Bitcoin Core 的 rpcauth 工具用随机盐加 HMAC-SHA256 生成可写进配置的凭据行：配置文件里只有盐与校验摘要，明文密码不落盘。本文拆解这条 user:salt:hmac 的生成逻辑、HTTP Basic 认证的匹配流程，以及它相对 rpcuser 与 rpcpassword 的差别，和 cookie 文件、绑定地址一起构成的访问控制分层。

Bitcoin Core 31的listbanned列出手工封禁IP或子网，并给出创建、持续、到期和剩余时间。本文说明相对与绝对时间、单项解除、批量清除及误封复核。