Token-2022 Transfer Hook怎么接入？

Transfer Hook让Token-2022代币在转账过程中调用指定程序，例如执行合规检查、会员规则或状态同步。它不是把任意代码塞进Token账户，而是由Mint扩展配置一个实现标准接口的程序，并按固定方式补齐额外账户。

调用发生在什么位置

客户端构造TransferChecked等Token-2022转账指令。Token程序完成自身校验与余额变更流程后，调用Mint配置的hook program执行Execute。官方扩展说明指出，钩子看到的是转账逻辑后的账户状态；自转账等特殊情形还需按当前实现核对是否调用。

额外账户从哪里来

Hook程序常需读取会员账户、白名单PDA或配置表，但Solana要求指令预先列出全部账户。标准用ExtraAccountMetaList账户保存这些元数据。该验证账户通常由Mint与固定种子等派生，条目可直接指定公钥，也可说明怎样从已有账户或指令数据派生PDA。

客户端集成流程：

1. 读取Mint，确认Transfer Hook扩展与程序ID；
2. 找到对应ExtraAccountMetaList PDA；
3. 解码每个额外账户规则；
4. 按规定顺序解析公钥、writable与signer属性；
5. 把账户追加到转账指令并模拟；
6. 发送后检查Token余额与hook程序日志。

为什么权限会被降级

Token程序把原转账账户传给hook时，不应让hook借机获得超出转账所需的写权限。接口对source、mint、destination、authority和validation账户有明确顺序与权限预期。Hook程序必须按Execute接口解释，不能假定客户端原始Transfer指令中的writable状态原样保留。

集成失败	典型原因	处理
missing account	未解析额外账户表	使用当前官方辅助库
invalid seeds	PDA依赖的账户索引错误	按Execute账户顺序重算
privilege escalated	请求了不允许的写或签名权限	降低AccountMeta权限
旧钱包无法转账	不识别扩展	升级或使用兼容客户端

Hook不是天然可信

Hook程序可让转账因外部状态失败，也可能被升级或暂停。接收某代币前应核对Mint、hook program、升级权限和额外账户依赖；钱包要在签名前说明会调用额外程序，不能把它伪装成普通SPL转账。

客户端必须解析扩展而不是猜布局

Token-2022 mint和account在基础字段后使用TLV扩展。客户端应通过官方库按扩展类型读取TransferHook配置与额外账户元数据，不能假设所有mint长度固定为传统SPL Token大小。向旧Token Program发送带扩展账户也不会自动获得兼容行为。

构造转账时，调用方需要根据验证账户解析额外AccountMeta，并保持顺序、可写与签名权限完全一致。若Hook升级了所需账户，缓存的交易模板可能立刻失效；应在发送前重新解析，并把Hook程序的失败日志与普通Token错误分开展示。

Token-2022其他权限与费用可参考转账费扩展，PDA与bump见Solana PDA，正式发送前结合模拟与发送读取日志和unitsConsumed。