连接只是开始，权限范围才是关键

DApp 连接与账户暴露

连接通常会向 DApp 暴露账户地址和当前网络，但不会自动转移资产。后续签名、授权和合约调用才可能产生更大影响。

连接前应确认网站来源，不在仿冒页面中授权账户。

签名请求的类型

消息签名可能用于登录或确认条款，交易签名会提交链上操作。用户应阅读请求内容，确认与当前任务一致，不理解的签名不要继续。

代币授权与无限授权

代币授权允许指定合约在一定额度内使用资产。无限授权虽然减少重复操作，但扩大了合约被利用时的潜在影响范围。

可根据实际任务设置更小额度，并在完成后取消。

授权检查与取消

通过可信的授权管理工具或区块浏览器检查已授权对象、代币和额度。取消授权通常需要链上交易和网络费用。

• 优先处理陌生合约。
• 取消不再使用的无限授权。
• 检查多个网络上的授权。

恶意合约风险

恶意合约可能诱导用户签署超出预期的权限，或通过仿冒界面隐藏真实操作。仅依赖页面文案不足以判断安全，应结合域名、合约来源和社区信息独立核对。