Web3授权全解析,从原理到实践,教你安全高效地编写授权代码

• 场景：用户希望一个合约能以自己的名义执行某些操作，例如在游戏中装备道具,或在DAO中投票。
• 核心：
  • 直接调用：用户直接调用目标合约函数,但这需要用户自己发起交易并支付Gas。
  • 授权给中间合约/代理：用户授权一个中间合约（如Relay、Wallet Contract）可以调用某个目标合约的特定函数，中间合约在满足条件时（如用户预签名、达到某个时间点）代为执行，这常与EIP-2612（ERC20 Permit）或EIP-712（类型化数据签名）结合使用,实现无Gas交易或延迟授权。

如何编写Web3授权代码（以Solidity为例）

编写授权代码时，安全性和清晰度是首要考虑因素,以下是一些关键步骤和最佳实践：

明确授权范围和期限

• 最小权限原则：只授予完成特定任务所必需的最小权限，如果只需要转移100个代币,就不要授权无限额。
• 设置有效期：对于基于签名的授权（如Permit），务必设置合理的deadline，防止签名被滥用，授权完成后,考虑提供撤销机制。

选择合适的授权标准

• 如果是代币授权，优先遵循ERC20/ERC721标准。
• 如果是需要无Gas授权，考虑实现EIP-2612（ERC20 Permit）。
• 对于复杂授权逻辑，使用EIP-712进行签名验证。

安全编写授权逻辑（示例）

示例1：ERC20代币授权 (Approve)

// SPDX-License-Identifier: MIT
pragma solidity ^0.8.0;
import "@openzeppelin/contracts/token/ERC20/ERC20.sol";
contract MyToken is ERC20 {
    constructor(string memory name, string memory symbol) ERC20(name, symbol) {}
    // approve函数已由OpenZeppelin的ERC20合约实现
    // 用户调用approve(spender, amount)即可授权
}

调用方（DApp前端）：

// 假设已连接用户钱包
const tokenContract = new web3.eth.Contract(erc20Abi, tokenAddress);
const amount = web3.utils.toWei('100', 'ether'); // 授权100个代币
const spender = '0xDexContractAddress...';
// 发送授权交易
await tokenContract.methods.approve(spender, amount).send({ from: userAddress });

示例2：EIP-2612 Permit 实现 (ERC20 Permit)

// SPDX-License-Identifier: MIT
pragma solidity ^0.8.0;
import "@openzeppelin/contracts/token/ERC20/ERC20.sol";
import "@openzeppelin/contracts/token/ERC20/extensions/draft-ERC20Permit.sol";
contract MyPermitToken is ERC20, ERC20Permit {
    constructor(string memory name, string memory symbol) 
        ERC20(name, symbol) 
        ERC20Permit(name) 
    {}
    // 其他函数...
}

调用方（DApp前端）：

const tokenContract = new web3.eth.Contract(erc20PermitAbi, tokenAddress);
const owner = userAddress;
const spender = '0xDexContractAddress...';
const value = web3.utils.toWei('100', 'ether');
const deadline = Math.floor(Date.now() / 1000) + 3600; // 1小时后过期
// 1. 获取nonce
const nonce = await tokenContract.methods.nonces(owner).call();
// 2. 构建domain和types (EIP-712)
const domain = {
    name: await tokenContract.methods.name().call(),
    version: '1',
    chainId: await web3.eth.getChainId(),
    verifyingContract: tokenAddress
};
const types = {
    Permit: [
        { name: "owner", type: "address" },
        { name: "spender", type: "address" },
        { name: "value", type: "uint256" },
        { name: "nonce", type: "uint256" },
        { name: "deadline", type: "uint256" }
    ]
};
// 3. 用户签名消息
const signature = await web3.eth.personal.sign(
    web3.eth.abi.encodeParameters(
        ['bytes32', 'bytes32', 'bytes32', 'bytes32', 'uint256'],
        [
            web3.utils.sha3(`Permit(${types.Permit.map(t => `${t.name} ${t.type}`).join(', ')})`),
            web3.utils.sha3(owner),
            web3.utils.sha3(spender),
            web3.utils.sha3(value.toString()),
            web3.utils.sha3(nonce.toString()),
            web3.utils.sha3(deadline.toString())
        ]
    ),
    owner,
    'password' // 如果钱包需要
);
// 4. 调用permit函数
await tokenContract.methods.permit(owner, spender, value, deadline, signature).send({ from: owner });

示例3：使用OpenZeppelin的AccessControl进行合约内授权

// SPDX-License-Identifier: MIT
pragma solidity ^0.8.0;
import "@openzeppelin/contracts/access/AccessControl.sol";
contract MySecureContract is AccessControl {
    bytes32 public constant ADMIN_ROLE = keccak256("ADMIN_ROLE");
    bytes32 public constant OPERATOR_ROLE = keccak256("OPERATOR_ROLE");
    constructor() {
        _grantRole(DEFAULT_ADMIN_ROLE, msg.sender);
        _grantRole(ADMIN_ROLE, msg.sender);
    }
    function sensitiveFunction() public onlyRole(OPERATOR_ROLE) {
        // 只有拥有OPERATOR_ROLE的地址才能调用
        // ...
    }
    function grantOperatorRole(address to) public onlyRole(ADMIN_ROLE) {
        _grantRole(OPERATOR_ROLE, to);
    }
}

安全