2
月
在社区成长 2 月
LEVEL 1
1 XP
一、背景：Web3 新手真正需要掌握什么
很多新手第一次接触 Web3，会被“主网、测试网、Gas、助记词、授权、签名、RPC”等术语同时淹没。实际上，入门阶段可以先建立一条清晰主线：钱包负责管理密钥并签名，RPC 节点负责转发请求，区块链网络负责验证和记录交易，区块浏览器负责展示公开的链上结果。
本文不以购买代币或追逐项目为目标，而是带你在测试网和本地环境中完成可验证、可回滚、低风险的链上实践。你将学会创建隔离的钱包、理解地址与私钥的关系、识别签名类型、发送测试交易，并在本地部署一个最小合约。
二、核心原理
1. 钱包不是“存币软件”
链上资产记录在区块链账本中，钱包主要保存或调用密钥。私钥可以生成公钥，公钥进一步派生出地址。地址可以公开，私钥和助记词则必须保密。
助记词通常可以恢复一组账户，因此泄露助记词往往比泄露单个账户私钥更严重。任何获得有效私钥的人，都可以构造并签署该账户的交易。
2. 一次链上交易如何发生
典型流程如下：
用户在钱包中填写收款地址和数量 → 钱包通过 RPC 查询网络状态 → 钱包展示交易参数 → 用户确认 → 钱包使用私钥生成数字签名 → RPC 节点广播交易 → 验证节点检查签名、Nonce、余额和 Gas → 交易被打包 → 区块浏览器显示交易结果。
Nonce 是账户已发送交易的顺序编号，用于避免同一笔已签名交易被重复执行。Gas 是执行交易所消耗的计算资源计量单位。Gas Limit 表示允许消耗的资源上限，实际费用还与网络的费用机制有关。
3. 签名不一定等于转账
钱包弹窗至少可分为三类：
第一类是普通消息签名，通常不直接改变链上状态，但可能用于登录或证明地址所有权。
第二类是结构化数据签名，页面会请求你签署包含字段的数据。它可能被用于订单、授权或链下凭证，不能因为“不花 Gas”就认为没有风险。
第三类是链上交易签名，会发送交易并消耗 Gas，可能执行转账、合约调用或代币授权。
新手应重点检查：当前网络、发起网站、目标地址、调用方法、转账数量、授权额度和预计费用。看不懂的签名不要确认。
三、前置条件
准备以下环境：
1. 一台可信的个人电脑，系统和浏览器已更新。
2. 一个主流浏览器钱包扩展，仅从其官方网站或浏览器官方商店安装。
3. 一个专门用于学习的全新钱包，不与真实资产钱包混用。
4. 可选：Node.js、Git，以及 Foundry 工具链，用于本地实验。
5. 少量测试网测试币。测试币通常没有实际价值，不应购买来源不明的所谓“测试币”。
建议建立三层隔离：真实资产钱包、日常交互钱包、测试实验钱包。本文只使用测试实验钱包。
四、实践一：创建隔离的钱包
步骤 1：核对安装来源
不要通过群聊文件、广告链接或搜索结果中的仿冒网站安装钱包。安装后检查扩展名称、发布者信息和权限范围。
步骤 2：创建测试钱包
在钱包中选择“创建新钱包”，设置独立密码。这个密码通常只保护当前设备上的钱包文件，并不能代替助记词；如果助记词泄露，仅修改本地密码不能阻止攻击者在其他设备恢复钱包。
步骤 3：离线备份助记词
将助记词手写在纸张或专用离线介质上，核对顺序后存放在安全位置。不要截图、不要发送到聊天工具、不要上传网盘、不要粘贴到在线表单，也不要写入代码仓库。
步骤 4：记录公开地址
复制钱包地址，例如：
0x1234...abcd
地址可以公开，但转账前必须核对完整地址。剪贴板恶意软件可能替换复制的地址，因此至少检查开头和结尾，重要操作应核对完整字符串。
五、实践二：连接测试网并完成测试转账
步骤 1：选择钱包内置的公开测试网络
启用钱包的“显示测试网络”选项，并选择一个受支持的 EVM 测试网。不同钱包支持的测试网可能不同，不要随意导入陌生网站提供的 RPC 参数。
如果必须手动添加网络，应从该网络的官方文档核对以下字段：
网络名称、Chain ID、RPC URL、原生代币符号、区块浏览器地址。
