Web3 开发者必读：智能合约安全最佳实践与防御模式详解

在Web3世界中，开发者的责任重大。智能合约中的一个小bug不仅仅是引发404错误那么简单，它可能导致用户资金的不可逆转损失，金额可达数百万美元。区块链的不可篡改性意味着没有“重来一次”的机会。安全性不是一个可选项，而是构建任何项目的绝对先决条件。

本指南概述了每位智能合约开发者必须了解的最关键安全最佳实践，涵盖常见攻击向量以及用于缓解这些攻击的防御性编程模式。

1. 检查-效果-交互模式

这可以说是Solidity中用于防止一种常见且破坏性漏洞的最重要设计模式：重入攻击。

问题（重入攻击）：

重入攻击发生在恶意外部合约在第一个函数调用尚未完成执行时回调你的合约。这允许攻击者在余额更新之前重复调用提款函数，从而耗尽资金。

解决方案：

按照以下特定顺序构建你的函数：

1. 检查：首先，执行所有验证检查（例如，require(msg.sender == owner)）。
2. 效果：其次，更新合约的状态（例如，balances[msg.sender] = 0）。
3. 交互：最后，与任何外部合约进行交互（例如，(bool sent, ) = msg.sender.call{value: amount}("")）。

通过在发送资金之前更新状态，即使外部合约回调，你也能确保合约的状态已经是正确的，攻击者无法多次提取资金。

2. 使用 call 进行外部调用，而非 transfer 或 send

从合约发送以太币时，应始终优先使用 (bool sent, ) = msg.sender.call{value: amount}("")，而不是 .transfer() 或 .send()。

问题：

transfer() 和 send() 函数会固定提供2300个Gas。这原本是一种安全措施，但可能导致合约在未来网络升级、Gas费用变化时失败。一个拥有逻辑稍微复杂一点的fallback函数的接收合约可能会耗尽Gas，导致交易回滚。

解决方案：

使用 call{value: amount}("") 会转发所有剩余的Gas，使你的合约更具未来适应性。然而，这也使得检查-效果-交互模式变得更加关键，因为它增加了重入攻击的风险。

3. 警惕整数溢出和下溢

在Solidity 0.8.0版本之前，算术运算在发生溢出或下溢时不会回滚。

问题：

如果一个 uint8（可存储0-255的值）的值为255，然后你对其加1，它会回绕到0。攻击者可以利用这一点来操纵余额或其他关键值。

解决方案：

• 使用Solidity 0.8.0+：所有现代合约都应使用 pragma solidity ^0.8.0;。在此版本及更高版本中，算术运算在溢出/下溢时会自动回滚，从而有效解决问题。
• 使用SafeMath（旧版本适用）：对于旧合约，请使用OpenZeppelin的SafeMath库来执行所有算术运算。

4. 避免交易排序依赖性（抢先交易）

永远不要假设内存池中交易的顺序就是它们在区块中执行的顺序。恶意行为者可以看到你的交易，并支付更高的Gas费来让自己的交易优先执行。这是一种MEV（最大可提取价值） 的形式。

问题：

如果你在智能合约中创建一个谜题，规定第一个提交正确答案的人赢得奖品，那么抢先交易机器人会在内存池中看到正确答案并复制它，从而窃取奖品。

解决方案：

使用“承诺-揭示”方案。在第一笔交易中，用户提交其答案的哈希值。在第二笔交易中，承诺阶段结束后，他们揭示自己的答案。这可以防止机器人提前看到解决方案。

5. 使用经过验证、审计过的库

不要重复造轮子，特别是对于像代币这样的标准组件。

问题：

编写自己的ERC20或ERC721实现是有风险的，容易出错。

解决方案：

始终使用经过实战检验的库，如 OpenZeppelin Contracts。它们的实现经过精心审计，并遵循社区认可的标准。

6. 拥有全面的测试套件并进行审计

测试：

你的测试套件应达到100%的代码行覆盖率和分支覆盖率。使用Foundry或Hardhat等工具编写测试，覆盖所有可能场景，包括边界情况和潜在的攻击向量。

审计：

对于任何将处理大量资金的合约，由信誉良好的公司进行专业安全审计是必不可少的。审计提供了一个至关重要的“第二双眼睛”，可以发现你可能遗漏的漏洞。

在Web3中构建应用需要一种“偏执”的思维方式。假设每个外部合约都是恶意的，并且复杂的攻击者会试图利用任何弱点。通过遵守这些安全最佳实践，你可以显著降低漏洞风险，并为用户构建安全的应用。

最初发表于 https://hashtagweb3.com.

CSD0tFqvECLokhw9aBeRqjqYfDJdW3nZR2MolY56cOSJb+wEwzPnCsyAovIBj0UNlkr5z0IoywnTXzNNwl81Hks71zonRGQJnSGats1/ZZAlzoOenWPUVepQVT/mrpMqhVJCjrZmWeffUJ5yCLNCOQ==