能不能让在线密钥动钱？这是生产质押选密钥方案的第一问。我先关心在线密钥会不会拿到资金退出权，再看配置是否省事。合并密钥会让在线共识密钥拥有资金退出权，这意味着它能发起unstake和withdraw。准备把owner设为consensus时，犹豫一下很有必要。
先看@Dusk_Foundation 的node-wallet-setup给出的两种配置。一种让owner与consensus合并，由同一把在线密钥承担共识和资金职责；另一种把两把密钥分开，让共识权限与资金动作各归其位。合并方案运维更轻，分离方案管理更重。步骤少只说明省事，也未必代表生产风险更低。
机制关键在权限是否随在线密钥一起暴露。把两种方案拆开对照，再放进四项选择矩阵。在线暴露看共识密钥是否兼任资金密钥；资金退出权看它能否发起unstake和withdraw；备份恢复看职责合并或分开；运维成本看便利与隔离各自的代价。合并方案得到简单和权限集中，分离方案增加运维并隔离退出权限。这与把步骤少等同安全的说法对不上。
为什么分离不等于风险消失？矩阵只能证明分离后的共识密钥不能解除质押和提取，不等于其他风险被清空。多一套备份、恢复和权限管理会让人打鼓，我也会为复杂度犹豫。但当你的在线密钥被攻破时，能否触及资金退出权才是最坏情形的分界。
资金隔离先于便利，就是答案。小型或临时环境只有明确接受在线密钥权限集中，才可选择owner=consensus。$DUSK 生产质押若要求资金动作与在线共识职责隔离，就应优先分离owner。分离会增加运维和恢复成本，但不意味着它消除全部风险。审慎选择要写清最坏情形下谁能动钱。#dusk