Chain ID 是关键边界条件。名称可以被任意填写，但 Chain ID 用于区分签名对应的网络。确认钱包显示的网络与目标应用一致。
步骤 2：领取少量测试币
使用可信测试水龙头时，建议只提交公开地址。任何要求输入助记词、私钥或钱包密码的水龙头都应立即关闭。
步骤 3：进行小额测试转账
可以在测试钱包中创建第二个账户，先向第二个账户发送极少量测试币。确认页面应至少包含：
发送地址、接收地址、发送数量、网络名称、预计 Gas、交易总额。
提交后记录交易哈希。交易哈希类似一次操作的公开编号，可以在对应测试网的区块浏览器中查询。
步骤 4：理解交易状态
Pending 表示交易已广播但尚未确认；Success 表示执行成功；Failed 表示交易被打包但执行失败。失败交易通常仍可能消耗 Gas，因为验证节点已经执行了相关计算。
如果交易长时间 Pending，不要连续重复提交。先检查网络是否正确、账户 Nonce 是否连续、Gas 参数是否合理，以及是否已有相同 Nonce 的交易等待处理。
六、实践三：使用本地链完成零资产风险实验
公共测试网可能拥堵，水龙头也可能有限流。更稳定的方式是运行本地区块链。以下示例使用 Foundry 的 Anvil，仅监听本机环境。
安装工具后，在终端运行：
anvil
Anvil 会启动一个本地 RPC 服务，并生成一组仅用于本地实验的账户和私钥。这些私钥会直接显示在终端中，绝不能在主网使用，也不要向这些地址转入真实资产。
默认情况下，可以在另一个终端检查链高度：
cast block-number --rpc-url http://127.0.0.1:8545
查询本地测试账户余额：
cast balance 0x本地测试账户地址 --rpc-url http://127.0.0.1:8545
如果需要把本地网络加入浏览器钱包，可使用类似配置：
网络名称：Local Anvil
RPC URL：http://127.0.0.1:8545
Chain ID：以 Anvil 启动输出为准
代币符号：ETH
不要把本地 RPC 暴露到公网。127.0.0.1 表示只访问本机服务，比监听所有网卡更适合新手实验。
七、实践四：部署一个最小合约
创建目录并初始化项目：
mkdir web3-starter
cd web3-starter
forge init
在 src/Counter.sol 中写入以下合约：
pragma solidity ^0.8.20;
contract Counter {
uint256 public number;
function setNumber(uint256 newNumber) public {
number = newNumber;
}
function increment() public {
number += 1;
}
}
这个合约包含一个公开状态变量和两个修改状态的方法。读取 number 不一定需要发送链上交易；调用 setNumber 或 increment 会改变状态，因此需要交易签名和 Gas。
先编译并运行测试：
forge build
forge test
确认 Anvil 正在运行后，使用它输出的本地实验私钥部署：
forge create src/Counter.sol:Counter --rpc-url http://127.0.0.1:8545 --private-key 本地实验私钥 --broadcast
命令执行后会返回合约地址。将其保存为 CONTRACT_ADDRESS，然后读取 number：
cast call CONTRACT_ADDRESS "number()(uint256)" --rpc-url http://127.0.0.1:8545
写入数值 42：
