部署程序密钥应完全不受信任，并被视为一次性密钥。 即使对于可升级的协议，密钥也应该部署、配置，然后永久放弃控制。然后，主治理可以验证并接受新代码。