智能合约开发中13种最常见漏洞及修复（精华版）

智能合约一旦部署便不可篡改，安全漏洞往往直接导致资产损失。本文提炼13种常见漏洞中最重要的8种，用最简洁的方式给出原理与核心修复方案。

---

1. 重入攻击

原理 ：先转账后扣款，攻击者通过递归调用不断提款。

修复 ：先更新状态，再转账。

balances[msg.sender] -= _amount;
msg.sender.transfer(_amount);

2. 整数溢出与下溢

原理 ：数值超出范围时回绕（溢出归零，下溢变最大值）。

修复：使用 Solidity 0.8+ 内置检查，或 SafeMath。

balance = balance + amount;  // 0.8+ 自动抛出异常

3. 未授权访问

原理 ：提款、重置等关键函数未加权限限制。

修复：添加访问修饰器。

modifier onlyOwner() { require(msg.sender == owner); _; }
function withdraw() public onlyOwner { ... }

4. 断言失败导致锁死

原理 ：assert() 用于不可恢复的内部错误，一旦失败 Gas 全耗且资金可能永久锁定。

修复 ：外部校验改用 require()。

// assert(msg.sender == owner)
require(msg.sender == owner, "Not owner");

5. 时间戳依赖

原理 ：矿工可小幅度操纵 block.timestamp，影响博彩、截止时间等。

修复：用区块高度替代精确时间戳。

deadline = block.number + blocksToWait;

6. Gas 耗尽与 DoS 攻击

原理 ：无限循环或海量遍历耗尽调用方 Gas，导致交易回滚。

修复：限制循环次数，避免遍历动态数组。

require(n <= 1000, "Loop limit");
for(uint i=0; i<n; i++) { ... }

7. 权限管理不当

原理 ：管理员权限过大（如无限铸币），私钥泄露即灾难。

修复：分权、多签、日限额。

require(dailyMinted + amount <= dailyLimit, "Over limit");

8. 存储与计算效率低下

原理 ：数组动态扩容和全量遍历消耗巨额 Gas。

修复：用映射 + 计数器代替数组。

// 映射加计数器
mapping(address => bool) public voted;
uint256 public totalVotes;

---

以上为精华版，本文原版共涵盖 13 种漏洞 ，包括短地址攻击、代理漏洞、随机数漏洞等，并附详细攻击演示与审计代码。

🔗 阅读完整版请访问： https://www.jay-r-j.top/smart-contract-vulnerabilities/