在兑换、存款或质押之前，应用通常要先取得代币使用额度。以 ERC-20 为例，授权会记录“某个合约最多可以从我的地址转走多少这种代币”。额度用完或者由你主动修改、撤销之前，这项权限可以一直留在链上。
最容易混淆的一点：断开网站连接，只是停止前端读取钱包；已经写入链上的代币授权不会因此消失。
四种操作，权限完全不同
操作
它允许什么
是否上链
登录
网站读取公开地址，并发起待确认请求
通常不上链
消息签名
证明地址控制权，或签下某项链下指令
签名本身通常不上链，但可能随后被提交
代币授权
指定合约可在额度内调用代币
通常上链
发送交易
执行转账或合约操作，直接改变链上状态
上链
授权时要看哪几个字段？
资产
授权的是哪种代币
ERC-20 授权通常只影响一种代币；NFT 的 setApprovalForAll 可能覆盖同一系列的全部 NFT。
对象
谁是 Spender（被授权使用代币的地址或合约）
真正取得权限的是合约地址，不一定等于你正在浏览的网站名称。
额度
能动多少资产
核对具体数量，特别留意 Unlimited、无限额度或接近最大整数的数值。
无限授权的问题在哪里？
无限额度使用起来省事，不必每次重新授权；代价是权限会长期留在链上。如果合约本身、管理员权限或前端签名流程后来出问题，未使用的额度仍可能成为风险入口。
举例
本次需要兑换 100 USDC
有限额度允许合约使用 100 USDC
无限额度允许合约长期使用该地址中的 USDC，上限接近协议最大值
有限额度通常更稳妥；是否能自定义额度取决于钱包和应用的实现。
确认授权前，按这个顺序检查
1
确认网络和代币
同名代币可能存在于多条链上。先看当前网络，再核对代币合约地址。
2
确认授权对象
从项目官方文档或可信区块浏览器核对 Spender 地址，不要只认钱包里显示的名称或图标。
3
把额度降到实际需要
能设置自定义额度时，优先给本次操作所需的数量。长期使用的成熟协议是否保留额度，由你自己权衡便利和风险。
4
看清模拟结果再签
如果模拟显示有资产意外转出、授权对象陌生或请求内容与页面不符，直接拒绝。
已经授权，怎么检查和撤销？
选择正确网络Ethereum、Polygon 等网络分别检查
→
查看授权列表核对资产、Spender 和剩余额度
→
撤销不用的权限提交链上交易，把额度改为 0
撤销授权是一笔链上交易，需要支付对应网络的 Gas。它只能阻止之后继续使用该权限，不能追回已经转走的资产。
⚠ 不要在陌生“授权检查器”里再次授权
检查工具本身也可能被仿冒。优先从钱包官方页面或对应区块浏览器进入；如果所谓的“撤销”流程要求输入助记词、向陌生地址转账或再次给出无限授权，立即退出。
本节要点
- 连接网站和代币授权不是一回事，断开连接不会清除链上额度。
- 授权前要核对网络、代币、Spender 地址和额度。
- 不需要长期使用的协议，优先采用有限额度并及时撤销。
- 撤销需要链上交易和 Gas，也不能撤回已经完成的转账。
📝 本节自测
无限授权的风险？
清理不用的授权应？
如何查看已有授权？
判断：无限授权是福利无需处理。
得分：0 / 4