能不能讓在線密鑰動錢？這是生產質押選密鑰方案的第一問。我先關心在線密鑰會不會拿到資金退出權，再看配置是否省事。合併密鑰會讓在線共識密鑰擁有資金退出權，這意味着它能發起unstake和withdraw。準備把owner設爲consensus時，猶豫一下很有必要。
先看@Dusk 的node-wallet-setup給出的兩種配置。一種讓owner與consensus合併，由同一把在線密鑰承擔共識和資金職責；另一種把兩把密鑰分開，讓共識權限與資金動作各歸其位。合併方案運維更輕，分離方案管理更重。步驟少只說明省事，也未必代表生產風險更低。
機制關鍵在權限是否隨在線密鑰一起暴露。把兩種方案拆開對照，再放進四項選擇矩陣。在線暴露看共識密鑰是否兼任資金密鑰；資金退出權看它能否發起unstake和withdraw；備份恢復看職責合併或分開；運維成本看便利與隔離各自的代價。合併方案得到簡單和權限集中，分離方案增加運維並隔離退出權限。這與把步驟少等同安全的說法對不上。
爲什麼分離不等於風險消失？矩陣只能證明分離後的共識密鑰不能解除質押和提取，不等於其他風險被清空。多一套備份、恢復和權限管理會讓人打鼓，我也會爲複雜度猶豫。但當你的在線密鑰被攻破時，能否觸及資金退出權纔是最壞情形的分界。
資金隔離先於便利，就是答案。小型或臨時環境只有明確接受在線密鑰權限集中，纔可選擇owner=consensus。$DUSK 生產質押若要求資金動作與在線共識職責隔離，就應優先分離owner。分離會增加運維和恢復成本，但不意味着它消除全部風險。審慎選擇要寫清最壞情形下誰能動錢。#dusk