惯性聚合 高效追踪和阅读你感兴趣的博客、新闻、科技资讯
阅读原文 在惯性聚合中打开

推荐订阅源

D
Docker
Simon Willison's Weblog
Simon Willison's Weblog
H
Help Net Security
F
Fortinet All Blogs
H
Heimdal Security Blog
S
Schneier on Security
L
LangChain Blog
博客园 - Franky
酷 壳 – CoolShell
酷 壳 – CoolShell
NISL@THU
NISL@THU
P
Palo Alto Networks Blog
J
Java Code Geeks
博客园 - 【当耐特】
The Last Watchdog
The Last Watchdog
W
WeLiveSecurity
www.infosecurity-magazine.com
www.infosecurity-magazine.com
OSCHINA 社区最新新闻
OSCHINA 社区最新新闻
V
Vulnerabilities – Threatpost
I
InfoQ
Recorded Future
Recorded Future
钛媒体:引领未来商业与生活新知
钛媒体:引领未来商业与生活新知
C
CERT Recently Published Vulnerability Notes
T
Tenable Blog
腾讯CDC
C
Check Point Blog
量子位
M
MIT News - Artificial intelligence
GbyAI
GbyAI
罗磊的独立博客
Threat Intelligence Blog | Flashpoint
Threat Intelligence Blog | Flashpoint
B
Blog
小众软件
小众软件
cs.AI updates on arXiv.org
cs.AI updates on arXiv.org
奇客Solidot–传递最新科技情报
奇客Solidot–传递最新科技情报
C
CXSECURITY Database RSS Feed - CXSecurity.com
Stack Overflow Blog
Stack Overflow Blog
P
Proofpoint News Feed
P
Privacy & Cybersecurity Law Blog
V2EX - 技术
V2EX - 技术
T
Threatpost
Engineering at Meta
Engineering at Meta
Attack and Defense Labs
Attack and Defense Labs
T
Tailwind CSS Blog
S
Securelist
The Cloudflare Blog
博客园 - 叶小钗
L
LINUX DO - 最新话题
T
Troy Hunt's Blog
C
Cyber Attacks, Cyber Crime and Cyber Security
爱范儿
爱范儿

