必记得事后回收。其二，签发链的末端加固：从 bakemacaroon 批量发出的同权限令牌，可以在分发端按接收方各自的出口地址分别 constrain，得到一批发自同源、各自绑 IP 的衍生令牌。其三，安全事件的止血：怀疑某令牌泄露但无法立即确认对方节点重启窗口时，要求新接入一律走”旧令牌加约束”版本，泄露副本在约束下活动半径有限。要提醒的边界是：约束是加密语义上的收窄，不是吊销——服务端没有中央黑名单概念，原始令牌本身如果还在别人手里，它依旧能用；constrain 管得住”你交出去的那份”，管不住”复制出去的原件”。

风险提示：本文为闪电节点权限机制科普，命令行为以 LND 当前版本源码为准，可能随版本调整；权限令牌管理涉及资产控制权，请自行验证适用性；不构成投资建议。

验证约束是否真的带上

约束写进令牌后不必凭记忆验收：decodemacaroon 类解码命令能把文件的条件清单原样列出来，时效、地址绑定、自定义条件都以约束字符串的形态可见。分发前对产物解一次码，比对条件列表与预期是否一致，比在部署端发现”拒绝服务”再回头排查便宜得多。另一个习惯是给衍生令牌命名留痕：目标文件名带上来源令牌与约束摘要（比如加上到期日后缀），令牌文件多了以后，纯凭十六进制内容无法区分哪份套了哪层约束，命名规范是成本最低的防混淆手段。