😍Phantom
😍Solflare

😍存 SOL
😍签名操作

😍支付手续费
😍创建账户

Solana Token Creator

😍solana CLI
😍spl-token 工具

代币名称（Name）
简称（Symbol）
总量（Supply）
小数位（Decimals，常用9）

😍使用“Checks-Effects-Interactions”模式，在调用外部合约之前，先修改合约状态。
😍利用Reentrancy Guard（重入保护）来阻止递归调用。

如果合约在进行算数运算时，数值超出了数据类型的范围（例如 uint256 数值超过其最大值），可能会导致预期之外的结果，如负数、错误的余额等。

😍在 Solidity 中，使用 SafeMath 库进行所有的数学运算，确保不会出现溢出。
😍Solana 或其他平台类似的合约框架也提供了防溢出功能。

很多代币合约都允许用户通过 approve 和 transferFrom 来进行代币授权操作。如果授权机制没有适当的检查，可能会出现double-spending（双重花费）的问题，即用户可以被允许多次消费相同的代币。

😍避免“无限授权”。
😍使用increaseAllowance 和 decreaseAllowance 替代直接的 approve 调用。

如果合约中没有正确设置权限控制，或者权限分配不清晰，攻击者可能会获得过高的权限，进行未授权的代币转账或增发。

😍权限要正确分配，例如使用 Ownable 设计模式，确保敏感操作只能由特定用户执行。
😍对于铸币权（minting）和冻结权（freeze）等权限，要谨慎设置，特别是应该考虑放弃权限的机制。

Solana智能合约具体实现

😍 创建合约时创建权限表：在executive执行创建时，额外创建权限表即可。

😍 提供权限表的读写操作接口：提供/sys/contractAuth系统合约，专门作为访问权限表的系统合约。solidity使用0x1005地址。

😍 系统合约ContractAuth接口

function getAdmin(address contractAddr) public view returns (address) {}

function resetAdmin(address contractAddr, address admin)
        public returns (int256);

function setMethodAuthType(
        address contractAddr, bytes4 func, uint8 authType)
        public returns (int256);

function openMethodAuth(
        address contractAddr, bytes4 func, address account)
        public returns (int256);

function closeMethodAuth(
        address contractAddr, bytes4 func, address account) 
        public returns (int256);

function checkMethodAuth(
        address contractAddr, bytes4 func, address account)
        public view returns (bool);

function deployType() public view returns (uint256);

function setDeployAuthType(uint8 _type) public returns (int256);

function openDeployAuth(address account) public returns (int256);

function closeDeployAuth(address account) public returns (int256);

function hasDeployAuth(address account) public view returns (bool);

😍 用户可以通过 link 接口创建合约软链接资源，将会在/apps 目录下创建对应的资源，例如：调用link时参数为 Hello v1 0x123456，合约名为Hello，v1为版本号，0x123456为真实合约地址，将会创建 /apps/Hello/v1 合约软链接资源。

😍 同样的，用户可以通过 link 接口覆盖写入合约软链接资源，例如：再次调用link时参数为 Hello v1 0x666888，将会覆盖写入/apps/Hello/v1 合约软链接资源。

😍 用户可以通过控制台的 call 命令直接调用合约软链接，实现对真实合约的调用。

😍 用户可以通过调用 readlink 接口获取合约软链接的真实合约地址，在调用合约时也可以读取合约地址和ABI进一步调用。

😍 重入攻击：是由于外部函数对合约的send()或者call.value()方法进行了递归调用造成的漏洞，解决办法是改为使用transfer()，该方法只能被调用一次。需要注意的是合约中应避免使用send()或者call.value()方法，以免受到重入攻击；

😍 访问控制攻击：是由于合约未设置函数的访问权限而造成的漏洞，解决办法是为函数加一个onlyOwner修饰符，限制函数访问；

😍 整数溢出：是由于在这个语言中，要计算的数如果超过了EVM能处理的数字范围（0~2256-1）就会重新从0或2256-1开始计数，解决办法是智能合约中只要是数学计算都使用safe-Math库；

😍 未检查返回值：是由于合约使用了send()或call.value()函数，却没有检查函数是否执行成功就进行下一步操作导致的漏洞，解决办法是校验成功后再下一步；

😍 拒绝服务：是由于攻击者恶意回退函数执行失败，使得原合约无法进行下一步操作而造成的漏洞，解决办法是把主动退款改为让用户申请退款，这样一个用户退款失败不影响合约继续执行。 这里需注意的是智能合约中能写成pull形式（用户主动发起调用）的代码不要写成push形式（合约主动执行操作）的代码；