守护密钥：TokenPocket 类钱包防“偷油”技术手册（防御导向）
序章：当一笔交易的“气费”成为诱饵，安全工程师应以更严谨的视角审视每一次签名请求。本手册拒绝任何用于侵害他人财产的说明，旨在为钱包开发者与安全审计人员提供可操作的防御思路。
一、概览与威胁模型
目的：界定攻击面（前端劫持、恶意 dApp、浏览器扩展、社会工程）。评估目标资产（私钥、会话凭证、签名权限）与攻击代价—影响矩阵用于决定缓解优先级。
二、时间戳与可追溯性
要点：在所有关键事件（签名https://www.bjchouli.com ,请求、权限变更、交易提交）打入不可伪造的时间戳与链上关联 ID；确保本地日志采用写时不可变格式（append-only）并异地备份。利用时间戳可支持事后审计与回溯，快速识别异常大额或频繁签名。
三、系统安全边界设计
要点：最小权限原则、隔离执行环境（安全元素或可信执行环境TEE）、严格的密钥管理（硬件隔离优先、密钥分片/阈值签名作为中长期策略）。接口层应显式声明能力与作用域，避免长期无限授权。
四、防 XSS 与前端安全防护
要点：对所有 dApp 通信使用强 CSP、严格输入输出编码、避免内联脚本。对外部内容采用沙箱 iframe 并最小化暴露的 RPC 接口。对用户展示内容实施上下文敏感转义，并在关键操作上阻断自动化脚本调用。
五、交易确认与用户交互设计
要点：交易确认页需以人类可读方式呈现收款方、金额、链上数据摘要与气费上限；对高风险字段（合约批准、无限授权）采用二次确认、延迟签名与高价值阈值锁定。提供可验证的签名回显与本地确认码以防钓鱼替换界面。
六、信息化科技趋势与应对
要点：关注账户抽象（AA）、多方计算（MPC）、智能合约钱包逻辑迁移带来的攻防新面；把握去中心化身份（DID）与链上可验证凭证，以增强设备与用户的多因素认证链路。
七、专业评估剖析与流程化防御
流程（防御化）：1）识别风险—定期威胁建模；2）加固边界—引入硬件密钥与权限最小化；3）检测与响应—行为异常检测、链上与本地日志关联；4）演练与恢复—演习私钥泄露场景与快速回滚机制。每一步均需量化指标（MTTD、MTTR、误报率）以持续改进。
尾声：钱包不是孤岛，生态的安全来自设计的约束与用户教育的齐驱并进。将防御作为默认状态，才能在去中心化的世界里真正守住每一笔资产。
评论
安全小白
很实用的防御思路，特别是时间戳与不可变日志部分，值得在产品里落地。
DevOps_Lin
建议补充对 MPC 实现复杂度与运维成本的说明，但总体角度专业。
链上观察者
关于交易确认页面的二次确认设计，很切合当前钓鱼替换问题，希望能出示 UX 示例。
小陈笔记
强调了前端 CSP 与沙箱的重要性，团队已开始复核现有 dApp 集成策略。