一、研究对象与安全目标是否清楚
讨论区块链安全技术的研究有哪些常见问题，首先要明确研究对象。账本一致性、交易有效性、合约权限和业务逻辑属于不同层面。比特币开发指南讨论区块验证与交易历史维护，以太坊安全文档则重点讨论智能合约的开发和检查，两者提供的安全保证不能直接互换。
研究应先描述需要保护的对象、攻击者的能力以及失败条件。例如，节点遵守共识规则，并不能直接证明应用中的管理权限设置正确。缺少这一步，容易用底层机制的可靠性替代对上层功能的验证。
二、是否把抗篡改理解为绝对不可修改
比特币通过区块哈希链接和工作量证明提高改写历史的成本；节点在有效分支之间依据累计工作量选择链。短暂分叉说明，某笔交易进入区块后，其所在分支仍可能发生变化。
因此，研究历史记录的稳定性时，需要说明网络环境、攻击者算力与观察条件。仅以区块高度判断记录是否唯一并不充分；同一高度可能存在不同区块，也不能把比特币的工作量证明结论直接推广到所有区块链。
三、权限控制是否覆盖完整操作流程
智能合约安全研究常见的遗漏，是只检查函数能否被调用，没有继续检查调用者拥有哪些权限、权限如何转移，以及敏感操作之间是否存在关联。
角色划分和多重签名可以限制单个账户的操作能力，但效果取决于具体配置。研究需要进一步追问：谁能授予角色，谁能修改授权规则，多名签名者是否真正独立。增加管理账户数量，本身不足以证明单点风险已经消除。
四、测试是否覆盖异常输入和状态变化
只验证正常输入下的预期结果，容易漏掉边界条件。更有解释力的研究应明确安全性质，例如未经授权的账户不能执行管理操作，以及关键状态关系在连续调用后仍然成立。
单元测试、静态分析和模糊测试可以相互补充。评价检测方法时，还应交代测试范围、输入构造和漏报限制。发现了漏洞能够说明方法在相应情境下有效，没有发现漏洞则不足以证明系统不存在缺陷。
五、形式化验证和审计能证明到哪里
形式化验证的结论依赖所写规范、模型及其假设。如果规范没有表达某项业务要求，即使证明通过，也不能据此确认该要求得到满足。研究报告应区分已经证明的性质与尚未覆盖的行为。
独立审计能够增加发现问题的机会，但审计同样存在范围边界。评价其结论时，需要关注对应的代码版本、检查范围及修复情况，避免把一次审查结果理解为长期、全面的安全保证。
六、部署后的修复条件是否纳入研究
合约部署后的修改能力受设计约束，安全研究需要同时考虑缺陷发现后的处理条件。对于包含升级或暂停功能的系统，应分析这些能力由谁控制，以及它们会引入哪些额外权限。
完整的研究成果应让读者看清：结论适用于什么系统，依赖哪些假设，验证覆盖哪些性质，以及哪些问题仍未解决。这些边界决定了研究结果能否被合理复用。