imtoken｜Web3 教程

DApp 指南从域名验证开始

连接钱包前核对完整域名、入口来源和当前账户。连接只建立会话，不等于同意交易，也不需要输入助记词或私钥。

首次使用时先确认网站能正确识别账户和网络，再进行下一步。

登录签名、消息签名、结构化签名和交易签名后果不同。阅读钱包弹窗时，要把请求类型与网页上刚刚执行的动作对应。

看不懂的请求应拒绝并查询，而不是把签名当作固定步骤。

代币授权会给某个合约使用额度，应检查网络、代币合约、spender 和 allowance。

断开连接不能替代取消授权，不再使用的权限需要单独评估。

智能合约交互不仅看网站名称，还要确认目标合约、金额、函数参数和可能的权限。

合约失败时先查交易原因，不要为了通过而连续扩大授权。

NFT 应用网络、合约地址和 token ID 识别。陌生 NFT 或空投链接不应成为连接未知网站的理由。

交易市场中还要单独检查 operator approval、价格和签名。

不要把多个确认弹窗当作一个连续动作

每个签名、授权和交易都应单独审查。

完整流程可以拆成：验证域名 → 连接账户 → 确认网络 → 阅读签名 → 检查授权 → 执行合约 → 核对交易 → 清理连接与权限。每一步都有不同风险点。

当页面跳过中间解释，直接要求签名或授权时，用户仍可以回到这个顺序判断当前请求处于哪一层。

任何一步要求恢复短语、私钥或验证码，都不属于正常 Web3 使用所需信息。第三方 DApp 和智能合约也可能有独立风险，因此应根据实际目的决定是否继续。

还可以为常用 DApp 建立简单的个人核验记录：保存正式域名、常用网络以及自己能够识别的核心合约来源。再次使用时仍然逐次检查钱包弹窗，但有了历史基准，更容易发现域名变化、网络突然切换或授权对象与过去不一致等异常。