低级漏洞合集
简介 此章节主要整理一些智能合约开发中的低级漏洞，适合初学者了解和防范。这些漏洞虽然"低级"，但在实际项目中仍然频繁出现，可能导致严重的安全问题 不正确的 NatSpec 注释 什么是 NatSpec NatSpec（Ethereum Natural Language Specification Format）是 Solidity 的文档格式标准，用于生成用户文档和开发者文档 常见问题 // ❌ 现实审计中高频出现：transferFrom 注释完全错误 /// @title 代币转账函数 /// @notice 将代币从接收者地址转给发送者地址 ← ❌ 完全颠倒 /// @dev 使用用户的授权额度进行转账 /// @param from 接收代币的人 ← ❌ 注释与代码逻辑相反 /// @param to 发送代币的人 ← ❌ 注释与代码逻辑相反 /// @param amount 转账数量 function transferFrom(address from, address to, uint256 amount) external returns (bool); // ✅ 正确的 NatSpec 注释 /// @title 授权转账函数 /// @notice 从 `from` 账户扣除代币并转入 `to` 账户 /// @dev 需要调用者拥有足够的授权额度 /// @param from 代币来源账户（被扣款方） /// @param to 代币接收账户 /// @param amount 转账代币数量 /// @return success 转账是否成功 function transferFrom(address from, address to, uint256 amount) external returns (bool success); NatSpec 标签说明 @title：合约或函数的标题 @author：作者信息 @notice：给最终用户看的说明 @dev：给开发者看的详细说明 @param：参数说明 @return：返回值说明 @inheritdoc：继承父合约的文档 将隐私信息存于链上 问题描述 开发者误以为将变量声明为 private 就能保护数据隐私。 ...