验证的代价

写规约、做证明的工作量往往是写代码的几倍到几十倍。