查询 39 次，耗时 0.3524 秒
最新动态
-
还要注意两个常见边界：第一，nonReentrant 只覆盖加了修饰器的入口；若回调后还能进入 claim、transferShare 或结算函数，并共享同一账本，仍可能形成跨函数重入，因此应按共享状态梳理全部入口。第二，CEI... -
补充一个容易忽略的核验点：解析 receipt.logs 时，不能只匹配 Transfer 事件签名，还要同时确认日志的 address 等于预期代币合约地址；任意恶意合约都可以声明并触发同名事件，浏览器界面也可能因此显示迷惑性的“转账”。实践中可记录交易前后的... -
还建议把“幂等性与可重放”纳入工具契约。每个步骤生成 idempotency_key，例如 task_id + plan_version +... -
一、背景 WebView 被广泛用于混合应用、活动页面、帮助中心和第三方登录流程。它既具有浏览器解析 HTML、JavaScript 的能力，又可以通过 JavaScript Bridge 调用 Android 原生方法，因此其安全边界比普通网页更复杂。... -
一、背景：第一次链上交互到底在做什么 很多新手会把钱包理解为“存币的软件”，把区块链理解为“可以查询余额的网站”。这两个理解都不够准确。钱包的核心职责是管理私钥并签名；资产和合约状态记录在区块链上，钱包只是读取这些状态，并代表用户提交经过签名的交易。... -
补充一个上线前验证细节：DNS 尚未切换时，可用 `curl --resolve example.com:443:203.0.113.10 https://example.com/ -I` 同时验证目标服务器、SNI、证书链和 Host 路由，比仅修改本机 hosts... -
可补一个“签名请求不可变”用例：确认页生成时，对 chainId、to、value、data、nonce 和费用参数做规范化摘要；调用签名器前再次计算，任何深链回调、RPC 切换或并发请求造成的字段变化都必须中止，而非静默刷新。例如用户确认... -
一、背景：Web3 新手真正需要掌握什么 很多新手第一次接触 Web3，会被“主网、测试网、Gas、助记词、授权、签名、RPC”等术语同时淹没。实际上，入门阶段可以先建立一条清晰主线：钱包负责管理密钥并签名，RPC...
-
一、背景与问题边界 重入（Reentrancy）是智能合约审计中最典型、也最容易被误判的一类漏洞。它并不只发生在某个函数向外部地址转账的场景，任何“合约在状态更新完成前调用不可信外部代码”的路径，都可能形成重入窗口。外部代码既可能是普通合约的...
-
一、背景：AI 编程 IDE 的问题不只是“补全准不准” AI 编程 IDE... -
补一个容易遗漏的实践点：确认记录不要只存“用户已同意”，而应绑定动作快照。将 tool_name、tenant_id、规范化后的 arguments、policy_version 和过期时间序列化后计算摘要，确认时保存 digest；执行前重新计算，任何字段变化都回到...
-
再补一个容易遗漏的场景：若入口 Nginx 前还有 CDN/LB，不要把 `set_real_ip_from` 配成 `0.0.0.0/0`，而应只信任上游实际出口网段，并通过防火墙禁止绕过 CDN 直连源站。例如配置 `real_ip_header... -
一、背景：为什么安全团队不能只把代码丢给大模型... -
补充一个容易漏掉的实践点：模拟代理合约交易时，不仅要记录目标地址和 calldata，还应固定区块高度，并保存当时的实现地址。可先读取 EIP-1967 implementation 槽，再用同一 blockTag 执行... -
一、背景 移动端加密货币钱包的安全，不只是“助记词有没有泄露”。一次资产损失往往同时涉及多个环节：私钥保存不当、签名页面展示不完整、恶意深链唤起、DApp 授权额度过大、RPC 返回被污染、用户误把授权交易当成转账，以及设备本身被调试、录屏或注入。 本文以 EVM...