← 所有文章2026年8月5日

选民追踪：让强制投票真正奏效的电子表格

北马其顿有人在追踪谁去投票了——这份名单说明为什么仅凭保密规则本身永远不够。

2025年末的某个星期二，北马其顿某市政办公室里，一名公务员面临一个很简单的决定：是否去投票。

不是投给谁。而是是否要去投票所。

因为有人——他们的雇主、党派联系人，或者安排他们合同的人——已经表明出现投票很重要。不去投票会被注意到。而且这是怎样运作的：他们追踪谁去投票了，他们知道如何查出其他信息。

这不是阴谋论。这是在官方国际监督报告中记录的观察。

欧安组织民主制度和人权办公室（ODIHR）向北马其顿2025年地方选举派遣了观察员，并在2026年4月发布了最终报告。调查结果很具体：选举日前后的选民追踪事例；买票指控；对公务员和选民的压力。ODIHR建议当局"有效调查买票指控、对选民的压力和行政资源滥用"。

那个词——追踪——工作量很大。细想一下。

电子表格是产品

选民追踪不是科幻意义上的监控。它不需要摄像头、面部识别或机密情报项目。

它只需要一份名单。

在大多数民主国家，选民名册是公开的或半公开的——因为透明是民主价值。官员们知道谁已登记。投票站工作人员知道谁领取了选票。投票率数据按法律收集。这些都不是秘密。这些都不应该被当作武器。

但将登记名单与投票率记录结合在一起，交给对他人工作、合同或公共福利有权力的人，你就用完全合法的部分建造了一台合规检查机器。

电子表格是产品。选举是场合。

强制者不需要知道某人如何投票。还不需要。他们只需要知道是否去投票了。出现合规是第一步：选民证明他们去了投票亭。隐含的威胁——不出现会有后果——由已存在的数据强制执行。

这就是为什么ODIHR不会将"选民追踪"记录为脚注。它将其记录为完整性发现。因为追踪是强制的运营基础设施。移除追踪，威胁就变得无法执行。

为什么"我们有保密规则"解决不了问题

标准的保证是这样的：选举有无记名投票；没人能看到你如何投票；因此强制无法奏效。

这在它的范围内是真的。但范围不够广。

美国第一巡回上诉法院在《Rideout v. Gardner》（2016年）案中以不寻常的清晰方式阐述了这一机制。这个案件是关于选票自拍——选民是否可以拍摄他们的已标记选票。法院直接追溯了历史：无记名投票改革之所以被采纳，就是为了"对抗广泛的买票和选民恐吓"，这些行为取决于买方或强制者能够验证投票。拍摄已标记选票的照片恢复了该证明。这就是为什么它成为了一种工具。

法院的推理是关键洞察：保密击败强制是因为它破坏了验证。 如果强制者无法确认交付，威胁就失去了力量。选票自拍之所以重要，不是因为任何人特别想卖他们投票的度假照片，而是因为它重新开放了保密关闭的验证市场。

现在注意选民追踪做了什么。它不是击败选票保密。它是击败底层的行为。

进行追踪的强制计划不需要知道你的选择。它只需要知道你的合规。出现→推定排队→安全。不出现→问题。而且如果你出现但被怀疑背弃，下一层压力已经等着了：证明你如何投票，否则无论如何都面临后果。

保密保护选票。它不保护投下选票的人。

对公务员施压的剖析

北马其顿的调查结果并非孤立出现。多年来ODIHR一直在该地区记录这种模式的变化。

在阿尔巴尼亚2021年议会选举中，ODIHR记录了广泛的买票和选民压力指控，包括对选民施压要求披露是否及如何投票的担忧。报告呼吁保障自由和秘密投票权，防止对选民的任何形式压力。

在格鲁吉亚2024年10月议会选举中，ODIHR代表团发现在30%以上的观察中选票保密受到损害——不仅因为投票箱设计，还因为投票箱周围的物理环境允许他人观察。观察员记录了对选民的恐吓和压力，损害了他们无恐惧地投票的能力。

在吉尔吉斯斯坦2017年总统选举中，ODIHR发现了对选民的压力和买票案例，并建议当局保障自由和秘密选择的权利，防止对选民的任何形式压力来披露他们如何投票。

这个模式是一致的，不限于任何一个地区或政权类型。机制是相同的：对选民的生计、住房、福利或安全有影响力的人利用这种影响力指导或监控选举行为。选票保密规则不涉及雇主与员工之间的关系。它不涉及房东与租户、地方官员与依赖者、党派操作者与投票站工作人员。

它不涉及的地方，它不保护。

更深层的问题：强制需要收据

以下是使北马其顿情况在技术上有趣，不仅在政治上令人沮丧的原因。

强制市场——像任何市场一样——需要验证机制。买方需要交付证据。强制者需要合规证明。没有那个，交易就瓦解了。

这正是1856年无记名投票的目的。澳大利亚选举委员会记录投票在那之前是公开的，这"使选民容易受到恐吓和强制"，无记名投票被实施来消除该脆弱性。联合王国在1872年跟进《投票法》，用公开投票——你的选择被大声宣布或写在公共簿上——替换为私人投票间、统一的国家印刷选票、密封的盒子。

