W3
登录
开发者进阶中级149 次阅读

DApp 上线检查清单：从合约到前端的 12 项

合约、前端、监控、应急四条线同时就绪才算上线；本文给出 12 项可逐条勾选的检查清单与对应的责任划分。

#上线#检查清单#运维#应急#发布

一句话结论

上线不是「合约部署成功了」，而是合约、前端、监控、应急四条线同时就绪。缺任何一条，一次小故障都会被放大成一次事故。

12 项清单

合约侧

  1. 审计完成，遗留问题有明确结论与处理方式，测试覆盖到关键分支。
  2. 权限收敛：管理权限交给多签，敏感操作加时间锁，不在个人钱包上留后门。
  3. 源码验证完成，编译参数与部署参数可追溯。
  4. 升级路径确认：是代理还是不可升级，升级的触发条件与执行人写清楚。

前端侧

  1. 配置了多个 RPC 端点，并有网络异常与数据延迟的明确界面状态。
  2. 完整手动回归：连接、签名、授权、链切换、拒绝签名各走一遍。
  3. 移动端与未安装钱包的用户有明确引导路径。
  4. 签名请求内容可读，不使用盲签（必要时用 EIP-712 结构化签名）。

运行侧

  1. 关键事件监控上线，告警按优先级分级并指定渠道。
  2. 值班安排与处理手册（runbook）确定，每条告警都有人对应。
  3. 应急开关可用：暂停、限额、权限转移的执行方式与执行人已确认。

沟通侧

  1. 公告渠道与状态页确定，出问题时第一时间向用户说明的模板准备好了。

为什么是 12 项而不是 5 项

因为真实事故的成因往往不在合约代码里，而在「没监控到」「没人值班」「用户不知道该做什么」。合约写得再好，一次没被及时发现的异常，或者一次没人回应的公告，都会让损失成倍放大。

给你的教训

  • 清单要有人负责、有完成时间，否则它只是一份文档。
  • 先在测试网完整跑一遍清单，不要拿主网当第一次演练。
  • 优先灰度而不是一次全量：先限额、先开放部分用户，再逐步放大。
  • 提前演练监控与应急，在没出事的时候确认流程走得通，比事后补救便宜得多。
  • 上线后第一周集中盯盘，确认平稳后再逐步放松。

延伸阅读

动手教程

把这个概念用起来的分步实操，跟着做一遍比再读十篇都记得牢

Web3 钱包使用：从交易所走向自持
从「Not your keys, not your coins」讲起，手把手完成第一次自持：认识钱包类型、选择第一只钱包、从官网安装并创建、手抄 12 词助记词并离线保存、添加 Base / Arbitrum One / BNB Chain 网络与导入代币、从交易所提币到钱包的完整案例、Gas 设置与卡单加速、连接 DApp 的签名与授权管理，最后是钱包与交易所的分工和被盗应急顺序。
预计 20-30 分钟 →
编写与发布智能合约：Solidity 实战
一条能真正跑通的合约开发路径：用零安装的 Remix IDE 起步，掌握 Solidity 版本声明、状态变量、函数可见性、view / pure、modifier 与 event，完整写一个带 owner 权限控制和事件的计数器合约，编译理解 ABI 与 Bytecode，切到 Sepolia 测试网领水龙头，用 MetaMask 注入部署，在浏览器上调用并验证源码，最后做 Gas 优化与安全自查，走完「写 → 编译 → 部署 → 调用 → 验证」全流程。
预计 60-90 分钟 →
私钥与助记词：BIP-39/32/44 原理、备份与泄露应急
把钱包安全的根基讲到底：私钥是 256 位随机数，是从「拥有资产」到「控制资产」的唯一凭证；从私钥到地址的完整推导链路（secp256k1 椭圆曲线 → Keccak-256 哈希 → 取后 20 字节 → EIP-55 校验和）；BIP-39 助记词如何把 128/256 位熵编码成 12/24 个单词、校验词为什么能发现抄写错误；BIP-32/44 派生路径 m/44'/60'/0'/0/0 每一段的含义；私钥、助记词、Keystore 三者的关系与备份优先级；手抄、金属板、多地点、分片等备份方案对比；绝对不能做的八件事；助记词疑似泄露后的紧急处置流程；最后是一份可逐项打勾的备份自检清单。
预计 35-45 分钟 →
合约安全：重入、预言机操纵等高频漏洞与防范
以攻击者视角系统拆解导致史上巨额损失的智能合约漏洞类别：建立「所有外部输入与外部调用都是恶意的」安全第一性原理；重入攻击的三种形态与 Checks-Effects-Interactions、重入锁；整数溢出/下溢与 0.8 内置检查；访问控制缺失与 tx.origin 钓鱼；外部调用失败导致的拒绝服务；闪电贷如何无成本放大价格预言机操纵风险，以及 Chainlink 喂价与 TWAP 的正确姿势；无限授权与签名重放；可预测随机数；最后用 The DAO、Parity 多签、Ronin 桥、Euler 等真实案例时间线建立直觉，并给出项目方的应急响应预案框架。
预计 50-60 分钟 →

相关问题

读者在这类操作前后最常搜索的问题

助记词丢了 / 被盗了怎么办？
私钥泄露后的前 5 步应急处理 →
助记词应该怎么备份才安全？
离线备份的正确姿势与常见错误 →
怎么识别钓鱼网站和假客服？
钓鱼站点的高频特征清单 →
第一笔加密资产怎么买？
从法币到链上资产的几条主流路径 →
免责声明与合规提示内容更新日期：2026-10-31
  • 本站全部内容仅用于技术学习与科普，不构成任何投资建议、要约或招揽。 数字资产价格波动剧烈，请独立判断并自行承担决策结果。
  • 教程记录的是撰写时的产品界面与规则，相关产品更新频繁， 实际操作请以官方当前界面与公告为准。发现内容过时，欢迎在对应页面反馈。

想系统排查自己的安全习惯？从安全自查清单开始。