不可变元数据：代币品牌锁住了什么，又漏掉了什么
不可变元数据锁住代币的名称、符号和 URI，却锁不住 URI 背后的文件和图标。品牌要放弃什么、锁定前该查什么，这里一次讲清。
元数据一旦锁定成不可变元数据，代币的名称、符号和那条指向文件的 URI 就永久固定，再也改不回来。
可一说到品牌，事情就没那么简单。图标并不在链上，而在链下的一个文件里；不可变元数据锁住的，只是指向这个文件的链接。下面分开讲哪些部分被锁住、哪些没有，以及锁定之前该查什么。
不可变元数据锁住了什么
普通的 SPL 代币，品牌信息分两层存放。第一层是挂在铸币地址上的 Metaplex 元数据账户，链上只存三样东西：名称、符号和 URI。URI 是一条链接，指向链下的一个 JSON 文件。
第二层就是这个文件，里面放着描述，官网和 X、Telegram、Discord 的链接，还有图标。图标本身也只是文件里的一条图片链接（image），所以它离链上隔了两跳：先顺着 URI 找到文件，再顺着图片链接找到图片。
锁定元数据，就是把这个账户里的可变标志（Is Mutable）设为 false。从这一刻起，任何修改都会被拒绝，而且这个标志只能从 true 改成 false，永远改不回去。Metaplex 官方文档也写明，要让链下文件本身也不可变，得把这个标志和永久存储配合起来用。
| 品牌要素 | 存放位置 | 锁定之后 |
|---|---|---|
| 名称 | 链上 | 永不改变 |
| 符号 | 链上 | 永不改变 |
| URI | 链上 | 永不改变 |
| 描述和链接 | 文件里 | 文件能改，它们就能改 |
| 图标 | 文件里的一条图片链接 | 同上，图片所在的托管也要算进去 |
不可变元数据直接锁住的只有表里前三行，后两行怎样，取决于 URI 背后的文件放在哪里。换句话说，链上那一层锁定之后就定死了，文件那一层要看你把它放在什么地方。
URI 背后的文件，决定真正锁住多少
可变标志锁住的是链接，不是链接指向的文件。好比门牌号改不了了，门牌后面的房子却照样可以翻修。
如果 URI 指向一台普通的 Web 服务器，或者一个租来的域名，那么谁控制它，谁就能在锁定之后替换文件，图标也跟着变。服务器或域名一旦到期，文件就没了，图标、描述和链接随之消失；名称和符号在链上，照样留着。对持有者来说，代币还在、名称也在，钱包里的图标却再也显示不出来。
IPFS 链接用 CID 指向内容，CID 由内容的加密哈希算出来，内容差一点，CID 就不同，所以同一条链接没法换成另一张图标。但文件只有在至少一个节点固定（pin）它的时候才取得到；没人固定，链接还在，内容却可能再也取不回来。Arweave 主打永久存储，也是 Metaplex 推荐搭配的那一种。
第二跳最容易被忽略。就算 JSON 文件放在 Arweave 上，只要里面的图片链接指向普通服务器，图标照样可能被换掉或消失。两条链接都要查。
给买家：就算区块浏览器上显示的是不可变元数据，也不能证明图标已经固定。打开 URI 和图片链接，看看它们放在哪里。图标加载不出来时持有者会看到什么，代币在 Phantom 里不显示的排查里有说明。
品牌要放弃什么
有了不可变元数据，名称里的错别字改不了，品牌也换不了；域名或社交账号变了，链接改不过去；托管倒了，也没法把代币指向新文件。想要新的名称或图标，只剩一条路：发一个新的铸币地址。
换来的是，持有者知道名称和图标不会在背后被偷偷换掉。前提是文件和图片链接都放在换不掉的地方。
看两个场景。一个社区代币，品牌已经定型，以后也不打算动，全部锁定正合适。一个计划改版品牌的项目，元数据最好先开着，只把已经定稿的部分先锁上。反过来说，锁定一个链接指向自家网站的代币，就等于承诺这个网站会一直在线、内容也不会换。
拿不准时，问自己一句：「未来 12 个月里，我会不会需要改名称、图标或链接？」答案是会，就还没到锁定的时候。
变成不可变元数据之前的品牌检查清单
- 名称和符号逐字核对，错别字会永久留下。
- 在 Phantom 和区块浏览器里都看一眼图标，确认显示正常。现在显示不出来的图标，锁定之后也修不好。
- 在浏览器里打开 URI：JSON 能加载（不是 404），里面的图片链接也能打开。
