ERC-5827 可续额度授权：给订阅扣款装一个按秒回血的闸门

普通 ERC-20 授权（approve）在订阅场景里有个体感很差的两难：给商户批一个大额度，等于把钱包的长期提款权挂在外面；批个小额度，每次续费前都得人肉补授权，商户扣款失败还容易引发纠纷。ERC-5827 给出第三条路：批一个”会自己回血”的额度——设一个上限值，再设一个每秒恢复速率，商户每次扣款消耗额度，额度随时间按速率自动涨回上限。花多少由周期决定，随时能扣走的总量由速率封顶，两个参数合起来更像信用卡的日限额而不是金库钥匙。按照以太坊 ercs 仓库的记录，这份提案状态为 Stagnant（停滞），创建于 2022 年 10 月 22 日。

四个函数加一个事件的最小集

核心接口 IERC5827 里，approveRenewable(spender, value, recoveryRate) 替代普通 approve 建立可续授权，标准同时要求 recoveryRate 不得大于 value，否则必须报错——速率超过上限等于无限额度，闸门失去意义。renewableAllowance(owner, spender) 返回该授权的当前上限与恢复速率两个数，供钱包和风控工具实时读取。被标准覆盖的 ERC-20 函数里，allowance 的返回语义被改写为”此刻实际可用余额”——一个随时间爬升的动态值，transferFrom 检查的就是它；普通 approve 则被规定为清空恢复速率、退回固定额度模式，两套机制互不叠加。授权建立与变更通过 RenewableApproval 事件上链，字段包含 owner、spender、上限与速率四项，审计时按事件重放即可还原每个授权的当前状态。

Expirable 扩展：让授权到点自动作废

主接口的额度会永远按速率回血，对”只授权这个季度”的场景不够用。IERC5827Expirable 扩展在 approveRenewable 参数尾部追加 deadline 时间戳，过期后授权整体失效，其 ERC-165 接口 ID 为 0x46c5b619。这更接近现实里的预付费逻辑：给商户一个带有效期的滚动限额，到期自动归零，用户不必记得去撤授权。标准还区分了 IERC5827Proxy 接口供代理钱包账户使用，适配智能合约钱包发起授权的路径。

风险模型和传统授权有何不同

用一组数字说明差别。给订阅商户批 1200 USDC 的普通 approve，攻击者若攻破商户合约或商户本身作恶，理论上可以立即提走 1200。同样金额批成 ERC-5827 授权、恢复速率设每小时 50，则攻击者得手瞬间最多带走”此刻已回血的部分”，后续每小时才能多扣 50——留给用户发现异常、抢先撤销授权或转走余额的窗口被拉得很长。这就是提案把这套机制类比为信贷额度与扣款上限的原因：损失被速率参数化，风险从”一次性全损”变成”线性滴漏”。当然两个前提不能忽略：其一，代币合约本身要实现这套扩展，现实中支持的 ERC-20 屈指可数；其二，撤销授权的动作仍然只能由持有人发起，机制不代替人值班。

把限速效果手动凑出来的土办法

标准停滞后，普通用户仍可以用现有积木逼近同样的风险曲线：给订阅服务单独准备一只小额钱包，余额只放一两期扣款额；或者按”周期乘单价”的口径精确批额度，扣完一期再补批下一期；配合区块浏览器的授权告警，把”多久查一次授权”的频率提上来。这些动作的本质，都是用操作纪律替代链上参数，效果不如 recoveryRate 优雅，安全逻辑却同源——限制任何单一时点可被扣走的总量。读懂 ERC-5827 的最大收益，往往就是把这套限速思维搬进自己的授权习惯里。

现状与实用替代

按 ercs 仓库口径，ERC-5827 处于 Stagnant，鲜有生产部署。它留下的思考方式却可以直接用在今天的自查里：评估任何长期授权时，把”批准金额”和”单位时间最大被扣量”分开思考——用小额多次授权、到期型 permit 或独立热钱包等现有手段，人工构造”恢复速率”效果，是对普通用户最实际的等效防御。本文为机制说明，不构成任何投资建议。