同一个代币程序要服务付息代币、受限转让、需要备注的托管等不同需求，过去只有两条路：要么在每个项目自己的合约里重新实现，要么再发一个新程序。Solana 的 Token-2022 选了第三条：把可变的部分做成可插拔的扩展，程序仍是那一个。官方页面的扩展清单，就是理解这套设计最好的入口。
铸造端与账户端是两层
文档把扩展分成两类挂点。铸造端（mint extensions）当前包括：机密转账与机密铸造/销毁、转让费、关闭铸造（closing mint）、付息代币、不可转让代币、永久委托（permanent delegate）、转让钩子（transfer hook）、元数据指针与元数据组指针（metadata pointer / metadata group pointer）、group 与组成员指针、缩放 UI 数量、受限燃烧（permissioned burn）、可暂停（pausable）。
账户端（account extensions）当前包括：入账需要备注（memo required on incoming transfers）、不可变所有权（immutable ownership）、默认账户状态（default account state）、CPI 防护（CPI guard）。
两层的差别不是分类趣味，而是问题的归属：转让费、付息、能不能烧这类规则长在”这一种代币”上，所有持有者共享；需不需要备注、这个账户是否放弃转手权这类设定长在”这一个账户”上。同一种代币里，A 账户可以开不可变所有权，B 账户不开。
扩展字段与钱包体验
扩展写进账户数据，钱包要正确显示就得多解一层：旧钱包不识别新字段，最轻的后果是数字照常但特性不亮，较重的后果是把有钩子的转账当成普通转账去发起、在链上被拒。买家侧的实操因此朴素：大额或陌生代币，先转一枚试路；确认到账后，再用官方命令行读一遍账户数据，看开了哪些扩展、字段值指向谁。
与藏品关系最紧的一组对照可以记住：metadata pointer 让名称与符号有了链上家，市场不再只信链下 JSON；immutable ownership 把转手权写死在账户上；CPI guard 限制别的程序在调用里动这个账户；default account state 允许”新关联默认就是某种受限状态”。清单里这些名字听起来平淡，组合起来就是”这枚币对你能做什么”的完整答案。## 清单会生长，审计有版本
扩展清单随版本生长，旧文章列出的名字与链上实际不一致时，以官方页面与账户数据为准。审计信息也带版本：页面写的是”截至 2025 年 3 月 20 日”的完成列表，每一份报告都附被审代码的 commit 哈希（如 Halborn 对应的 c3137a 与 56aaa6、Zellic 对应的 54695b）与报告链接。想确认某条链上的代币依赖哪一版程序，拿哈希去比对是可行路径，这也是把审计从”看过”变成”能复核”的关键一步。
回到 NFT 场景，清单里几项与藏品的关系最直接：非转让扩展把代币变成灵魂绑定形态；永久委托意味着存在一个能替你转的地址；转让钩子可以在每次转账时插入任意校验；元数据指针把名称与符号写到哪合约里；pausable 与受限燃烧把”暂停”和”谁能销毁”变成可开关的配置。买家把它们当作风险开关清单读就够了——这些字段的存在不增值，它们只是说清了规则可能被谁、以什么方式改动。
混搭与共用地址程序
官方页面把组合自由度说得很直接：扩展可以混合搭配，“一个 mint 可以只开转让费、只开付息、两个都开、或都不开”。清单读起来像点菜，实际含义是所有规则被塞进同一个账户数据结构的可选字段里，程序按字段是否存在决定行为。
另一个容易被忽略的兼容性设计是关联代币账户：官方说明仍然只有一个 associated token account 程序，它同时为旧版 Token 与 Token-2022 创建新代币账户。地址派生方式不因程序换代而分裂，钱包不必维护两套派生逻辑。
安全记录与读法
页面公开了审计信息：Token-2022 被多次审计，截至 2025 年 3 月 20 日列出的完成项包括 Halborn 的两份报告（对应不同的被审 commit 哈希）与 Zellic 的报告，均附链接。读一枚开了扩展的代币时，顺序可以是：先确认它开了哪些扩展（不同钱包显示方式不同，可用命令行工具读账户数据），再判断这些扩展给谁留了什么后手——比如存在永久委托或可暂停，意味着有地址能以非常规方式影响你的持仓。
扩展是权限与规则的声明，不是价值保证。本文只描述程序提供哪些可选项，不评价任何资产，不构成投资建议。
发表评论
还没有评论，来说两句吧。
评论区为展示样式，提交不会被处理。