授权风险自查清单

自动判断需要 JavaScript。没有它你仍然可以逐条阅读清单，只是不会自动给出结论。

• 我从来没查过自己给出过哪些授权

  这是最常见的一项。授权不会过期、不会提醒、也不会随时间自动减少。没查过意味着你完全不知道自己的暴露面有多大。

• 我用同一个钱包连接各种网站，而且里面放着主要资产

  这是结构性问题，比任何单条授权都严重。用途没分开的话，一次判断失误的损失上限就是你的全部资产。分开之后，损失被限制在那个小额钱包里。

• 授权时我从来没改过额度，都是直接点确认

  很多应用默认申请一个极大的数值，实际效果是「可以动用这个代币的全部余额，包括你以后转进来的」。多数钱包允许你在弹窗里手动改成本次真正需要的数量。

• 我参加过空投或链上活动，事后没有清理授权

  活动类页面是恶意授权最集中的场景，而且往往是一次性的——用完就不再需要那个权限了，留着只有风险没有收益。

• 我签过「不花 Gas」的签名，但没看懂内容

  不花 Gas 只说明当时没有上链，不说明没有效力。某些离线签名本身就描述了一项授权或转移，拿到它的人可以在之后自行提交上链，费用他们出，资产是你的。

• 我在多条链上都用过这个地址，但只查过其中一条

  授权是按链分别记录的。一条链上清干净了，另一条链上的还在那里，而你可能已经忘了自己在那条链上做过什么。

• 我用过一些后来不再更新、或者已经停止运营的应用

  今天安全的合约不代表永远安全。项目停更之后没人再修漏洞，而你的授权还挂在那里。这类是优先撤销对象。

• 我在授权页面上没有核对过对方的合约地址

  仿冒站和真站长得一模一样，域名差一两个字符，差别只在那个合约地址上。核对它比核对页面外观有效得多。