适用范围：先区分安全层次
理解“owasp区块链安全需要注意哪些问题”，需要区分应用逻辑是否安全与链上信息是否得到充分验证。这里讨论以太坊智能合约和比特币客户端的通用原则，不将其对应为OWASP官方风险编号、检查清单或认证要求。
合约权限正确，不能替代客户端对链上数据的验证；节点验证充分，也不能证明合约业务逻辑没有缺陷。安全评估应分别说明这两类边界。
合约侧：权限、异常处理与审查
以太坊开发者安全文档强调敏感操作的访问控制、条件检查、多种测试及独立审查。角色分工和多签可降低单一管理账户带来的风险，但审计不能发现所有漏洞。
权限检查应围绕具体操作展开：谁能增发、暂停或升级，谁能授予这些权限。多个账户承担不同角色，并不等于一次操作必须得到多人批准；角色分工与多签解决的问题不同。
输入合法、调用者获授权和内部状态一致，也属于不同检查目标。require通常检查前置条件，assert检查内部不变量，revert用于主动终止异常执行。检查应贴合业务约束，不能只看是否使用了这些语句。
验证侧：区分交易存在与交易有效
比特币开发者指南区分全节点与简化支付验证（SPV）：全节点验证区块及交易规则，SPV主要依赖区块头和交易包含证明。后者存在信息遗漏、网络隔离及查询隐私风险。
交易包含证明回答的是某笔交易是否被收录，不能独立证明区块中的所有交易均符合规则。选择验证方式时，应明确哪些判断由客户端完成，哪些依赖外部节点。
连接更多节点也不自动意味着信息来源独立。若连接受到同一方控制，数量增加仍可能无法解决信息被隐瞒的问题。
常见问题：测试充分是否就能保证安全
单元测试通过，只能说明已编写的测试场景满足预期。安全测试还需要关注边界输入、异常调用和状态变化，检查关键约束是否持续成立。
形式化验证的结论受所选规范、模型和假设限制，不能扩展为整个系统绝对安全。独立审查同样需要明确审查范围，避免把一次检查结果当成所有后续变更的保证。
涉及客户端隐私时，还应考虑查询行为暴露了什么。链上地址与使用者之间的关联，可能通过向节点请求特定交易信息而变得更清晰。