智能合约总出bug？老程序员的调试避坑指南

写智能合约这行当快八年了，见过太多项目因为一个低级错误血本无归。调试这东西，听起来简单，实际踩过的坑能写本书。今天把压箱底的实战经验掏出来，不整那些虚的，直接说能落地的东西。

智能合约常见bug有哪些

Reentrancy攻击是老生常谈了，但每年还是有新项目栽在这上面。核心逻辑没理解透就敢上主网，结果被人提款提到破产。上次有个DeFi项目，调用外部合约之前没检查返回状态，被黑客利用，损失两千万美金。这种bug不是玄学，就是写代码时懒得加校验。

整数溢出虽然Solidity 0.8已经默认处理了，但很多人还在用旧版本。还有访问权限控制不当的问题，把管理员函数暴露给外部调用，等于把保险柜钥匙挂在大门口。这些都不是高深问题，缺的只是一点责任心。

智能合约调试用什么工具好

Remix是入门必备，界面简陋了点，但断点调试功能够用了。配合Hardhat的console.log，能在链上打印变量值，这对排查逻辑错误特别有用。别迷信图形化工具，学会读字节码才是真本事。

Forc和Foundry这对组合近年挺火的。Foundry的模糊测试可以自动跑几千组输入数据，比人工测边界条件高效得多。Slither做静态分析也不错，能扫出一堆潜在风险点。但这些工具都用不好的人，最后还是要自己一步步trace gas消耗。

智能合约漏洞如何预防

写代码前先把状态机图画明白，哪些函数能改什么状态，调用顺序怎么限制，脑子里要有清晰的图。很多人debug半天，回头发现设计阶段就埋了雷。 接口设计尽量简单，函数职责单一，越复杂越容易出bug。

测试覆盖率不是数字游戏，要覆盖正常路径、异常路径、边界条件。建议至少做到90%以上，关键函数要单独写fuzzing测试。上主网前多过几轮审计，别省这笔钱，修bug的成本比审计贵十倍。