cast send CONTRACT_ADDRESS "setNumber(uint256)" 42 --rpc-url http://127.0.0.1:8545 --private-key 本地实验私钥
再次读取：
cast call CONTRACT_ADDRESS "number()(uint256)" --rpc-url http://127.0.0.1:8545
如果返回 42，说明你已经完成了合约编译、部署、状态写入和状态读取的完整链路。
更安全的工程实践是不把私钥直接写在命令行中，因为命令可能进入 Shell 历史记录。本文中的方式只适用于一次性本地账户。公共测试网实验应使用工具支持的加密密钥库、硬件签名设备或交互式签名方案。
八、授权与撤销的安全常识
ERC-20 代币交互经常出现 approve 授权。授权不是立即转账，而是允许某个合约在额度范围内调用 transferFrom。风险在于：如果授权对象存在漏洞、被替换，或者用户误授权给恶意合约，资产可能在之后被转走。
检查授权时重点关注：
1. Spender 地址是否与预期合约一致。
2. 授权数量是本次所需额度，还是近似无限额度。
3. 当前网络是否正确。
4. 页面展示的信息是否与钱包模拟结果一致。
5. 不再使用的授权是否需要撤销。
撤销授权本身通常也是一笔链上交易，需要 Gas。不要使用来源不明的“授权检测网站”；优先使用可信区块浏览器、钱包内置功能或经过验证的授权管理工具。
九、风险与注意事项
1. 永远不要向任何人提供助记词、私钥或钱包恢复文件。
2. 客服、管理员、项目方不会因为“验证钱包”而需要你的助记词。
3. 测试钱包与真实资产钱包必须隔离，最好使用不同浏览器配置文件。
4. 不要运行陌生项目提供的一键脚本，先阅读脚本内容和依赖来源。
5. 不要把含私钥的 .env 文件提交到 Git，可在 .gitignore 中加入 .env。
6. 合约地址不是网站名称。确认地址时应以可信官方渠道或已验证部署记录为准。
7. 小额试操作不能证明后续一定安全，但可以发现网络、地址和数量配置错误。
8. 本地链账户只用于本地；公共测试网账户只用于测试；真实资产账户尽量减少合约交互。
9. 安全测试仅应在自有合约、授权测试网、本地实验链或明确许可的靶场中进行。
十、常见问题
问：钱包密码忘了，助记词还在，能恢复吗？
答：通常可以在可信钱包中通过助记词恢复账户。恢复完成后应重新设置本地密码。导入前必须确认软件来源，避免把助记词输入仿冒程序。
问：交易失败，测试币为什么还是变少？
答：交易失败不代表节点没有执行计算。只要交易已被打包，执行过程通常会消耗一定 Gas。
问：收到陌生代币，能直接兑换吗？
答：不要急于访问代币名称或备注中的网站。陌生代币可能用于诱导授权、签名或访问钓鱼页面。仅仅看到代币不等于钱包已失守，主动交互反而可能扩大风险。
问：普通消息签名不会花 Gas，是不是绝对安全？
答：不是。某些签名可以代表登录授权、订单确认或资产操作许可。签名前应阅读域名、用途、有效期、Nonce、授权对象和具体字段。
问：测试网资产能兑换成真实资产吗？
答：正规测试币通常只用于开发和验证，没有承诺的市场价值。声称高价回收测试币或要求先支付手续费的行为需要高度警惕。
问：为什么钱包显示的余额与区块浏览器不同？
答：常见原因包括网络选错、RPC 缓存、代币合约地址错误、代币精度配置错误或交易尚未确认。应先核对 Chain ID、账户地址和代币合约地址。
十一、总结
Web3 入门的关键不是尽快进行高价值交易，而是建立正确的安全边界：地址可以公开，密钥必须保密；签名是授权行为，不能只看是否消耗 Gas；测试网适合验证公开网络交互，本地链适合反复实验；任何合约调用都应核对网络、地址、方法、数量和授权范围。
建议新手按“本地链部署合约 → 测试网小额转账 → 测试网调用简单合约 → 学习授权管理”的顺序推进。只要坚持钱包隔离、最小权限、小额验证和来源核对，即使操作失败，也能把损失限制在可控范围内。
