适用范围
“宁波区块链安全检查相关术语如何理解”涉及地域场景和通用安全概念。以下解释适用于理解区块链系统的技术检查，不代表宁波当地已有特定检查项目、流程或合格标准。以太坊合约的语言机制，也不能直接套用于所有区块链平台。
威胁、漏洞与风险
NIST SP 800-30 Rev. 1将风险评估置于整体风险管理过程中，用于支持组织决定如何应对已识别的风险。理解检查报告时，可将威胁理解为可能造成损害的因素，将漏洞理解为可被利用的弱点；风险则需要结合损害发生的可能性与影响判断。
例如，敏感功能缺少身份校验属于弱点，未经授权的调用可能触发损害。报告中发现漏洞，并不等于已经发生攻击；风险等级也需要结合权限范围和业务后果解释。安全控制是降低风险的措施，采取措施后仍存在的风险称为残余风险。
访问控制与多签
以太坊开发者安全文档涵盖访问控制、执行条件校验、测试和独立审查等防护方法。访问控制回答“谁可以执行哪些操作”；所有者模式将特定权限交给指定地址，基于角色的控制按职责分配权限，多签则要求达到签名门槛才能执行操作。
角色分工与多签解决的问题不同：前者关注权限分配，后者关注共同授权。多个管理员并不自动消除单点故障，还需关注高权限是否集中、签名密钥是否由同一主体控制。
条件校验、测试与验证
在Solidity中，require常用于检查输入、权限或执行条件，assert用于检查预期始终成立的内部条件，revert用于主动触发回退。检查重点是这些条件是否覆盖业务约束，仅出现相关语句不能证明安全。
单元测试检查选定用例；静态分析在不执行合约的情况下分析代码；模糊测试通过大量生成输入寻找异常。形式化验证针对明确的规格和模型证明特定性质，其结论受假设及覆盖范围限制，不能解释为整个系统绝无缺陷。
常见问题：审计通过是否等于检查合格
独立审计能增加发现问题的机会，但不能保证发现全部漏洞。阅读结论时，需要关注审查的代码版本、覆盖范围、发现的问题及修复验证情况。
技术审计结果也不能直接替代地方检查或合规认定。判断某项结论是否适用于具体系统，应先核对检查对象和适用标准，再确认其证据是否覆盖相关功能与实际配置。