一次点错授权整个系列？分清 ERC-721 的单枚 approve 与 setApprovalForAll

两种授权存在两个不同的地方

ERC-721 合约里跟“让别人替我转”相关的状态有两套。第一套是每枚代币一个的 getApproved(tokenId) 记录：你授权某个地址处理第 N 号代币，那么只有它能对这枚代币调用 transferFrom。第二套是 isApprovedForAll(owner, operator)：一旦为真，这个 operator 可以转走你当前名下、甚至以后才收到的全部代币，不需要你再签任何一次。

区别不在力度措辞，而在结构：前者以代币编号为键，天然有边界；后者以“持有人—操作人”这一对为键，覆盖面就是“这个人的全部”。很多钓鱼页面上写的“确认授权”，点下去执行的是 setApprovalForAll，这才是“一次点错、整个系列暴露”的根源——不是某个代币被盯上了，而是你这个人被开了总闸。

转账函数认哪条记录

transferFrom(from, to, tokenId) 能成功的前提是：调用者是这枚代币的 getApproved 记录、或是 from 的 all 授权 operator、或就是持有人本人。三个条件满足任何一个即可。所以排查“我的 NFT 怎么被人转走了”也要按这三条找：先查单枚授权，再查 isApprovedForAll，最后确认私钥是否泄露（后者在链上无痕可查）。

授权记录随转账自动清空：代币易主后，针对旧持有关系建立的单枚授权会复位；全集合授权是绑在人身上的，不随某笔转账消失，必须显式关闭。

怎么查、怎么撤

查询侧，getApproved(tokenId) 与 isApprovedForAll(owner, operator) 都是公开视图函数，区块浏览器的合约读取页或任意 RPC 调用都能问。实用做法是把常用市场的合约逐个查一遍 isApprovedForAll(你的地址, 市场相关合约)，别只盯着一个平台。

撤销侧同样走标准接口：把某枚代币的授权换成零地址 0x0000000000000000000000000000000000000000 或换成你自己的地址，等于清空该枚的通道；调用 setApprovalForAll(operator, false) 关闭总闸。这些都要付一笔 gas，撤销是交易不是开关。

一个容易忽略的细节：规范允许持有人把自己的地址设为授权对象，用途正是“顶掉”旧授权。如果你只想安静地清掉某枚的历史授权，把授权对象设成自己，是一个不留外部操作人的办法。

为什么挂单工具爱要全集合授权

市场为了让“任何人可成交”的挂单能被陌生买家触发的执行合约代你转账，通常会请你给它的转账通道（conduit 或市场合约本身）开通 all 授权。这本身是订单模型的需要，但请分清三件事：授权给谁（是哪个合约地址）、开了哪几类资产（是这一个合集，还是你钱包碰到的所有 ERC-721）、以及这个合约是否可升级。能选择“仅对本合集授权”时就不要选全钱包授权；用完的高价挂单，撤单之后顺手把授权关掉，是成本最低的收尾动作。

四条防御清单

第一，凡是弹窗里出现 setApprovalForAll 字样的交易，读清 operator 地址再决定是否签名，陌生域名一律不签。第二，定期查询你地址的全部 all 授权对象，把不再使用的关掉。第三，把高价藏品与日常交互地址分开，交互钱包里少放藏品，这样即使误开总闸，损失面也有限。第四，误授权后先冷静核对转账是否已经发生——授权本身不会转走任何资产，它只是给了别人转走的能力；真正危险的是“有授权”与“有恶意指令”同时存在，处理顺序是先撤权、再查事件、再决定升级处置。

最后一条认知

授权的本质是把“可撤销的能力”暂时借给别人，而 ERC-721 的两条通道决定了这次借用有多宽：一枚，还是全部现在与未来。把这句话贴在每次点“确认”之前：弹窗上那个按钮，多半叫 setApprovalForAll。理解它之后，你至少能避免 NFT 领域损失最重的一类事故——不是私钥被盗，而是自己在一次漫不经心的点击里，合法地交出了整个收藏系列的控制权。

风险提示：本文只解释技术机制与操作边界，不构成投资建议，也不推荐任何项目或平台。链上规则可能随版本升级变化，判断以官方规范文本与链上实际代码为准。