初始化Web3连接,这里以Infura的RPC端点为例

admin 发布于 2026-02-12 7:30 频道：默认分类 阅读：1

以太坊授权检测代码：守护你的数字资产免受未授权访问**

在以太坊及更广泛的Web3生态系统中,用户对智能合约的授权（Approval）操作是日常交互中不可或缺的一环，无论是使用DeFi协议进行代币交换、流动性挖矿，还是与各种DApp进行交互，用户常常需要将自己的ERC-20代币（如USDT, USDC, DAI等）或NFT授权给某个智能合约，以便其代表用户进行操作，这种授权行为也潜藏着安全风险，如果授权的代币数量过大、授权给了恶意合约，或者忘记了曾经给予的授权，都可能导致资产损失，掌握如何通过代码检测以太坊上的授权情况，对于普通用户、开发者以及安全研究人员来说都至关重要。

为什么需要以太坊授权检测？

  1. 资产安全：检测当前有哪些地址或合约拥有对你代币的授权权限，以及授权的具体数量，是保障资产安全的第一步，过大的授权额度或对不明合约的授权，都是潜在的安全隐患。
  2. 风险审计：对于项目方而言，在上线前检测自身合约是否存在不当授权，或审计第三方依赖合约的授权行为，有助于发现并修复安全漏洞。
  3. 资产管理：帮助用户清晰地了解自己的代币授权分布情况，及时撤销不再需要的授权，优化资产配置。
  4. 安全研究：安全研究人员可以通过分析授权模式，发现恶意合约的运作手法或新型攻击向量。

以太坊授权检测的核心原理

以太坊上的ERC-20代币标准定义了基本的接口，其中与授权检测最相关的两个函数是：

  • allowance(address owner, address spender) view returns (uint256)：查询owner地址授权给spender地址的代币数量。
  • balanceOf(address account) view returns (uint256)：查询指定地址的代币余额（用于对比授权额度）。

授权检测的核心,就是遍历用户关心的owner地址，查询其授权给各个spender地址的代币数量，并结合代币合约地址、授权时间戳（如果记录在事件中）等信息进行分析。

以太坊授权检测代码实现（示例）

下面我们将以Python语言,结合web3.py库，提供一个简单的以太坊ERC-20代币授权检测代码示例，假设我们想检测某个特定地址（如user_address）授权给所有可能spender的代币数量。