很多新手第一次接触 Web3，会被“主网、测试网、Gas、助记词、授权、签名、RPC”等术语同时淹没。实际上，入门阶段可以先建立一条清晰主线：钱包负责管理密钥并签名，RPC 节点负责转发请求，区块链网络负责验证和记录交易，区块浏览器负责展示公开的链上结果。
本文不以购买代币或追逐项目为目标，而是带你在测试网和本地环境中完成可验证、可回滚、低风险的链上实践。你将学会创建隔离的钱包、理解地址与私钥的关系、识别签名类型、发送测试交易，并在本地部署一个最小合约。
二、核心原理
1. 钱包不是“存币软件”
链上资产记录在区块链账本中，钱包主要保存或调用密钥。私钥可以生成公钥，公钥进一步派生出地址。地址可以公开，私钥和助记词则必须保密。
助记词通常可以恢复一组账户，因此泄露助记词往往比泄露单个账户私钥更严重。任何获得有效私钥的人，都可以构造并签署该账户的交易。
2. 一次链上交易如何发生
典型流程如下：
用户在钱包中填写收款地址和数量 → 钱包通过 RPC 查询网络状态 → 钱包展示交易参数 → 用户确认 → 钱包使用私钥生成数字签名 → RPC 节点广播交易 → 验证节点检查签名、Nonce、余额和 Gas → 交易被打包 → 区块浏览器显示交易结果。
Nonce 是账户已发送交易的顺序编号，用于避免同一笔已签名交易被重复执行。Gas 是执行交易所消耗的计算资源计量单位。Gas Limit 表示允许消耗的资源上限，实际费用还与网络的费用机制有关。
3. 签名不一定等于转账
钱包弹窗至少可分为三类：
第一类是普通消息签名，通常不直接改变链上状态，但可能用于登录或证明地址所有权。
第二类是结构化数据签名，页面会请求你签署包含字段的数据。它可能被用于订单、授权或链下凭证，不能因为“不花 Gas”就认为没有风险。
第三类是链上交易签名，会发送交易并消耗 Gas，可能执行转账、合约调用或代币授权。
新手应重点检查：当前网络、发起网站、目标地址、调用方法、转账数量、授权额度和预计费用。看不懂的签名不要确认。
三、前置条件
准备以下环境：
1. 一台可信的个人电脑，系统和浏览器已更新。
2. 一个主流浏览器钱包扩展，仅从其官方网站或浏览器官方商店安装。
3. 一个专门用于学习的全新钱包，不与真实资产钱包混用。
4. 可选：Node.js、Git，以及 Foundry 工具链，用于本地实验。
5. 少量测试网测试币。测试币通常没有实际价值，不应购买来源不明的所谓“测试币”。
建议建立三层隔离：真实资产钱包、日常交互钱包、测试实验钱包。本文只使用测试实验钱包。
四、实践一：创建隔离的钱包
步骤 1：核对安装来源
不要通过群聊文件、广告链接或搜索结果中的仿冒网站安装钱包。安装后检查扩展名称、发布者信息和权限范围。
步骤 2：创建测试钱包
在钱包中选择“创建新钱包”，设置独立密码。这个密码通常只保护当前设备上的钱包文件，并不能代替助记词；如果助记词泄露，仅修改本地密码不能阻止攻击者在其他设备恢复钱包。
步骤 3：离线备份助记词
将助记词手写在纸张或专用离线介质上，核对顺序后存放在安全位置。不要截图、不要发送到聊天工具、不要上传网盘、不要粘贴到在线表单，也不要写入代码仓库。
步骤 4：记录公开地址
复制钱包地址，例如：
0x1234...abcd
地址可以公开，但转账前必须核对完整地址。剪贴板恶意软件可能替换复制的地址，因此至少检查开头和结尾，重要操作应核对完整字符串。
五、实践二：连接测试网并完成测试转账
步骤 1：选择钱包内置的公开测试网络
启用钱包的“显示测试网络”选项，并选择一个受支持的 EVM 测试网。不同钱包支持的测试网可能不同，不要随意导入陌生网站提供的 RPC 参数。
如果必须手动添加网络，应从该网络的官方文档核对以下字段：
网络名称、Chain ID、RPC URL、原生代币符号、区块浏览器地址。
