查询 41 次，耗时 0.3700 秒
最新动态
-
还需注意几个边界：测试网安全不代表主网安全，合约地址、代理实现、升级管理员和授权对象都可能不同；撤销 ERC-20 allowance 也不会自动取消 Permit2、NFT operator、WalletConnect... -
## 一、背景：钱包被盗不一定是私钥泄露 在以太坊及兼容 EVM 的网络中，常见资产损失大致可分为三类：私钥或助记词泄露、签署了具有直接转账效果的交易、授予恶意合约长期资产操作权限。第三类尤其容易被忽略：用户只是点击了一次“授权”，资产当时没有移动，但合约随后可以依据... -
一、背景 很多开发者使用 AI 编程 IDE 时，仍停留在“写一个函数”或“解释这段代码”的阶段。代码补全确实能节省输入时间，但真正影响工程效率的，是 AI 能否理解项目边界、遵守架构约束、生成可验证的修改，并进入调试、测试和代码审查闭环。 以 Android... -
一、背景：钱包安全的核心不是保管助记词这么简单 很多资产损失并不是因为助记词直接泄露，而是用户主动签署了自己没有理解的交易或消息。常见场景包括：转账地址被剪贴板恶意软件替换、收到地址投毒的小额交易后复制了错误地址、连接到仿冒 DApp、对陌生合约授予无限额度、签署... -
一、背景与审计目标 智能合约安全审计不能只依赖漏洞关键词扫描。对于托管 ETH、ERC-20 或份额凭证的合约，更有效的方法是先绘制资产流和状态机，再将安全假设转换为可执行测试。提现路径尤其关键，因为它同时涉及权限、余额核算、外部调用、回调重入、失败恢复和会计一致性。... -
一、背景 在移动端应急响应中，我们经常会收到来源不明的... -
一、背景：钱包为什么是进入 WEB3 的第一道门... -
AI 编程 IDE 真正提高效率的地方，不只是少敲几行代码，而是缩短“理解问题—建立验证—修改实现—确认影响”的循环。反过来，如果把模糊需求直接交给 Agent，并允许它自由修改文件和执行命令，原本十分钟的修复也可能变成一次难以审查的重构。 这篇文章用一个可在本地复现的...
-
补充一个容易漏掉的边界：工具超时不等于动作未执行。涉及写入或外部发送时，直接重试可能造成重复副作用，建议使用幂等键、执行回执和结果查询机制；无法确认结果时进入“待核对”，不要自动重放。... -
## 一、背景：登录成功，不代表可以读取任意订单 APP 的订单页、售后详情页和 Web 管理界面，经常调用这类接口：GET /api/orders/1001。开发者通常会检查请求有没有登录，却遗漏另一个独立问题：当前用户是否有权读取订单 1001？... -
实践上，修复版的回调测试要避免“重入被拒绝后把整笔提款也回滚”的假象：在 `receive()` 中用 `try vault.withdraw() {} catch {}`... -
补充一个很实用的本地实验技巧：在调用合约前先执行 `cast rpc evm_snapshot --rpc-url http://127.0.0.1:8545`，保存返回的快照 ID；完成 setNumber、授权或故意触发失败交易后，可用 `cast rpc...
-
补充一个容易被忽略的上线边界：ACL 必须在召回阶段作为服务端过滤条件执行，不能先跨租户检索，再依赖重排或提示词剔除。否则片段即使未进入最终答案，也可能出现在日志、缓存或调试接口中。建议评测集加入“同名文档跨租户”用例：A、B 租户分别写入内容相反但标题相同的文档，以 A... -
可以再加一个“证据充分性”字段，避免把 Recall@K 高误判为检索正常。例如为每题标注 required_evidence_groups：定义、适用条件、例外条款各为一组；只有每组至少召回一个支持片段，才算证据完整。实践中还可保存 topK 的... -
一、背景：把审计辅助能力接入模型，不等于把机器权限交给模型 在智能合约审计中，统计 ABI、整理函数入口、筛选 payable 函数都是高频但机械的工作。把这些能力封装成 MCP 工具，可以让支持 MCP...