博客园_首页

Linux实操--组管理、权限管理和定时任务 Java + EasyExcel 实现单个接口导出多个Excel Mem0 源码解析系列(二):提示词工程的深度剖析 Openclaw TaskFlow究竟是什么?和普通Skill技能有什么区别 博文阅读密码验证 - 博客园 嘉立创开源:应该是全网MicroPython教程最多的开发板 Hermes Agent 集成实践:从协议到生产 2026年AI编程工具横评:Cursor、Codex、Claude Code、Zed、Windsurf Java程序员必看的RAG入门教程 2026 AI效率神器:Superpowers + Claude Code 保姆级教程 本地大模型部署全攻略:从 0 到 1 玩转 Ollama 【从0到1构建一个ClaudeAgent】内存管理-上下文压缩 .NET 高级开发 | 设计、实现一个事件总线框架 电子小白入门之NE555 3. WorkBuddy:隐藏玩法,一键召唤专家,让 AI 以"专家身份"给你干活 和AI一起搞事情#3:Claude Teammate 游戏开发翻车实录 【OpenClaw】通过 Nanobot 源码学习架构---(7)Memory C# .NET 周刊|2026年3月3期 我在 Debian 11 上把 K8s 单机搭起来了,过程没你想的那么顺(/opt 目录版) 深度学习进阶(七)Data-efficient Image Transformer CLI+Skill搭建浏览器AI自动化框架,告别一切重复枯燥任务 告别Token账单无底洞:OpenClaw本地部署,重塑企业数据主权的唯一解 FastAPI+Vue:文件分片上传+秒传+断点续传,这坑我帮你踩平了! SBTI 爆火后,我做了个程序员版的 CBTI。。已开源 + 附开发过程 多模态检索开始进入工程期:用 Sentence Transformers 搭建可落地的 Multimodal RAG 100多行代码实现一个最简单的Agent(用ReAct) Claude Code 通关手册(八):推荐 5 个 Hooks,代码质量提升 3 倍 老板:“有人截图了!”。安全部门:“收到,马上查暗水印!” - why技术 技术之外,皆是人间 C#/.NET/.NET Core技术前沿周刊 | 第 69 期(2026年4.01-4.12) Snack JSONPath 项目架构分析 Claude Code Buddy 小析:一个非核心功能,如何体现产品的细节完成度 AI新时代下的图床管理方案-Cloudflare图床+MCP+Skills方案指南 化繁为简:顺丰速运App如何通过 HarmonyOS SDK实现专业级空间测量 从零实现富文本编辑器#13-React非编辑节点的内容渲染 AI开发-python-langchain框架(3-23-OpenAI Functions风格Tool Calling智能助手) .NET + AI 进阶实战:基于类的技能开发 - 打造可治理的 Agent 能力模块 【从0到1构建一个ClaudeAgent】规划与协调-技能 上周热点回顾(4.6-4.12) 电子小白的工具三件套:面包板、杜邦线、万能板 单表五亿数据的查询优化 | Mysql、StarRocks 2. WorkBuddy:从“我是谁”到“帮我干活” C# 如何减少代码运行时间:7 个实战技巧 基于HelixToolkit.SharpDX 渲染3D模型 - 笺上知微 从零开始的双臂具身VLA起源及现阶段发展综述 - SkyXZ 记对 xonsh shell 的使用, 脚本编写, 迁移及调优 - pluvium27 受够了Vibe Coding的失控?换个起点,让AI事半功倍 从开始配置漏洞环境到漏洞复现流程 - 難しい 关于10年工作经验的程序员对OpenClaw的实战经验分享以及看法 - 虚无境 Any metadata 的内存布局 C# .NET 周刊|2026年3月2期 - InCerry 我帮你测过了,测试圈排名第二的 Skill 依然很牛逼 Skill Discovery | 无监督技能发现的经典工作总结 - MoonOut PbootCMS 网站内容数量多导致访问慢?这些实用优化方案帮你提速! - 家兴网络技术工作室 上下文工程是什么?过时了么?一文讲明白! - 一枫说码 网站漏洞怎么发现并修复?一篇实用指南(附完整流程) - 家兴网络技术工作室 开了 TUN 模式还是直连?90% 的人都踩过这个坑 Github日报|2026年04月12日 - AI一族 AScript扩展多种脚本语言 - rockey627 AI 学习笔记:Agent 的记忆机制 你能被装进一个文件里吗?——7 万人把同事"蒸馏"成了 AI - 我没有三颗心脏 Claude Code 通关手册(七):给 AI 装上技能包——Skills 完全指南 - 暮色之狐 在浏览器中快速编辑代码:VSCode Web 集成实践 - Newbe36524 蒸馏自己 skill?基于 Deepseek 的蒸馏器,丐版蒸馏方式,简单便捷 - To_Carpe_Diem Spring AI Aliababa和AgentScope,哪个更好? - 苏三说技术 Etsy 把 1000 个 MySQL 分片迁进 Vitess:425TB 数据背后的真正问题不是性能,而是运维规模 MicroPython LVGL基础知识和概念:底层渲染与性能优化 - FreakStudio 数据库草图算法 Python 潮流周刊#146:CPython 引入 Rust 的进展 - 豌豆花下猫 最小生成树 - mofei1116 红日靶场七:从外网入口、容器逃逸到 AD 接管的完整利用链复盘 - YouDiscovered1t 分享四款开源且实用的 Kafka 管理工具 - 追逐时光者 vLLM 权重加载机制全解析:从挑战到理想架构 LCT 学习笔记 - ACehomoxue Avalonia UI 12.0.0 正式发布:架构演进和性能飞跃 - 张善友 当 AI Agent 把调用链拉长,延迟开始成为一门生意 conhost.exe 无法显示 U+2717 - 145a 太秀了,我把自己蒸馏成了 Skill!已开源 - 程序员鱼皮 ASP.NET Core 内存缓存实战:一篇搞懂该怎么配、怎么避坑 基于 Ghostty 带有分割标签页和为 Claude 编程设计的通知终端 - BugShare AI 焊死入口:教育的“操作系统级”重塑 - 郝hai 初级Java开发工程师使用sql脚本编写代码的过程是简单而且不糊涂 - CoderOilStation Claude Code通关手册(六):MCP协议完全指南 - 暮色之狐 边框灯光环绕动画特效实现指南 - Newbe36524 开源:子木蒸馏版的 SEO 审计工具 seo-audit-skill v1.0 我所理解的Python元模型 【从0到1构建一个ClaudeAgent】规划与协调-TodoWrite - 程序员Seven Claude 和 Codex 在审计 Skill 上性能差异探究 - ACai_sec AScript如何实现中文脚本引擎 - rockey627 【渗透测试】HTB Season10 Garfield 全过程wp - dynasty_chenzi Android 开发者为什么必须掌握 AI 能力?端侧视角下的技术变革 树状数组正确性证明 - AC-wyr 你的 AI 焦虑,可能比 AI 本身更危险——ATM 机没有消灭银行柜员,但恐慌消灭了你的判断力 - 我没有三颗心脏 一个拉胯的分库分表方案有多绝望?整个部门都在救火! - 冰河团队 动态规划入门必学之走方格问题 - Ofnoname PostgREST 与 PostgreSQL 角色权限配置全解析(生产级实践) - SheepDog1998 使用 UEFI 图形输出协议 GOP 在屏幕上显示图像的方法 - 阿源- Claude Code通关手册(五):组建你的AI专家团队,子代理系统 - 暮色之狐 一个程序员到架构师的催婚路之感悟(整整10年后的催婚相亲感悟) - MisterLip 用 Agent Skill 自动生成工作周报 - 赵康
ERC-7730:解析签名意图,消除盲签风险
ACai_sec · 2026-05-17 · via 博客园_首页