- 文件里的官网和社交链接，指向的是你会一直持有的账号和域名。
- 两条链接都放在按内容寻址或永久的存储上，用 IPFS 的话还要确认有节点在固定它。这一步要在元数据还能修改时做完。
- 以上都确认了，再锁定。
发现要改的地方，趁锁定之前用更新 Solana 代币元数据工具修改：元数据还可变时，持有更新权限的钱包可以改名称、符号、图标和链接。锁定和发射后的其他收尾事项，见代币发射后的收尾清单。
只锁元数据，还是全部锁定
如果只想要不可变元数据，用撤销更新权限工具就够了：它只把可变标志设为 false，需要持有更新权限的钱包签名，确认后还会重新读取账户，核对结果。
将 Solana 代币设为不可变工具先读取代币状态，再把当前钱包还持有的锁放进同一笔交易：铸币权限设为无、冻结权限设为无、元数据标志设为 false。已经撤销或在别的钱包手里的权限会被跳过，不会硬关。只签一次名，平台手续费在签名前显示在工具页面上，并在同一笔交易里支付。放进一笔交易的真正意义，是锁不会只做一半。
铸币和冻结是品牌之外的两把锁。撤销铸币权限后，供应量永久固定；撤销冻结权限后，谁也不能再冻结或解冻任何账户，当时处于冻结状态的账户会永远冻结，所以误冻的账户要先解冻。
用Solana 发币工具创建代币时，也可以直接以锁定的元数据发行，并在同一流程里撤销铸币和冻结权限。每项权限的操作步骤，见放弃 Solana 代币权限的步骤。
无法回退：交易一确认，锁就是最终的。j.tools 的工具只在主网上运行。想先演练，可以在开发网上用 Solana CLI（比如撤销铸币权限的
spl-token authorize <mint> mint --disable），测试用的 SOL 从开发网水龙头领取。
Token-2022 代币要看另外的地方
Token-2022 代币可以把名称、符号、URI 以及专属的元数据更新权限直接存在铸币账户上（TokenMetadata 扩展），清掉这个更新权限，就是锁定元数据。另有一个元数据指针（MetadataPointer）扩展，它有自己的权限，可以改指元数据的存放位置。两个权限都不剩，品牌才算完全锁住（Solana 官方文档里的元数据扩展说明）。
j.tools 的锁定工具处理的是普通 SPL 代币的 Metaplex 元数据账户。如果是 Token-2022 代币，想确认它是不是不可变元数据，先查这两个权限和其他扩展的权限，两种标准的区别见Token-2022 和 SPL 代币的区别。
怎么确认锁定生效
在区块浏览器里打开铸币地址：如果撤销过，铸币权限和冻结权限都应为空；元数据那边，可变标志应为 false。各家浏览器的字段名不一样，按含义找就行。
然后在浏览器里打开 URI，再打开 JSON 里的图片链接。买家也会做同样的检查，在买入前识别 rug pull 的检查里，不可变元数据就是其中一项。
关于不可变元数据的常见问题
区块浏览器上还显示着更新权限，元数据真的锁定了吗？
只要可变标志是 false，就锁定了。对 Metaplex 元数据来说，起决定作用的是这个标志，更新权限的地址可以继续显示。j.tools 的锁定也是保留地址、只翻转标志。
不可变元数据的代币，还能换图标吗？
如果文件或图片链接放在别人控制的服务器上，就能换。按 CID 指向的 IPFS 链接显示不了别的内容，Arweave 是永久存储。托管一旦倒掉，图标就没了，也没法把代币改指到新文件。
以后想换品牌，能把元数据解锁吗？
不能。这个标志只能单向改变，新名称或新图标只能靠新的铸币地址。
锁定元数据，供应量也就固定了吗？
没有。铸币权限和冻结权限是另外的锁，用将 Solana 代币设为不可变工具，可以在一笔交易里关掉你钱包持有的全部权限。另外，持有者随时能从自己的账户销毁代币，所以供应量之后还可能变少。
元数据不可变，代币就可以放心买吗？
它只去掉了一种风险：名称或图标被偷换。流动性、持有者分布和需求，它一样都说明不了，也不会推动价格。
品牌定稿，URI 背后的文件和图片链接也都放到换不掉的地方之后，才是设成不可变元数据的时候。还在准备发币的话，可以从不写代码创建 Solana 代币开始。