Chain ID 是关键边界条件。名称可以被任意填写，但 Chain ID 用于区分签名对应的网络。确认钱包显示的网络与目标应用一致。
步骤 2：领取少量测试币
使用可信测试水龙头时，建议只提交公开地址。任何要求输入助记词、私钥或钱包密码的水龙头都应立即关闭。
步骤 3：进行小额测试转账
可以在测试钱包中创建第二个账户，先向第二个账户发送极少量测试币。确认页面应至少包含：
发送地址、接收地址、发送数量、网络名称、预计 Gas、交易总额。
提交后记录交易哈希。交易哈希类似一次操作的公开编号，可以在对应测试网的区块浏览器中查询。
步骤 4：理解交易状态
Pending 表示交易已广播但尚未确认；Success 表示执行成功；Failed 表示交易被打包但执行失败。失败交易通常仍可能消耗 Gas，因为验证节点已经执行了相关计算。
如果交易长时间 Pending，不要连续重复提交。先检查网络是否正确、账户 Nonce 是否连续、Gas 参数是否合理，以及是否已有相同 Nonce 的交易等待处理。
六、实践三：使用本地链完成零资产风险实验
公共测试网可能拥堵，水龙头也可能有限流。更稳定的方式是运行本地区块链。以下示例使用 Foundry 的 Anvil，仅监听本机环境。
安装工具后，在终端运行：
anvil
Anvil 会启动一个本地 RPC 服务，并生成一组仅用于本地实验的账户和私钥。这些私钥会直接显示在终端中，绝不能在主网使用，也不要向这些地址转入真实资产。
默认情况下，可以在另一个终端检查链高度：
cast block-number --rpc-url http://127.0.0.1:8545
查询本地测试账户余额：
cast balance 0x本地测试账户地址 --rpc-url http://127.0.0.1:8545
如果需要把本地网络加入浏览器钱包，可使用类似配置：
网络名称：Local Anvil
RPC URL：http://127.0.0.1:8545
Chain ID：以 Anvil 启动输出为准
代币符号：ETH
不要把本地 RPC 暴露到公网。127.0.0.1 表示只访问本机服务，比监听所有网卡更适合新手实验。
七、实践四：部署一个最小合约
创建目录并初始化项目：
mkdir web3-starter
cd web3-starter
forge init
在 src/Counter.sol 中写入以下合约：
pragma solidity ^0.8.20;
contract Counter {
uint256 public number;
function setNumber(uint256 newNumber) public {
number = newNumber;
}
function increment() public {
number += 1;
}
}
这个合约包含一个公开状态变量和两个修改状态的方法。读取 number 不一定需要发送链上交易；调用 setNumber 或 increment 会改变状态，因此需要交易签名和 Gas。
先编译并运行测试：
forge build
forge test
确认 Anvil 正在运行后，使用它输出的本地实验私钥部署：
forge create src/Counter.sol:Counter --rpc-url http://127.0.0.1:8545 --private-key 本地实验私钥 --broadcast
命令执行后会返回合约地址。将其保存为 CONTRACT_ADDRESS，然后读取 number：
cast call CONTRACT_ADDRESS "number()(uint256)" --rpc-url http://127.0.0.1:8545
写入数值 42：
cast send CONTRACT_ADDRESS "setNumber(uint256)" 42 --rpc-url http://127.0.0.1:8545 --private-key 本地实验私钥
