断开钱包与撤销代币授权：为什么两件事都要检查？

在DEX交易后，即使断开网站连接，代币使用授权仍可能存在，因为“断开连接”和“撤销授权”处理的是不同事情。操作前应先弄清钱包页面允许了什么。

连接、授权与签名的区别

• 连接钱包：允许网站查看公开地址等信息，并向钱包发送请求。仅连接并不会赋予取走全部代币的权限。
• 代币授权：允许指定地址（spender）在一定额度内使用你的代币。该地址可以是智能合约，也可以是普通账户地址。ERC-20的allowance就是典型例子。
• 签名：用密码学方式证明对消息或请求的同意。它可以用于登录确认，也可能通过Permit等机制影响资产使用权限。

“不需要Gas的签名”并不自动等于安全。应核实要签署的数据及请求服务的地址。

为什么断开连接不会自动取消授权？

网站连接状态属于钱包的连接管理，而代币授权可能记录在区块链合约中。因此，断开连接后，原有授权仍可能有效。

撤销授权是减少或取消权限的独立操作，普通链上撤销通常需要网络手续费。部分NFT授权覆盖整个系列，更应注意权限范围。

检查使用权限时

1. 在钱包官方帮助中查找授权检查方法。
2. 对照网络、代币与获授权地址（spender）。
3. 检查长期不用的服务和不必要的大额授权。
4. 在区块浏览器核实撤销交易是否成功。

陌生链接以“安全检查”为由索要恢复短语时，不要输入。如果私钥或恢复短语已经泄露，仅撤销授权无法解决。密钥泄露与授权暴露，是不同问题。

参考资料

support.metamask.io
ethereum.org