Web3 安全

解释单一默认管理员、begin与accept两步交接、延迟变更和放弃角色，说明与普通AccessControl的约束差异。能依据一手来源识别AccessControlDefaultAdminRules的真实状态，避免只凭界面

拆解operationid、predecessor、salt、最短延迟与Waiting、Ready、Done状态，说明Proposer、Canceller、Executor和Admin权限。能依据一手来源识别Timelock

说明在Token账户启用CPIGuard的步骤、被限制的转账与授权操作，以及它为何不能替代签名和程序权限检查。能依据一手来源识别Token-2022CPIGuard的真实状态，避免只凭界面标签或二手摘要操作。

解释mint级永久代理可转移或销毁任意账户代币、由谁轮换以及为何账户持有人无法单独撤销。能依据一手来源识别Token-2022PermanentDelegate的真实状态，避免只凭界面标签或二手摘要操作。

解释Relayer、TrustedForwarder与Recipient的调用链，说明末尾20字节发送者、nonce验证和isTrustedForwarder检查。能依据一手来源识别ERC-2771元交易的真实状态，避免只凭

解释预部署合约钱包签名包装、factoryCalldata与magicbytes，给出先检测包装、再部署或模拟、最后按ERC-1271验证的顺序。能依据一手来源识别ERC-6492反事实签名的真实状态，避免只凭界面标签或二手

Chainlink Proof of Reserve把指定储备数据发布为链上Feed。本文说明代理、decimals、updatedAt、资产供应对比及负债盲区。

地址投毒利用首尾相似地址污染交易历史。本文给出零值诱饵取证、完整地址复核、白名单和误转后的处置流程。并补充跨链网络核对、硬件钱包完整地址确认、企业地址簿双人变更与误转后的证据保全步骤。

SIWE把域名、地址、URI、chain ID、nonce和时间写进标准登录消息。本文给出服务端逐项验证、一次性nonce与会话绑定流程。同时覆盖EOA与ERC-1271合约钱包的不同验签路径，以及cookie、并发nonce和代理头等传统Web安全边界。

用攻击者抢跑、用户成交、攻击者尾随三笔交易解释三明治攻击，说明滑点、价格影响、拆单和受保护提交如何组合防护。同时区分正常价格影响与MEV损失，给出链上复盘证据、动态最小到账和私有提交失败回退的检查方法。