钱包添加自定义代币时，弹窗三行元数据可能来自任何人维护的列表文件。本文按 TokenList 规范讲清图标与名称的可信边界，教你用合约地址、链上查询与已验证源码把三项逐条对上。