再次读取：
cast call CONTRACT_ADDRESS "number()(uint256)" --rpc-url http://127.0.0.1:8545
如果返回 42，说明你已经完成了合约编译、部署、状态写入和状态读取的完整链路。
更安全的工程实践是不把私钥直接写在命令行中，因为命令可能进入 Shell 历史记录。本文中的方式只适用于一次性本地账户。公共测试网实验应使用工具支持的加密密钥库、硬件签名设备或交互式签名方案。
八、授权与撤销的安全常识
ERC-20 代币交互经常出现 approve 授权。授权不是立即转账，而是允许某个合约在额度范围内调用 transferFrom。风险在于：如果授权对象存在漏洞、被替换，或者用户误授权给恶意合约，资产可能在之后被转走。
检查授权时重点关注：
1. Spender 地址是否与预期合约一致。
2. 授权数量是本次所需额度，还是近似无限额度。
3. 当前网络是否正确。
4. 页面展示的信息是否与钱包模拟结果一致。
5. 不再使用的授权是否需要撤销。
撤销授权本身通常也是一笔链上交易，需要 Gas。不要使用来源不明的“授权检测网站”；优先使用可信区块浏览器、钱包内置功能或经过验证的授权管理工具。
九、风险与注意事项
1. 永远不要向任何人提供助记词、私钥或钱包恢复文件。
2. 客服、管理员、项目方不会因为“验证钱包”而需要你的助记词。
3. 测试钱包与真实资产钱包必须隔离，最好使用不同浏览器配置文件。
4. 不要运行陌生项目提供的一键脚本，先阅读脚本内容和依赖来源。
5. 不要把含私钥的 .env 文件提交到 Git，可在 .gitignore 中加入 .env。
6. 合约地址不是网站名称。确认地址时应以可信官方渠道或已验证部署记录为准。
7. 小额试操作不能证明后续一定安全，但可以发现网络、地址和数量配置错误。
8. 本地链账户只用于本地；公共测试网账户只用于测试；真实资产账户尽量减少合约交互。
9. 安全测试仅应在自有合约、授权测试网、本地实验链或明确许可的靶场中进行。
十、常见问题
问：钱包密码忘了，助记词还在，能恢复吗？
答：通常可以在可信钱包中通过助记词恢复账户。恢复完成后应重新设置本地密码。导入前必须确认软件来源，避免把助记词输入仿冒程序。
问：交易失败，测试币为什么还是变少？
答：交易失败不代表节点没有执行计算。只要交易已被打包，执行过程通常会消耗一定 Gas。
问：收到陌生代币，能直接兑换吗？
答：不要急于访问代币名称或备注中的网站。陌生代币可能用于诱导授权、签名或访问钓鱼页面。仅仅看到代币不等于钱包已失守，主动交互反而可能扩大风险。
问：普通消息签名不会花 Gas，是不是绝对安全？
答：不是。某些签名可以代表登录授权、订单确认或资产操作许可。签名前应阅读域名、用途、有效期、Nonce、授权对象和具体字段。
问：测试网资产能兑换成真实资产吗？
答：正规测试币通常只用于开发和验证，没有承诺的市场价值。声称高价回收测试币或要求先支付手续费的行为需要高度警惕。
问：为什么钱包显示的余额与区块浏览器不同？
答：常见原因包括网络选错、RPC 缓存、代币合约地址错误、代币精度配置错误或交易尚未确认。应先核对 Chain ID、账户地址和代币合约地址。
十一、总结
Web3 入门的关键不是尽快进行高价值交易，而是建立正确的安全边界：地址可以公开，密钥必须保密；签名是授权行为，不能只看是否消耗 Gas；测试网适合验证公开网络交互，本地链适合反复实验；任何合约调用都应核对网络、地址、方法、数量和授权范围。
建议新手按“本地链部署合约 → 测试网小额转账 → 测试网调用简单合约 → 学习授权管理”的顺序推进。只要坚持钱包隔离、最小权限、小额验证和来源核对，即使操作失败，也能把损失限制在可控范围内。