夜雨聆风
在Web3领域摸爬滚打的开发者，大概都有过这样的经历：代码看起来完美无缺，测试也全绿通过，一部署到主网就出事了。智能合约一旦部署到链上就无法修改，任何漏洞都可能导致不可逆的资产损失。
据估计，因智能合约安全缺陷而遭窃或遗失的总价值轻易超过10亿美元。今天，我们就来盘点Web3开发中最常见的那些坑，希望能帮你少走一些弯路。
坑1：重入攻击——DAO事件的经典教训
重入攻击是智能合约最臭名昭著的漏洞。攻击者利用合约在更新状态之前进行外部调用的时机，递归调用自身函数，反复提取资金。2016年的The DAO事件中，攻击者正是利用这个漏洞盗走了价值6000万美元的ETH。
避坑指南：严格遵守检查-效果-交互模式（Checks-Effects-Interactions），先更新状态再发起外部调用。同时可以引入重入锁（Reentrancy Guard）作为双重防护。
坑2：整数溢出——老版本Solidity的定时炸弹
在Solidity 0.8.0之前的版本中，整数运算默认不检查溢出。一个uint8变量从255再加1会变成0，这种看似荒诞的行为在金融合约中可能造成灾难性后果。
避坑指南：使用Solidity 0.8.0及以上版本（已内置溢出检查），或使用SafeMath库。
坑3：访问控制漏洞——谁都能当管理员
OWASP智能合约十大风险（2025）将访问控制漏洞列为首位风险。权限控制不当意味着任何人都可以调用本该受保护的函数——比如铸造代币、提取资金、修改关键参数。
避坑指南：使用
require或modifier严格限制函数调用权限。对于管理大量资金的合约，应采用多重签名钱包（如Gnosis Safe）来管理所有权和关键操作权限。
坑4：不安全的随机数——链上抽奖=送钱
区块链是确定性系统，不存在真正的随机数。区块时间戳、区块哈希等所谓“随机”数据都可能被矿工操纵。
避坑指南：关键场景（如抽奖、NFT稀有度生成）应使用专业的随机数服务，如Chainlink VRF
坑5：钱包连接——看似简单实则坑多
钱包集成是每个DApp的必经之路，但也是问题高发区。不同钱包对EIP-1193标准的实现完整度不同，兼容性问题层出不穷。
常见问题包括：
useAccount报错：组件没有被WagmiProvider包裹刷新页面后连接状态丢失：未开启
autoConnect或未持久化存储连接器信息WalletConnect二维码加载失败：未传入
projectId或showQrModal未设为true
避坑指南：使用wagmi + viem这套现代化工具栈，配合RainbowKit等成熟的连接器库。务必在主网和多个测试网上做好兼容性测试。
坑6：合约事件监听——从轮询到崩溃的“三天三夜”
一位开发者分享了他的血泪史：为了实时监听Uniswap V3的Swap事件，他先用ethers.js的on方法，结果遇到断连不重连、组件卸载后监听残留、标签页休眠后事件堆积等一系列问题。
改用轮询方式后，又遇到页面卡顿、RPC速率限制被频频触发。最后切换到wagmi v2的useWatchContractEvent才算稳定下来。
避坑指南：不要手写重连逻辑！使用成熟的库如wagmi v2，它内置了重连、清理、批量处理等功能。wagmi v2需要额外安装@tanstack/react-query作为依赖，这一点容易被忽略。
写在最后
Web3开发是一条充满挑战的道路，每一个坑都是真金白银换来的教训。希望这份避坑指南能帮你少交点“学费”。
记住三句话：
安全第一，代码审计不是可选项而是必选项
测试充分，不要相信“我觉得没问题”
选对工具，站在巨人的肩膀上才能看得更远
你在Web3开发中踩过哪些坑？欢迎在评论区分享你的故事。