逻辑是建筑的，不是法律的。法律没有说"强制被禁止，我们相信你不会做"。法律说：这里是一个物理系统，强制无法被验证，所以它无法被执行。

那就是现在重要的区别。

保密规则说：你不能透露你的投票。保密架构说：你的投票是可证明地与你无关的，即使你想证明也一样。

这些是不同的东西。规则取决于合规和执行。架构取决于数学。

选民追踪利用了这个差距。即使投票本身有完美的保密规则，可追踪的足迹存在于围绕它的每个步骤：登记、检查、投票率，以及——在某些系统中——投票的时间和渠道。那个足迹就是追踪变现的东西。

击败强制的不是规则。是可证明地与制定选择的人无关的选择。

"可证明无关"的实际含义

这不是抽象的。它有具体的设计含义。

考虑强制者实际需要什么。他们至少需要确认特定人以能够连接到特定可观察行为的方式投票。如果他们能打破那个连接——技术上，不仅仅是法律上——执行机制就崩溃了。

围绕这一原则设计的密码学投票系统不仅隐藏你在隐私规则后的投票。它们产生一个公开记录在数学上无法追踪回单个选民，即使由选举权力机构本身，同时仍然允许任何人验证每个投出的投票被计数，没有幻想投票被添加。

这是"我们承诺不看"和"看在密码学上不可能"的区别。

2019年瑞士邮政互联网投票事件具有指导意义，尽管来自相反方向。研究人员Sarah Jamie Lewis、Olivier Pereira和Vanessa Teague分析了瑞士电子投票系统的已发布源代码，发现看起来数学上合理的验证证明有一个内置的活门——意味着知道活门值的当局可以生成一个看起来有效的证明，同时改变了投票。可验证性声明是看起来真实但空心的。

教训不是密码学失败。而是可验证性声明必须独立可检查才值得任何东西。"我们使用密码学系统"不是保证。"这是代码和证明；自己检查"是开始的一个。

监督报告无法告诉你什么

ODIHR关于北马其顿2025年选举的调查结果很重要。它们也有设计上的限制。

选举观察代表团可以记录其观察员看到的内容。它可以记录指控。它可以注意模式。它无法做的是重建在强制下出现在投票亭前的每个选民的私人计算，或每个由于留在家里感到更安全而留在家里的选民。

强制在任何发生强制的选举中移动的投票数量，不在任何报告中。它是未知的。

这是支持不同架构的真正论证。不是强制总是改变结果——有时它不改变。不是官员总是同谋——有时他们真诚地试图阻止它。但是一个系统依赖于强制的缺失，并提供没有独立方式来验证这种缺失，是要求你相信没有人实际上可以证明的声明。

相同的逻辑贯穿这个博客所涵盖的每个可验证性差距：无法验证的结果汇总表、选民无法读取的二维码、用本身具有不可约误差的方法确认结果的审计。在每种情况下，官方说法是"没问题"。在每种情况下，结构性问题仍然存在：任何人怎样知道？

选民强制是这个差距的最人性版本。选票进入盒子无人观察。结果被报告。在投票亭和结果汇总之间某处，被追踪和压力施加的选民要么合规，要么找到了一种私人方式来抵抗——没有人在那个选民的脑外能辨出哪个。

修复是建筑的，不是行政的

ODIHR在北马其顿的建议——"有效调查指控"——是正确的法律回应。它不是结构性修复。

结构性修复是一个投票系统，设计使得：

投票率是可验证的，不与个人选择相关联。 你可以确认一个投票站有847人投票，不透露哪847人如何投票。
不存在强制者能要求的收据。 选民离开这个过程时没有工件——没有照片、没有密码学代币、没有确认码——证明他们特定选择给第三方。
总体结果是公开可验证的——意味着任何有已发布数据的人可以确认计数——不创建任何通往个人身份识别的路径。
追踪变得没用——不是非法，没用——因为它可以收获的信息不再连接到重要的信息。

这不是不存在系统的乌托邦描述。密码学构建块——匿名凭证、零知识证明、可验证混洗网络——是真实的，在研究和试点背景中已实现。不存在的是，在大多数司法管辖区的规模，对要求可验证性作为设计要求而不是可选审计特性的政治意愿。

北马其顿的反派不是一个党派。它是一个使选民追踪有用的系统——因为选民身份和选民选举行为之间的连接未被密码学切断。

切断那个连接，电子表格就变得毫无价值。

什么仍然不可验证——以及什么会改变它

ODIHR关于北马其顿2025年选举的报告不告诉你什么，也无法：追踪和压力实际移动了多少投票。任何特定竞赛中的结果是否反映了选民的自由选择或受监控劳动力的管理合规。ODIHR建议的调查是否会导致起诉，更不用说补救。

这些问题开放。在任何选民身份和选民选择之间的连接仅由规则保护而非架构保护的系统下，它们将保持开放。

什么会改变它是一个系统，它在计数完成的那一刻发布机器可读的、投票站级别的结果——所以任何人可以检查数字——并产生一个数学可验证的总体证明每个投出的投票被计数，不透露任何个人的选择。不是承诺。不是两周后的审计。一个证明，实时发布，任何人可以运行。

在那之前，"选举是根据规则进行的"和"结果反映了选民的自由意愿"是两个不同的声明。官员可以证明第一个。没有人——不是监督代表团、不是政府、不是获胜候选人——可以独立验证第二个。

那个差距就是强制所在的地方。

看看这个可验证性差距是如何在不同国家和选举类型中出现的→

阅读两分钟版本，了解为什么无关联性是安全特性，不仅是隐私优点→

探索全球记录的选举完整性系统中的差距→

来源

查看所有文章探索漏洞