先理解两种机制的作用
PKI即公钥基础设施。RFC 5280规定了互联网X.509证书、证书撤销列表及认证路径验证的相关规则，为公钥与证书主体之间的绑定提供验证框架。
以太坊账户文档说明，外部账户通过私钥签名，公钥密码机制支持验证签名；合约账户则由代码控制。两者共同涉及密码学验证，但账户签名本身不能证明签名者的现实身份。以下讨论的是通用适用条件，不代表某个区块链项目已经实现完整PKI。
条件一：明确需要证明什么身份
系统应先确定验证目标：是确认某个密钥签署了消息，还是确认该密钥属于指定人员、机构或设备。前者可以依赖签名验证；后者还需要可信的身份绑定过程。
如果业务需要将证书主体与链上地址关联，就必须明确谁审核身份、谁建立关联，以及验证方依据什么接受该关联。仅把公钥或地址写入账本，无法完成现实身份核验。
条件二：具备明确的信任与验证规则
采用X.509证书时，验证方需要确定接受的信任锚，并按适用规则检查认证路径、签名、有效期及用途限制。证书存在于链上，不等于这些检查已经完成。
区块链若用于记录证书摘要或状态，应明确记录的发布权限，以及记录与实际证书的对应关系。摘要比对可以帮助核对内容一致性，身份可信程度仍取决于签发与审核机制。
条件三：支持撤销、更新与密钥保护
证书与密钥都有生命周期。系统需要处理证书到期、密钥更换及私钥泄露，并让验证方获得符合业务时效要求的撤销信息。历史记录可追溯与当前凭证有效，是两个分别需要验证的问题。
私钥保护同样是适用前提。有效签名可以通过数学验证，但私钥一旦被他人获取，单凭签名就难以判断操作是否符合原持有者意愿。区块链记录不能替代密钥管理。
常见问题：有地址就等于有证书吗
地址不是X.509证书，也不天然包含证书主体、签发者、有效期及用途约束。是否需要PKI，应根据业务是否要求可信身份绑定来判断。
合约账户能否直接沿用外部账户的验签方式？不能直接作此假设。合约账户由代码控制，系统需要定义其授权如何验证。区块链与PKI结合是否适用，最终取决于身份、授权和状态验证能否形成清晰且可执行的规则。