Safe模块和Guard有何区别？ 图 1
Safe模块和Guard有何区别？ · 图 1

标准 Safe 依靠 owner 列表和 n-of-m 阈值确认交易，但账户还可以安装 Module 和 Guard。二者都能显著改变安全边界，却朝不同方向工作：Module 增加新的执行能力，某些路径可以不经过标准多签阈值；Guard 在执行前后检查交易，条件不满足时可以阻止执行。

理解阈值本身可先阅读 多签钱包阈值怎么设置。本文关注的是阈值之外的扩展权限。

Module 是另一条执行通道

Safe Module 是独立智能合约，可以实现消费限额、自动化、恢复、DAO 决策执行或 ERC-4337 等功能。官方文档明确说明，Module 可能使用替代访问模式执行交易。例如 Spending Limit Module 可以让指定受益人在限额内转账，而无需每次收集所有 Safe 签名。

这并非漏洞，而是设计能力；风险在于团队可能只记得“这是 3/5 多签”，却忽略某个 Module 已给单一地址开了受限或不受限的旁路。

Guard 是交易检查点

Guard 在 Safe 交易执行前和执行后运行检查。它可以限制目标地址、调用方法、金额或其他条件。一个正确的 Guard 能增加约束；一个错误或恶意 Guard 也可能拒绝所有交易，使 Safe 无法正常使用。

维度ModuleGuard
主要作用增加执行能力增加交易限制
是否可能绕过阈值取决于模块，可能通常不提供旁路
典型失败未授权资产转移拒绝服务、账户停摆
重点核验谁能调用、能做什么检查条件、恢复方式

为什么官方界面对此格外谨慎

Safe 帮助中心指出，第三方 Module 和交易 Guard 会直接影响账户与全部资产，界面难以把任意扩展的后果完整展示。因此，不能因为扩展出现在某个 Safe App 或社区列表里，就推断它由 Safe 官方开发或审计。

智能账户还可能有 fallback handler、delegatecall 和其他角色。可结合 智能账户授权检查怎么做 梳理完整权限，而不是只看 owner 页面。

启用前的七项检查

  1. 从官方仓库或可信文档确认扩展合约地址和支持网络。
  2. 检查源码是否验证、部署者是谁、版本是否对应审计。
  3. 对 Module 列出所有可调用入口、资产范围、额度和调用者。
  4. 对 Guard 列出执行前后检查、可能拒绝的交易与紧急移除路径。
  5. 确认安装和移除是否需要当前多签阈值批准。
  6. 在测试 Safe 或小额环境演练启用、使用和移除。
  7. 把扩展地址、版本、审批记录和复核日期写入团队台账。

运行中的复核重点

定期读取链上已启用 Module 和当前 Guard，不只相信本地标签。成员变更、项目升级、密钥泄露或扩展发布新版本后，都应重新评估。Module 的受益人、额度或角色变化可能比 owner 变更更隐蔽；Guard 的配置变化则可能在真正需要转账时才暴露停摆问题。

账户抽象模块涉及打包器、Paymaster 等额外依赖时，可参考 ERC-4337账户抽象是什么 理解链路，但不要把协议标准等同于某个模块实现已经安全。

发现陌生扩展怎么办

先停止新的大额操作，保存 Safe 地址、链、Module/Guard 地址和相关交易哈希。由已确认的 owners 复核安装交易与扩展权限，再按照官方或审计文档设计移除。不要盲目向陌生脚本授予 delegatecall，也不要在没有恢复方案时直接修改 Guard。

如何安全移除或恢复扩展

处理 Module 时，先从 Safe 官方界面或链上读取已启用列表，核对模块地址、版本、控制者和 nonce。不要只撤销前端连接；真正移除需要由 Safe 执行禁用模块的链上交易。若模块还能通过自身入口发起交易，应先降低暴露资产，再按多签阈值完成移除并复查事件。

处理 Guard 时要先确认是否存在可用的替换或移除路径。过度严格、发生故障或依赖失效的 Guard 可能让普通 Safe 交易全部回退，形成停摆。恢复方案应在启用前演练，包括由哪些 owner、通过什么交易、在什么条件下移除 Guard。不要等到生产 Safe 无法执行后才查文档。

本文用于多签与智能账户安全教育，不构成投资或资产托管建议。第三方 Module 和 Guard 的风险取决于具体代码、配置和控制者；使用前应独立审计并准备恢复路径。任何界面都不应索要 owner 的助记词或私钥。