想像一下，現在是 2035 年。 

使用者戴上輕薄的 XR（Extended Reality，延展實境）眼鏡，準備進入虛擬銀行辦理一筆留學貸款，或者走進虛擬診所諮詢最近的焦慮症狀。這不再是盯著螢幕按滑鼠，而是「整個人」走進了由龐大運算與數學模型支撐的網際網路。為了確保安全性，系統不能只在門口檢查一次帳號密碼，因為眼鏡隨時可能被別人戴上。 

在 Web 2.0 的時代，頂多是電話號碼和購物紀錄被賣給了廣告商；但在 XR 時代被要求交出的，很可能是「生物指紋」。這些生物特徵是無法像改密碼一樣隨意更改的，一旦這些數據被上傳到中央伺服器、平臺被駭，或者平臺決定把這些數據賣給保險公司來評估健康風險—個資就徹底「裸奔」了。 

這便是「數位囚徒困境」：想要便利與安全，就得犧牲隱私；想要保有隱私，就無法在虛擬世界證明「我是我」。真的沒有第三條路嗎？國立政治大學資訊科學系左瑞麟教授的研究表明：有。破解難題的的關鍵鑰匙就藏在「數學」裡。透過密碼學這項精密的數學工具，不需要把靈魂交給老大哥，也能證明自己的身分。 

當「沉浸體驗」與「持續監控」只有一線之隔，要理解左瑞麟教授的解方，必須先看懂 XR 裝置獨有的運作邏輯。為什麼傳統的帳號密碼在元宇宙行不通？ 

過去的身分驗證是「點」的驗證，未來的驗證是「線」的監控。在電腦時代，輸入密碼登入的那一秒，驗證就結束了。但在沉浸式環境裡，頭戴裝置需要即時追蹤使用者的視線焦點來進行畫面運算，這意味著裝置本質上就持續在讀取使用者的生理反應。 

為了防止身分冒用，系統必須無時無刻確認「現在操作的人還是你」，驗證邏輯必須從「單次登入」轉變為「連續性驗證」，系統必須無時無刻將使用者的瞳孔變化、視線軌跡甚至心跳特徵上傳至雲端比對。 

這做法看似安全，但也意味著使用者被迫接受「全感知側寫」（Profiling）。每當使用者語速加快、視線飄移，這些下意識的生理反應，都被感測器捕捉、量化、上傳。 

如果這些數據掌握在平臺手中，它們擁有的將不再只是個人消費數據，而是比當事人更了解自己的「生理與心理地圖」。平臺可以精準地預測行為，甚至操縱情緒。這就是問題的癥結：目前的網路架構是建立在「中心化」的信任上——假設平臺是善良的、假設它們的防火牆是無堅不摧的。 

既然中心化的驗證模式會導致數位極權，那能不能換個邏輯？這正是「零知識證明（Zero-Knowledge Proof, ZKP）」登場的時刻。 

若不交出資料，系統該怎麼驗證身分？ 

假設使用者的身分資料被鎖在數位的保險箱裡，只有本人知道密碼。現在，虛擬平臺想要確認「使用者是不是帳號本人」。 

在舊的中心化邏輯裡，身分驗證需要輸入密碼、上傳身分證，等於是把密碼完整交付給平臺。平臺雖然承諾會加密，但在驗證過程中，平臺依然實質「接收」並「持有」了這些數據，如果平臺內部有人惡意盜取資料，便會導致個資外洩。 

但在零知識證明（ZKP）的邏輯裡，情況完全不同。平臺會寫一張隨機的紙條，從保險箱的投遞孔塞進去，然後說：「既然你知道密碼，那你把箱子打開，把那張紙條拿出來還我。」 

在這個過程中，發生了兩件事： 

第一，驗證成功：平臺能百分之百確定「使用者真的知道密碼」，否則打不開箱子拿出紙條。 

第二，零知識（Zero-Knowledge）：平臺從頭到尾都沒有看見使用者輸入的密碼是什麼，也沒看到保險箱裡的其他東西。 

這就是左瑞麟教授強調的「去脈絡化驗證」。把這個邏輯套用到 XR 的虹膜掃描：當系統要求驗證身分時，使用者的虹膜數據不需要上傳到雲端，而是會在本地端進行運算，然後只回傳給平臺一個數學訊號：「驗證通過」。平臺收到了結果，它確信使用者是本人，但它永遠拿不到原始虹膜圖譜。 

理解 ZKP 這項「驗證引擎」後，數據儲存的位置則引入了另一個關鍵概念—「去中心化身分（Decentralized Identity, DID）」。 

這個概念能避免所有個資集中在單一平臺手中。左瑞麟教授解釋，個人可以擁有自己的數位身分識別，再由學校、政府或銀行等單位，發放可驗證的數位憑證（Verifiable Credential, VC），並將學生證、證照等數位憑證存放在「數位憑證皮夾」（Digital Identity Wallet）中，並且這些憑證不再存放於平臺資料庫，而是交由使用者自行保管，何時使用、揭露哪些欄位，都由本人決定。 

正如左瑞麟教授所說，使用者可以只證明「我是學生」，而不必交出學號、系所，甚至姓名。身分驗證於是從全面蒐集，轉變為以使用者為中心的選擇性揭露，讓信任得以成立，同時也並不犧牲隱私。 

在這個即將到來的全沉浸時代，驗證技術面臨了前所未有的「壓力測試」。XR 環境對使用者的監測，已從過去在網路點擊、瀏覽等「行為紀錄」，升級為無法更改的「生物特徵」。密碼被竊取還能即時更改，但若生物特徵數據在缺乏零知識證明保護的情況下遭到竊取或濫用，使用者將面臨永久性的身分風險。 

左瑞麟教授分享，從「平臺信任」走向「個人主權」的關鍵原因，在於選擇性揭露與隱私保護，才能讓使用者願意提供必要的身分證明。也就是說，在虛擬世界裡，當憑證與身分資訊由個人自行管理，而非集中存放在平臺資料庫中，就能降低因平臺信任不足所帶來的風險。透過個人主權架構，使用者不必再因擔心個資外洩，而抗拒在數位或 XR 環境中進行關鍵活動。 

虛擬世界真正需要的，並不是更嚴密的監控機制，而是更好的身分設計—當「我是誰」不再由平臺替你定義，而是由你自己掌控，身分才真正成為被保護的資產，而非被開採的資源。 

當使用者能夠證明「你是你」，卻不必「被看光」，數位身分將不再是令人擔憂的潛在監控工具，而能成為支撐 XR 社會運作的隱形基礎建設，在生活更加便利的同時，也守住了信任與自由。