前提条件：

  • 安装web3.py库：pip install web3
  • 运行以太坊节点（如Geth, Parity）或使用公共RPC端点（如Infura, Alchemy）。
  • 了解目标代币的ERC-20合约地址。
from web3 import Web3
# 替换为你的实际RPC URL
infura_url = "https://mainnet.infura.io/v3/YOUR_INFURA_PROJECT_ID"
w3 = Web3(Web3.HTTPProvider(infura_url))
if not w3.is_connected():
    print("Failed to connect to Ethereum network")
    exit()
# 目标用户地址，替换为你要检测的地址
user_address = "0xYourUserAddressHere"  #  "0x742d35Cc6634C0532925a3b844Bc454e4438f44e"
user_address_checksum = Web3.to_checksum_address(user_address)
# 目标ERC-20代币合约地址，替换为你要检测的代币地址
# USDT (Tether USD) on Ethereum Mainnet
token_address = "0xdAC17F958D2ee523a2206206994597C13D831ec7"
token_address_checksum = Web3.to_checksum_address(token_address)
# ERC-20代币ABI中的allowance函数
erc20_abi = '[{"constant":true,"inputs":[{"name":"_owner","type":"address"},{"name":"_spender","type":"address"}],"name":"allowance","outputs":[{"name":"remaining","type":"uint256"}],"payable":false,"stateMutability":"view","type":"function"}]'
# 获取代币合约实例
token_contract = w3.eth.contract(address=token_address_checksum, abi=erc20_abi)
print(f"Checking authorizations for address: {user_address_checksum}")
print(f"Against token contract: {token_address_checksum}")
print("-" * 50)
# 注意：直接遍历所有可能的spender地址是不现实的（地址空间太大）
# 实际应用中，你可能需要：
# 1. 从用户交互历史、事件日志（如Approval事件）中获取可能的spender列表。
# 2. 针对特定的DeFi协议或已知恶意地址进行检查。
# 以下仅为演示如何查询单个spender的授权额度。
# 假设我们有一些可疑的spender地址列表（这里仅作示例）
# 实际中你需要获取这些地址，例如通过事件日志分析
example
随机配图
_spenders = [
    "0xSpenderAddress1",  # 替换为实际的spender地址
    "0xSpenderAddress2",  # 替换为实际的spender地址
]
for spender in example_spenders:
    try:
        spender_checksum = Web3.to_checksum_address(spender)
        # 查询用户授权给该spender的代币数量
        allowed_amount = token_contract.functions.allowance(user_address_checksum, spender_checksum).call()
        # 将最小单位（如wei）转换为更可读的单位（如ETH，对于ERC-20通常是18位小数）
        # 假设该代币有18位小数，根据实际代币调整decimals
        decimals = 18  # 需要从代币ABI中获取decimals，这里简化为18
        allowed_amount_readable = allowed_amount / (10 ** decimals)
        print(f"Spender: {spender_checksum}")
        print(f"  Authorized Amount: {allowed_amount_readable:.18f} (Total Supply: {token_contract.functions.totalSupply().call() / (10 ** decimals):.2f})")
        print("-" * 30)
    except Exception as e:
        print(f"Error checking spender {spender}: {e}")
# 更实际的方法：从Approval事件中获取授权历史
# 需要定义Approval事件的ABI，并使用contract.events.Approach().processLogs()等方法
# 这需要更复杂的事件过滤和日志解析逻辑
print("\nAuthorization check completed.")

代码解释：

  1. 连接网络：使用web3.py连接到以太坊网络。
  2. 地址和合约：定义要检测的用户地址和目标ERC-20代币合约地址。
  3. ABI：提供了ERC-20标准中allowance函数的ABI（应用程序二进制接口），这是与合约交互所需的。
  4. 合约实例：根据代币地址和ABI创建合约实例。
  5. 查询授权：对于示例中的每个spender地址，调用allowance函数查询用户地址授权给它的代币数量。
  6. 单位转换：将合约返回的最小单位（通常为wei级别的整数，根据代币精度）转换为更易读的格式（如保留18位小数的浮点数，假设代币精度为18）。
  7. 局限性：示例中example_spenders是手动列出的，实际应用中需要通过其他方式（如分析交易历史、Approval事件日志）来获取所有可能的spender地址，因为遍历所有地址是不可能的。

更高级的授权检测方法

上述代码仅演示了基础的查询,在实际应用中，更高级的授权检测可能包括：

  1. 事件日志分析：监听ERC-20代币的Approval事件，实时记录或查询授权历史，这需要定义Approval事件的ABI，并使用web3.py的事件过滤功能。
    # 示例：定义Approval事件ABI
approval_event_abi = '[{"anonymous":false,"inputs":[{"indexed":true,"name":"owner","type":"address"},{"indexed":true,"name":"spender","type":"address"},{"indexed":false,"name":"value","type":"uint256"}],"name":"Approval","type":"event"}]'
# 然后创建事件过滤器并查询
  2. 批量查询与优化：对于大量spender地址，需要考虑查询效率和成本。
  3. 授权额度分析：不仅查询授权数量，还要结合代币价格、用户风险偏好等因素评估风险等级。
  4. 自动化撤销：在检测到不安全授权后，可以编写代码调用approve函数，将授权额度设置为0（需用户私钥签名交易）。
  5. 集成到DApp或钱包：将授权检测功能集成到浏览器插件钱包、硬件钱包管理软件或独立的DeFi安全工具中。

总结与注意事项

以太坊授权检测是保障Web3资产安全的重要

本文由用户投稿上传，若侵权请提供版权资料并联系删除！

上一篇：

下一篇：