在Uniswap第一次做Swap的时候，钱包弹出一个界面，上面写着"允许Uniswap使用你的USDC"，金额那一栏默认显示了一串长得吓人的数字。大部分人看都没看，点了确认。那串数字，就是无限授权。这个动作可能是你在链上做过的最危险的操作之一。它跟你用银行卡付款完全不是一回事，授权不是付这笔钱，而是允许这个合约以后随时从你钱包里划走这种币，额度不限。理解无限授权和有限授权的区别，是链上安全的分水岭。跨过去，你能精准控制风险；跨不过去，钱包里所有币都在裸奔。      各大交易所：欧易官网  币安官网  芝麻Gate

授权到底是什么，先把这个搞明白，后面才能判断该点什么。

ETH是原生资产，你转账时自己签名就行，不用经过第三方。但USDC、USDT、DAI这些ERC20代币是智能合约管理的，你要跟另一个合约交互，比如去Uniswap换币，需要先允许那个合约调用你钱包里的代币。这个允许的动作就是授权。授权本身不是付款，付款是后面那步TransferFrom，你先授权了对方才能在授权额度内把钱转走。你把授权额度设为无限，等于给这个合约开了一张无限额的空白支票。它今天不用不代表明天不用，它本身安全不代表它不会被人攻击。无限授权的额度是极大值通常为2的256次方减1，合约能划转的上限是你钱包里现在及将来存入的所有该代币，最大损失就是你钱包里全部的该种代币。有限授权的额度是你手动填写的具体金额，合约能划转的上限仅限于你设定的金额，最大损失锁定在你授权的那笔金额内。无限授权后续交互不用重复授权省Gas，有限授权每次用完额度需要重新授权多花一次Gas。高频使用的核心协议比如Uniswap、AAVE适合无限授权，第一次交互的陌生协议或不再计划复用的合约适合有限授权。

DeFi协议默认申请无限授权，不是想害你，是历史遗留问题和用户体验的妥协。

早期DeFi协议为了减少用户的摩擦成本，每次Approve都要消耗Gas，以太坊主网高峰期一次授权就要几十U。默认申请无限额度，用户只需要授权一次以后无限次交易都不用再授权，这在当时是最优设计。但代价是用户对授权这个动作完全无感。你第一次用Uniswap点授权的时候，看到的可能是一个天文数字般的金额，心里想的是我在换币，而不是我在给这个合约一张从我账户里无限划走USDC的永久通行证。有些协议已经在改进，比如Uniswap的Permit2机制允许用户只授权一笔特定金额同时授权有效期可以设置，但大多数传统DeFi协议默认还是无限授权。

有限授权怎么操作，其实就改一个数字的事。

授权界面里通常有一个额度输入框，默认填着无限或者一串极大的数字。你要做的就是把那个数字删掉，填上这次交互需要的金额。如果你打算换1000 USDC，额度框里就填1000。如果你觉得以后可能还会用，可以适当多填一些比如1500或2000给自己留个余量，但绝不要为了图省事填无限。如果钱包不支持自定义额度，少数老协议确实没有改额度的入口，可以通过Revoke.cash这类工具先手动发起一笔有限授权的交易再去DApp里操作。多花这一次Gas买的是整个钱包的安全。在以太坊Layer2或侧链上Gas已经降到几美分，有限授权的成本几乎可以忽略不计。还拿省Gas当理由给无限授权的，基本是习惯使然不是理性选择。

无限授权最危险的两个场景，碰到任何一个都够你喝一壶的。

第一个是跟陌生协议交互。你在推特上看到一个新矿，点进去连钱包，页面提示授权USDC以开始挖矿，你点了，额度是无限的。几个小时后钱包里所有USDC没了。这不是协议漏洞，是协议本身在设计时就写了无限提款的后门。匿名团队的协议、未审计的项目、社交群里私信推的链接，只要授权是无限的，风险等级直接拉到最高。第二个是授权给正常协议但协议后来被攻击。这不是协议的错也不是你的错，但损失由你承担。一个有审计有声誉的DeFi协议可能因为合约升级、依赖库漏洞、治理攻击等原因被黑。攻击者控制合约后会第一时间扫描所有对该合约做过无限授权的地址批量清空，这种情况历史上发生过多次，受害者全是无限授权的用户。这两种场景有一个共同的破局点就是有限授权。第一个场景你只授权了100 USDC损失最多100。第二个场景你授权额度已经用完，因为你在上次交互后就花掉了对应的币种余额，攻击者拿到合约也动不了你的钱。

管理授权和设置权限是两件事，光设置一次不够，得定期清理。

用Revoke.cash或钱包自带的授权管理模块，每月至少检查一次。无限授权的合约里哪些是你还在用的，哪些是一年前碰过一次就忘了的。还在用的如果支持改为有限额度，撤旧授权重新授一个有限额度。不再用的直接撤销。也提醒身边刚进圈的朋友，他们第一次用Uniswap点授权时不知道那个无限是真实存在的风险。你花两分钟讲清楚，可能帮他们避免一笔巨额的学费。

授权这个机制，设计初衷是赋予DeFi可组合性，但执行层面给了用户一个教科书式的风险与便利的权衡。你愿意为每次交易多花一分钟设置有限额度，还是愿意赌自己的钱包永远不会跟恶意合约打交道？链上世界没有中间选项，每次点确认，都是在你钱包的安全边界上画一条线。

免责声明：本文仅为链上安全操作经验分享，不构成投资建议。智能合约交互存在固有风险，授权操作不可逆，请务必在操作前核实合约地址并独立评估风险，作者不对任何资产损失担责。