背景

交易签名一直以来都是安全的兵家必争之地,从直接签名转账,到签名授权,再到签名 permit2 内容,以及 ERC-3009 的 authorization 内容,钓鱼黑客总能够在不同的签名场景中寻找到薄弱之处让用户签下那笔“不明不白”的交易。而这个“防御”的任务,通常是依赖于钱包的签名解析功能,将用户签名的十六进制内容根据合约的函数参数进行复原,告诉用户你签的内容到底是什么。

但是这也会存在一个问题的呀:合约的实现层出不穷,灵活多变,验签的内容和方法也在不断更新,依赖钱包解析被动地去覆盖各种签名场景,这本身就存在一定的滞后性(这还是在钱包团队积极跟进的前提下)。

所以,为了解决这个签名难的问题,让用户签得明白、签得安全,ERC-7730 应运而生。

概括性介绍

ERC-7730 的目标是通过引入一套标准化的 JSON 描述符格式,解决以太坊生态中长期存在的"盲签"问题:用户在签署智能合约交易或结构化消息时,面对钱包中显示的十六进制数据或晦涩的函数调用无法理解真实交易意图,从而极易遭受钓鱼攻击和资产损失。

image

而 ERC-7730 的实现依赖于合约项目方或社区贡献者提供能够真实反映签名意图的 JSON 描述文件,这样钱包就将函数签名和参数映射为人类可读的字段标签、格式化数值以及意图描述,实现签名内容与用户预期一致的目标。

image

详细介绍

下面以最熟知的 ERC20 transfer 函数作为例子,下面是它对应的 JSON 解析规则内容。

{
    "$schema": "https://eips.ethereum.org/assets/eip-7730/erc7730-v2.schema.json",

    "context": {
        "$id": "Example ERC-20",
        "contract" : {
            "deployments": [ 
                {
                    "chainId": 1,
                    "address": "0xdAC17F958D2ee523a2206206994597C13D831ec7"
                },
                {
                    "chainId": 137,
                    "address": "0xc2132D05D31c914a87C6611C10748AEb04B58e8F"
                },
                {
                    "chainId": 42161,
                    "address": "0xFd086bC7CD5C481DCC9C85ebE478A1C0b69FCbb9"
                }
            ]
        }
    }, 

    "metadata": {
        "owner": "Example",
        "contractName": "Example Token",
        "info": {
            "url": "https://example.io/",
            "deploymentDate": "2017-11-28T12:41:21Z"  
        }
    },

    "display": {
        "formats": {
            "transfer(address to,uint256 value)": {
                "intent": "Send",
                "interpolatedIntent": "Send {value} to {to}",
                "fields": [
                    {
                        "path": "value",
                        "label": "Amount",
                        "format": "tokenAmount",
                        "params": {
                            "tokenPath": "@.to"
                        }
                    },
                    {
                        "path": "to",
                        "label": "To",
                        "format": "addressName"
                    }
                ]
            }
        }
    }
}

