先明确“认证”指什么
人员认证可能指确认一个人的真实身份、验证其是否控制某个登录凭据，也可能指核验学历、培训或岗位资质等声明。这些任务相互关联，却不能互相替代。NIST数字身份指南分别讨论身份核验、认证和联合身份等环节，说明人员身份体系不能仅靠一种技术完成。
W3C可验证凭证数据模型描述了签发者、持有者和验证者之间交换声明的方式。例如，机构签发一份关于人员资质的凭证，持有人在需要时向验证方出示。验证方仍需按照自身规则判断该声明是否满足业务要求。
区块链适合承担哪部分工作
在多方需要核对验证材料或凭证状态、又不便完全依赖单一数据库时，分布式账本可以作为可验证数据登记机制的一种选择。它所承担的通常是辅助查验的基础设施角色，而不是亲自确认某个人是谁。W3C列举的登记机制也包括可信数据库和去中心化数据库，因此采用可验证凭证并不等于必须上链。
适用性取决于参与方是否需要共享查验依据，谁负责维护登记信息，以及验证方能否取得可靠、及时的验证材料。如果只有单一机构内部使用，现有身份管理和数据库机制也可能满足需求，不能仅因涉及人员认证就认定区块链更合适。
技术验证不能代替业务信任
凭证能够被验证，主要意味着验证方可以检查其真实性、完整性等技术属性；这不自动证明凭证中的每项声明都属实。签发者是否有资格作出声明、签发时依据是否充分、凭证是否仍有效，都需要另行判断。
例如，某项岗位准入要求不仅涉及证书是否由指定机构签发，还可能涉及资格是否过期，以及出示凭证的人是否确为被证明对象。通过凭证检查后，是否授予系统或场所访问权限，仍应由相应的授权规则决定。
个人信息与使用范围的边界
人员凭证可能包含姓名、编号和资质等敏感信息。数字凭证便于传输和机器处理，也可能让不同场景中的个人记录更容易被关联。因此，系统设计应审慎确定需要收集、出示和保存哪些信息，避免把完整个人资料或不必要的使用记录公开到难以控制的环境中。
凭证持有者不一定就是凭证所描述的对象，不能只凭“有人出示了凭证”就认定其与声明中的人员相同。涉及高风险业务时，还需结合适当的持有人核验、凭证状态检查及业务规则。
常见问题
使用区块链就能免去线下身份核验吗？不能。初次确认身份或资质的过程决定了后续声明的基础可信度；记录和验证机制无法自动纠正签发阶段的错误。
验证通过就能直接开放权限吗？不能。凭证验证回答的是凭证及其声明能否按规则接受，权限开放还取决于具体岗位、系统和场景的授权要求。
不使用区块链还能使用可验证凭证吗？可以。可验证凭证描述的是声明及其验证方式，支持它的登记和管理机制有多种选择，应按实际信任关系与隐私要求确定。