安全实战与案例库入门684 次阅读

看懂钱包弹窗的三种请求：签名、交易、授权

钱包弹窗只有三种：签名、交易、授权。学会用 Gas 提示、动作动词和数字，判断自己正在同意什么。

#安全#签名#授权#钱包弹窗

一句话结论

钱包弹窗只分三类——签名、交易、授权。看懂它属于哪一类，就知道自己是不是正在交出钱包的控制权。

三类请求分别是什么

签名（Sign / 结构化签名）：只证明「这个地址的主人同意了某段内容」，本身不上链、不花 Gas。常见于登录、绑定地址、确认条款。它看起来无害，但风险在于签署的内容可以被设计成结构化数据（EIP-712），一旦签下，某些协议就能凭它替你执行操作。签名要看内容。

交易（Send / Swap / 合约交互）：会真正上链并改变状态，需要 Gas。弹窗会显示发送多少、发给谁、调用哪个合约。这是最「实在」的一类，重点看收款地址和金额。

授权（Approve / SetApprovalForAll）：介于两者之间。它本身是一次上链交易（要 Gas），改变的是未来的权限——允许某合约转走你某代币的多少额度。SetApprovalForAll 更彻底，一次授权整个 NFT 集合。

怎么在弹窗里快速判断

看有没有 Gas 费：没有 Gas 提示的是签名；有 Gas 的是交易或授权
看动作动词：Approve / SetApprovalForAll 是授权；Send / Swap 是交易；Sign / 登录是签名
看数字含义：授权里出现的数字是额度，不是你要转的钱。出现 Unlimited 或天文数字，就是无限授权
看合约地址：把它复制到区块浏览器里查一下，看它是什么、被多少人用过
看不懂就不签，这条永远有效

常见伪装方式

把授权包装成「确认领取」「验证钱包」「激活空投」
登录签名里藏结构化数据，实际内容是一次授权
弹窗显示的域名和你正在访问的站点看起来一样，但站点本身已经被替换

判断原则只有一句：弹窗要求你做的事，必须与你此刻真正想做的事匹配。你在登录，却弹出 Approve，就是异常。

给你的教训

先分类再决定：无 Gas 的签名、有 Gas 的交易、改权限的授权，风险等级并不相同。
授权看额度，不看界面文案，Unlimited 一律当成高风险。
签名也要读内容，尤其是以结构化数据形式出现的签名请求。
不确定就拒绝：操作失败可以重来，错误授权可能清空钱包。

⛽ 别只看结论：Gas 成本估算器

动手前先知道一笔操作要花多少钱

完整工具页 →

操作类型网络

Gas 价格Gwei以太坊拥堵时可能升到几十甚至上百 GweiETH 价格USD用于把手续费换算成美元

Gas 消耗量150,000

手续费（ETH）0.00180000

手续费（美元）$5.76

Gas 消耗量为该操作的常见量级，实际以钱包预估为准；L2 的实际费用还会叠加 L1 数据可用性成本。高额操作建议先看实时 Gas 行情、并尽量错峰执行（详见 Web3 钱包第 6 章）。

动手教程

把这个概念用起来的分步实操，跟着做一遍比再读十篇都记得牢

认识中心化交易所（CEX）

从零建立对中心化交易所的完整认知：CEX 的撮合引擎与订单簿是怎么运转的、一笔交易在平台内部如何走完充值到提现的五步、托管模式意味着你账户里的币其实是平台的负债；再用一张对比表看清币安、欧易 OKX、Bybit、Coinbase、Kraken 的定位差异，学会用合规牌照、储备证明、真实交易量、安全历史、费率与出入金六个维度评估一家交易所，并认清 FTX 事件式的托管风险。

预计 20-30 分钟 →

账本与交易的技术实现

把「一笔交易到底发生了什么」拆到最底层：先用表格对比 UTXO 与账户模型两种账本，再逐步跟踪交易从签名、广播、内存池、打包到确认的完整生命周期，讲透 Nonce 与交易顺序、EIP-1559 前后的 Gas 费用模型、世界状态与状态根、EVM 的三种数据位置成本差异、节点同步方式与数据可用性，最后读懂交易回执与事件日志，并带你到 Etherscan 上把每个字段和概念一一对上。

预计 30-40 分钟 →

玩法一：DEX 兑换实操（Swap 全流程）

手把手完成 DeFi 的第一个基础操作——在 DEX 上把一种资产换成另一种：认识兑换界面四要素（选币、金额、汇率、输出量）；代币导入与「同名假币」的识别方法；彻底区分「价格影响」与「滑点容忍度」这两个最容易被混淆的参数；路由器与聚合器的作用，以及为什么值得货比三家；一笔兑换的成本构成（Gas + LP 手续费 + 可能的协议费）；首次交互的授权（Approve）流程与额度选择；从确认到链上核对的完整步骤；兑换失败的六种原因与处理方式；最后是兑换安全清单，包括假币、蜜罐（貔貅盘）、三明治攻击（MEV）的识别与防范。

预计 35-45 分钟 →

MEV 与交易排序：从三明治攻击到 PBS

解释一个普通人本该关心、却常被忽略的事实：<strong>区块空间是稀缺资源，而谁决定交易的先后顺序，就能从中提取价值。</strong> 先用具体数字走完一次三明治攻击的全过程，再梳理 MEV 的几大来源（DEX 套利、清算、抢跑、NFT 抢购），然后把区块生产的产业链摊开——搜索者、构建者、中继、提议者各自拿什么、为什么会有 PBS（提议者与构建者分离）。最后回到用户侧：私有内存池如何避免被夹、滑点设置与三明治的关系、以及为什么「把滑点调到 50% 让交易一定成功」是一个会让你损失更多的选择。