主体内容

其中 $schema 对应的是引用的解析规则版本号。

剩余部分为内容主体,包括 contextmetadatadisplay 三种类型。

章节 作用
context 绑定约束:定义该解析文件适用的合约范围: 1. 合约交易:通过 chainId + address 定位适用的合约; 2. EIP-712 消息:通过 domaindeployments 绑定。钱包在根据解析文件对签名内容进行解析之前,必须先验证约束是否满足。
metadata 元信息:定义合约/项目方名称、官网、部署日期等展示信息。这部分的内容可以被 display 章节引用。
display 格式化指令:核心解析逻辑: 1. definitions:可复用的字段格式定义 2. formats:针对每个函数或 EIP-712 消息类型的具体解析规则

引用符号

为了准确地定义每个字段的数据属性与来源,ERC-7730 还定义了三种引用符号

  1. $:文件内容引用

    该符号用来引用 ERC-7730 文件中的值,比如案例中的 $schema ,除此以外,还可以用来引用 metadatadefinitions 等内容。

    使用案例:

    $.metadata.enums.interestRateMode
    $.display.definitions.minReceiveAmount
    
  2. @:交易参数引用

    该符号用来引用交易或消息的参数。

    使用案例:

    @.to
    @.value
    @.chainId
    
  3. #:结构化参数引用

    该符号用来引用数据结构中的内容,范围包括函数参数中的结构化数据,以及 EIP-712 字段中的内容。

    使用案例:

    #.params.amountIn
    #.data.path.[0].path.[-1].to
    

案例展示

之前已经通过 ERC20 transfer 函数作为案例介绍了解析文件的设计与构成,接下来提供一些在不同场景的案例作为参考。

  • 代币转账

    {
        "intent": "Send",
        "interpolatedIntent": "Send {value} to {to}",
        "fields": [
            {"path": "to", "format": "addressName"},
            {"path": "value", "format": "tokenAmount", "params": {"tokenPath": "@.to"}}
        ]
    }
    

    输出内容:“Send 100 USDT to cyberdrk.eth”

    to 字段没有 params,是因为 addressName 格式的参数全部是可选的。而 value 字段使用 tokenAmount,它必须知道代币合约地址才能正确格式化(获取小数位 decimals 和代币符号 ticker)。如果不提供 tokenPathtoken,钱包无法知道这是哪种代币,只能回退到显示原始数值并警告 "Unknown token"。

  • 代币兑换

    {
        "intent": "Swap",
        "interpolatedIntent": "Swap {amountIn} for at least {amountOutMinimum}",
        "fields": [
            {"path": "amountIn", "format": "tokenAmount", "params": {"tokenPath": "tokenIn"}},
            {"path": "amountOutMinimum", "format": "tokenAmount", "params": {"tokenPath": "tokenOut"}}
        ]
    }
    

    输出内容:“Swap 1000 USDC for at least 0.25 WETH”

    同样地,amountInamountOutMinimum 的参数格式需要借助代币来进行格式化。

  • Token 加密传输

    {
        "intent": "Send",
        "interpolatedIntent": "Send {value} to {to}",
        "fields": [
            {"path": "to", "format": "addressName"},
            {"path": "value", "format": "tokenAmount", "params": {"tokenPath": "@.to"}, "encryption": {
                "scheme": "fhevm",
                "plaintextType": "uint64",
                "fallbackLabel": "[Encrypted Amount]"
            }}
        ]
    }
    
    • 解密可用时:“Send 100 USDT to cyberdrk.eth”
    • 解密不可用时:“Send [Encrypted Amount] to cyberdrk.eth”

    在隐私代币或保密转账场景中(如基于 FHE 的代币标准),只有持有解密密钥的钱包/用户,才能知道真实的转账金额。scheme 代表加密方案,plaintextType 代表解密后的原始数据类型,而 fallbackLabel 则是当钱包无法解密时显示给用户的占位文本。

后记

除了上述提到的基本概念,ERC-7730 提案中还对解析文件中的概念进行了非常详尽的定义与解读。本篇文章主要对这个提案进行较为初步的介绍,对这方面感兴趣想要深入研究的读者可以直接研究他们的提案:https://eips.ethereum.org/EIPS/eip-7730