一、先明确深度审计的适用范围
讨论区块链深度审计的适用条件，需要先限定对象。这里主要指智能合约代码、权限设计与关键业务规则的深入安全审查，不代表对整条区块链、全部链外系统或项目经营状况作出评估。“深度”应通过审查范围和验证目标体现，而不是仅凭报告名称判断。
二、资产责任重大或故障难以补救
以太坊开发者安全文档强调，合约可能控制大量价值与数据，部署后的修复又受到链上代码特性的限制。因此，当关键操作直接影响资产保管、余额记录或系统可用性时，更有必要安排深入的独立审查。
判断重点不只是资产规模，还包括错误的影响范围、功能能否恢复，以及是否存在可靠的应急措施。不能因为合约代码较短，就推断其安全责任较轻。
三、权限结构复杂或涉及关键管理操作
OpenZeppelin访问控制文档区分了单一所有者与基于角色的管理方式，并提示默认管理员、所有权交接和权限放弃的风险。当系统涉及增发、暂停、升级或动态授权时，审计应覆盖权限配置及其生命周期。
尤其需要核对设计中的职责分工是否与实际授权一致。角色数量增加不等于风险自动降低；多个角色若仍由同一账户掌握，就不能仅凭角色划分认定已经消除单点风险。
四、业务规则复杂或关键版本发生变化
当安全性依赖多个函数、合约或状态之间的配合时，只确认单个函数能够正常执行并不充分。审查目标应包括关键约束是否始终成立，以及异常情况下能否保持一致状态。
新增管理功能、调整权限关系或修改关键业务逻辑后，应重新判断原审计范围是否仍然适用。旧报告对应的是特定版本和条件，不能自然延伸为对所有后续变更的认可。
五、开展审计前应具备哪些条件
应准备明确的代码版本、功能说明、权限清单、依赖信息和已有测试结果，并说明哪些组件纳入审查。范围不清、代码持续大幅变化，会使发现的问题难以对应到最终部署版本。
同时应安排修复与复核流程，让审计发现形成可追踪的处理记录。审计不是只接收一份报告，还需要确认修复是否落实、是否影响其他功能。
六、常见问题：审计能否保证绝对安全
不能。独立审查是开发与测试之外的补充，不是安全保证。自动化检查也不能替代对业务含义和权限边界的理解。
形式化验证是否意味着不存在任何错误？其结论取决于明确的规范、模型与假设，仅覆盖被证明的性质，不能扩展为整个系统绝无风险。阅读审计结论时，应同时关注覆盖范围、未解决问题和适用版本。