安全网建在哪一层
智能合约处理算术错误的主流方式是编译器兜底：Solidity 0.8 之后每个加法、乘法旁默认插入检查代码，溢出直接中止。稳妥的代价写进每笔 Gas 账单——安全网建在每份合约里，等于每条算术表达式各建一张网。EIP-6888 提出第三种建法：网由虚拟机持有，合约自己决定何时去查。
两面旗子与它们的触发清单
触发条件逐操作码写死、全部是事后核对式规则，并按无符号与有符号两套视角分开。无符号进位旗 carry：加法（0x01）执行后结果小于第一个加数；乘法（0x02）后第一操作数非零且积除回不等于另一操作数；减法（0x03）后减数大于被减数；除法（0x04）或求余（0x06）遇到除数为零；指数与移位也各有判定。有符号旗 overflow 用补码语义复核同一批运算：加法后两个同号操作数得出异号结果、减法穿越了符号边界、有符号除法碰到 INT_MIN 除以负一等情形时置位。规则的共同气质：都不要求拦截运算，算完拿输入输出做一次廉价比对即可判定；规范 rationale 还说明条件是按实现友好原则挑的，移位一类指令甚至能两种旗同时命中——因为同一段字节既可当无符号也可当有符号读。
读旗子的两条指令
新增指令 JUMPC 与 JUMPO 各从栈上取一个候选跳转地址，分别按 carry 与 overflow 决定是否跳转，两条指令都顺便把两面旗清零。Gas 定价对齐 JUMPI。清零设计值得多看一眼：标志是机器级的共享变量，读完不废，下一条不相干运算就可能误读上一条运算留下的残值；读完作废迫使编译器或手写汇编者在”检查点”显式声明，错误处理路径因此留在可读的代码结构里而不是飘在全局状态中。
两条路线的公平比较
支持一侧的收益：编译器在敏感运算后按需插一条条件跳转即可，非 Solidity 语言、手写字节码、以及”出错不中止、改走降级分支”的可恢复错误场景获得协议级原语。反对一侧同样扎实：全局标志增加状态概念，读码者必须先建立标志生命周期的心智模型，审计清单上多一项”标志是否被跨边界误用”；此外”算出错误结果后再补救”的心安程度与”根本给不了错误结果”并不等价——前者要求后续每一步在旗子被覆盖前完成检查。这条路线与操作码级带检查算术、编译器内建检查构成三选一的竞争格局，谁也没赢下全部场景。
一条判断线
它目前停滞，没有改变任何链上行为：今天溢出的处理方式仍由合约自身的检查代码决定。这份文件的长久价值是把一个常被忽略的事实说清楚了——“安全”在虚拟机层不是开关而是选址：安全网可以建在编译器、指令执行或合约代码，三处各对应不同的成本结构与信任假设。读懂这一点的人，审查任何合约安全声明时都会先问一句：网建在哪一层、由谁维护、破了我们怎么知道。
两种检查风格的字节码对照
用一段假想的算术流程看两种风格的差别。编译器内建检查的写法：取两个加数、执行加法，紧接着把结果与第一个加数比较、判断”变小了没有”，判定为真就跳进中止分支——每一步都是真实指令，每步都计费，安全网随表达式数量线性增殖。标志位风格的写法：取两个加数、执行加法（机器顺手把旗子竖起或按下），紧跟一条读旗跳转向分支——检查从两条指令压回一条，而且检查点的位置是显式写出来的：谁负责读旗、旗子何时作废，审计者顺着代码流就能核对，不必逐行确认编译器有没有漏插。两种写法在正确实现下行为等价，区别在成本的分布形态与可读性的来源：前者把安全藏进每个表达式，后者把安全写成流程里的站岗点。EIP-6888 押的是后一种审美，它输赢与否都不改这条审美的存在价值。
快速问答
问：这条提案上线后合约会不再溢出报错吗？ 答：恰恰相反，标志位只是把判定结果暴露出来，要不要中止、何时中止仍由合约逻辑决定。
问：普通用户能感知这类底层改动吗？ 答：只能间接感知——表现为交易费构成或编译器输出的细微变化，而不是功能变化。
风险提示：本文是虚拟机机制科普，不构成任何投资建议；机制细节以提案原文为准。
发表评论
还没有评论，来说两句吧。
评论区为展示样式，提交不会被处理。