钱包弹出授权请求时，你在批准什么？合约、额度与有效期逐项读

弹窗背后是一次什么样的调用

在去中心化交易所或借贷协议里操作时，钱包弹出的授权请求，对应的通常是 ERC-20 代币合约上的 approve 调用。它的作用不是把币转给对方，而是在代币合约的账本上写下一行记录：某个地址（spender）可以从你的账户里动多少某个代币。币还在你地址上，但对方拿到了按额度提走的权利。理解这一点，就知道授权弹窗里真正值得读的是三个字段：给谁（spender）、给多少（额度）、动哪个资产（代币合约）。

给谁：把 spender 当成收件人读

弹窗里显示的合约地址或名称，就是将来有权划转你代币的主体。核对方法是把地址粘到区块浏览器里，看它是已验证源码的协议主合约、有明确标签，还是无源码、无标签的裸地址。名称可以伪造——浏览器标签靠提交者自报，钱包里显示的 dApp 名字同理——所以名称只是线索，地址和源码验证状态才是证据。拿不准协议官方地址时，对照协议官方文档里公布的合约地址，而不是搜索结果里的“看起来像”的页面。

给多少：一长串 9 意味着什么

有些钱包把额度显示为一串带很多 9 的超长数字，很多新手被劝退。它的机制是：ERC-20 用无符号 256 位整数表示额度，授权上限时钱包往往写入该类型的最大值，也就是社区所说的“无限授权”。它不是 bug，在部分兑换场景里是常见做法，但含义要明确——只要对方合约被盗或项目作恶，你地址上这个代币的全部余额都可以被转走，而且这个权利不会随时间自动到期。部分钱包和交易所工具后来提供的“到期授权”属于新增能力，属于可选增强，不是默认形态。

额度换算成真实数量时要除以代币小数位（多数是 18），这一步容易数错位数，核对方法和代币小数位怎么核对？钱包显示余额差了几个数量级的真相一致。

批不批的判断顺序

1. 场景是否必要：兑换、进入资金池、抵押通常要求授权；只是浏览页面、领空投、连钱包阶段出现授权请求，直接拒绝。
2. spender 是否可信：已验证合约、官方文档公布地址，通过；裸地址、拼凑域名对应地址，拒绝。
3. 额度是否克制：能选固定额度就不用无限额度，额度略高于本次需求即可。
4. 资产是否是你愿意交给协议逻辑的：给交易活跃资金用的热钱包可以适度放宽，长期存储地址不应该做任何授权。

一个可复述的判断示例

以参与某兑换协议为例：弹窗要求对代币 USDC 调用授权，spender 显示一串地址。核对动作依次是——把 spender 粘到浏览器，页面显示该合约源码已验证、方法列表里有与协议功能相符的逻辑；对照协议官方文档列出的路由合约地址，逐字符一致；额度选择允许本次交易金额上浮一点而不是直接顶格。三步全过再签。反过来，若地址在浏览器里查无标签、源码未验证，或它来自搜索广告位进入的站点，任何一步失败就停止。授权的对象是合约代码的逻辑，代码有漏洞或被升级作恶时额度就是攻击面，这就是“额度克制”原则的由来。

签完之后：授权是长期状态

授权写进链上后就一直有效，关闭网页、退出连接都不会取消它。定期盘点和撤销的路径按链上授权与取消授权：先查清单、再按需撤销的安全习惯操作；撤销本身是一笔需要 Gas 的链上交易。另外要注意 NFT 的全量授权和代币额度是两套字段，只清代币额度不等于清掉 NFT 授权。

本文只提供安全操作信息，不构成投资建议；是否授权某协议，请以你自己对其合约与审计情况的核验为准。