一句话理解
买 NFT 前多数人看图、看价、看社区，很少人花十分钟读合约源码。这份教程教你做“只读体检”：不需要任何链上操作，在区块浏览器的已验证源码页即可完成，检查管理函数与权限归属，判断“这个项目还能对我的 NFT 做什么”。
体检第一步：定位并验证合约
在市场页面拿合约地址 → 浏览器搜索 → 看是否“Verified”。未验证的合约直接列为最高风险：源码不可读意味着以上全部检查无法进行，而合约仍可持有与转移资产。验证原理是把编译元数据与字节码比对（Etherscan 验证流程有公开文档），读合约前先确认这步完成。
逐项检查清单
- 铸造函数：
mint、mintBatch、freeMint等。关键不是“有没有”，而是谁能调、有无供应量上限、上限是否可改。maxSupply若是可写变量，总量就是软承诺。 - 暂停开关：
pause/unpause。存在即意味着持有人随时可能被冻结转账，检查它的权限归属与是否已声明弃用。 - 黑名单：
blacklist、blocklist、setApprovalForAll过滤。被拉黑的地址可能收不到、转不出，历史上确有项目用它处置盗赃流通——权限滥用的典型面。 - 版税与 URI：
setRoyaltyInfo、updateBaseURI。版税可改见ERC-2981，URI 可改意味着图片可能整体漂移，应关联检查是否伴随MetadataUpdate事件（ERC-4906）。 - 升级权：
upgradeTo系列，判断框架在可升级合约真相。
权限归属比函数更重要
每个敏感函数都要追问“调用者是谁”。常见三档：团队普通地址（集中，依赖个人操守）；多签（需多人签名，参见Safe 多签托管）；延时时间锁（改动提前公示生效，透明度最高）。同一份函数清单，挂在不同档上，风险结论完全不同。查法：读源码里的角色修饰符，再到该角色的链上地址看合约类型。
输出你的体检结论
把每项写成“存在/不存在 + 权限档位 + 历史使用记录（事件日志里查相应事件是否发过）”三列。历史使用记录最诚实：发过 Paused 事件的项目，冻结能力是实战过的。体检给不出“能不能买”的答案，它给的是“你能接受哪些被改写的可能”——这是决策里该由你亲自拍板的部分，没有通用正确答案。
常见问答
问：读不懂 Solidity 代码，体检还有意义吗？
有。九成信息来自结构化搜索：在源码页用浏览器内查找 onlyOwner、function pause、maxSupply 这类模式，配合事件日志计数，不需要理解完整逻辑。工具类聚合网站也会列权限清单，但聚合数据会错，关键结论仍回到源码。
问：合约未验证但价格已经很热，怎么看？
未验证加高热度是组合风险信号，不是禁止项，但意味着你依赖的是平台收录背书而非密码学事实。折中方案：等验证后再进，或只以你能接受完全归零的额度参与，并把该仓位在记录里标注（参见记录管理）。
问：权限体检要多久做一次？
两个触发点各做一次：新增持仓时全量做一遍，存量持仓在大事件后复查（项目方公告升级、市场收录变动、合约出现新的管理事件记录）。事件日志的复查尤其便宜——浏览器里按事件名筛一遍，五分钟能看到别人替你记录的历史动作。
体检结论建议写成一句话模板：“此合约能【增发的/冻结的/改图的】范围是……，权限由【单人/多签/时间锁】掌握，历史上【使用过/未使用过】”。模板的价值在于强迫把每个形容词换成可回溯的链上证据，避免感觉代替事实。
风险提示
本文为安全方法科普，不构成投资建议。合约可读与权限检查只能降低信息不对称，不保证项目诚信与资产安全；所有操作决定请基于自身风险承受。
发表评论
还没有评论，来说两句吧。
评论区为展示样式，提交不会被处理。