至於本來提出的問題，我後來想到或許用不對稱金鑰可以解決，只有投票人可以解開他的票並檢視他投給誰，所以他今天如果有質疑，他可以用他的key把票解開來證明系統有錯（用實體收據+系統記錄相互驗證）