连接不等于转账
连接 DApp 通常用于让网页读取公开地址并发起请求，本身不一定会转移资产。但连接后可能继续出现登录签名、交易确认或代币授权，用户仍需分别判断。
签名请求的含义
签名可能用于证明账户控制权，也可能包含可被合约或服务使用的授权信息。不要只看按钮文案，应阅读钱包展示的域名、网络、方法、资产和权限。对无法理解的签名应选择拒绝。
代币授权与无限授权
代币授权允许指定合约在额度范围内使用资产。无限授权便于重复操作，但会延长和扩大权限。若合约被攻击或本身恶意，未使用完的授权可能成为风险入口。
- 核对授权代币与合约
- 将额度限制在实际需要范围
- 避免为不相关操作签署授权
- 使用结束后检查剩余权限
检查与取消授权
可通过可信的授权管理工具或钱包功能查看各网络授权。取消授权会提交新的链上交易并消耗 Gas。应优先处理来源不明、长期不用、额度过大或与已停止使用服务相关的权限。
恶意合约与仿冒前端
即使合约名称和页面外观可信，也可能存在仿冒域名、前端替换或恶意参数。不要从空投代币备注、私信或搜索广告直接进入授权页面。