适用范围：从通证接口理解安全边界
区块链通证安全涉及哪些技术概念，需要结合通证运行环境讨论。这里以以太坊智能合约和 ERC-20 通证为范围，不将具体接口规则推广到所有区块链。Ethereum 开发文档关注权限与代码验证；OpenZeppelin 的 ERC-20 文档则说明余额、授权及扩展功能的实现边界。
理解安全可以从三个问题入手：谁能改变通证状态，改变时必须满足什么条件，如何检查这些条件不会被绕过。接口标准解决交互方式的一致性，并不等于对全部业务规则作出安全保证。
访问控制：可调用不等于有权操作
访问控制用于限制增发、暂停等敏感操作。所有者模式集中管理权限，角色模式划分职责，多签则要求多个签名共同批准操作。它们处理的都是权限问题，但作用并不相同。
常见误解是把角色拆分等同于消除单点风险。如果关键角色仍由同一主体控制，实际控制权并未充分分散。分析权限时，应同时看角色定义、持有者和批准条件，而不只看管理员地址数量。
额度授权：余额与使用权是两回事
ERC-20 将持有人余额与第三方可代用的额度分开记录。授权改变的是使用权限，不是立即转移余额；代用转账还需要满足余额和额度条件。OpenZeppelin 文档也提示，修改既有额度可能受到交易排序影响。
授权风险因此不能只看签署当时是否发生转账，还要看被授予的权限范围。无限额度与有限额度的区别在于持续可用的权限边界，并不表示账户实际拥有无限通证。
状态约束：让异常操作不能完成
输入检查、异常回退和不变量共同约束合约状态。不变量是预期始终成立的规则，例如设有供应上限的通证不应突破该上限；这一条件只适用于确实设计了上限的合约。
需要区分“检查生效”和“规则正确”：程序可以严格执行一条设计错误的规则。因此，安全评估既要检查异常是否回退，也要检查约束本身是否符合业务含义。
测试与审计：结论都有适用边界
单元测试检查具体案例，模糊测试探索更多输入，静态分析检查代码路径，形式化验证证明模型在明确假设下满足指定性质。独立审计则提供额外检查视角。
通过测试或审计不代表不存在漏洞；形式化证明也不覆盖未写入规格的要求。较完整的安全判断应把权限设计、状态规则与验证范围对应起来，而不是把某一种工具或一份报告当作最终保证。