只读盯盘只需要你的地址或 API 令牌，而不少“查看资产”页面实际弹出的却是签名请求。本文划清追踪类工具的权限边界，并给出连接前的四步核验。