证明脚本往往比程序本身更长，且构造过程需要深厚的逻辑与领域知识；一旦程序或规格稍有改动，证明可能大面积失效，需要重新引导。