每个合约都要声明自己能触及什么。

示意图展示了一个被密封在沙箱内的 NexusWASM 合约。围绕在它周围的，只有它所声明的各项能力——其中包括原生市场模块——其余一切均无法触及。调用运行期间，两个计量器分别追踪计算与存储；合约声明的状态访问会传递给调度器，由调度器将其与无关工作并行运行。

1. 01

   构建

   Rust、C/C++ 或其他面向 WebAssembly 的语言，依据 NexusSDK 接口完成编译，生成模块本身及其所请求能力的清单。

2. 02

   校验

   模块运行前，网络会先对其进行检查：只接受确定性指令，每一次导入都必须匹配某项已声明的能力，资源限制则会与代码哈希一并记录。

3. 03

   授予

   每一项被请求的能力——持有资产、调用市场模块、读取价格数据、调用其他合约——都会绑定到该合约的地址上。未被授予的能力，对该合约而言就如同不存在。

4. 04

   声明

   每笔交易都会列出自己将要读取与写入的状态。确定性调度器依据这些集合，将互不冲突的交易分配到并行通道上。

5. 05

   执行

   模块运行在计量沙箱内。计算按指令执行计费，存储按状态的写入与保留计费；任何超出声明集合的访问都会中止该调用，并回滚其影响。

6. 06

   最终确认

   结果与该区块的其他转换一并提交，并在 QSE 法定人数完成认证后最终确认。

• 沙箱隔离每个合约都运行在自己的线性内存中，无法访问宿主内存、其他合约的内存，也无法访问验证者的运行环境。越界访问会被捕获，调用随即回滚。
• 最小权限能力是明确且狭窄的。被允许读取价格数据的合约不能转移资产，被允许转移某一资产的合约也不能转移另一资产。
• 有界执行计量机制为每次调用设定上限。失控循环、深度递归与超大写入都会以确定性方式得到“资源耗尽”的结果，费用记于调用方账下，状态随即回滚。
• 访问集合强制执行任何触及其声明集合之外状态的交易都会被中止，因此并行调度绝不会掩盖通道之间的冲突。
• 市场护栏合约下达的订单与来自任何其他来源的订单一样，都要经过相同的 Aegis 预风控检查与策略限额。合约获得的是进入市场的途径，而绝非绕开其控制机制的捷径。

交易者与用户

应用的触及范围绝不会超出其声明。在您与某个合约交互之前，就可以看到它的能力与升级策略，因此您能清楚知道它对您的资产能做什么。

机构

可供审查的执行模型。能力清单、代码哈希与升级策略，为风险与合规团队提供了具体可评估的对象；确定性执行则意味着任何结果都可以被重放核验。

开发者

熟悉的语言、明确的成本，以及对市场基础设施的直接访问。使用 Rust 或 C/C++ 构建，在部署前即可查看资源成本，并以类型化接口调用订单簿、风控检查与价格数据。从开发者入口开始。

• EVM Capsule位于系统边界的隔离式以太坊兼容环境。
• VectorLanes并行执行通道，统一最终确认状态。
• VaultID兼顾隐私的身份与权限机制。
• ApexMatch确定性原生撮合引擎。