适用范围：主要讨论代币智能合约
区块链币的审计有哪些常见误区，需要先明确审计对象。这里讨论部署在智能合约平台上的代币及相关合约安全，不涉及财务审计或储备证明。不同审查对象回答的问题不同，代币代码的检查结论不能直接覆盖整个项目。
误区一：有审计报告就代表绝对安全
以太坊开发者安全文档将审计视为独立代码复核，并指出它无法发现所有漏洞。因此，理解报告应关注检查范围、代码版本和未解决问题。“未发现严重漏洞”只描述这次检查的结果，不能推导为所有运行条件下都没有风险。
误区二：自动测试通过就能代替审计
同一安全文档强调，单元测试应与静态分析、模糊测试等方法结合。测试用例通过，说明受测情形符合预期；未覆盖的输入与调用组合仍可能存在问题。形式化验证也有边界，其证明依赖明确的安全性质、模型和假设，不能直接扩展为整个系统安全。
误区三：权限检查只要看有没有所有者
OpenZeppelin访问控制文档说明，所有权和角色权限是不同的管理方式，角色管理员还可能授予或撤销权限。审查增发、暂停等功能时，需要同时理解谁能执行、谁能授权。某个地址暂时没有增发角色，并不足以证明它以后无法获得该角色。
误区四：多签或放弃所有权能消除全部风险
多签能够提高敏感操作的授权门槛，但不能修复业务逻辑错误。放弃所有权会使依赖该所有者授权的功能无法调用，却不能据此判断其他角色权限也已消失。权限变化的影响，应逐条对应到实际受保护的功能，而不能只看一个状态或名称。
常见问题：怎样理解整改与复审
报告列出问题，不等于问题已经修复。修复声明、修改后的代码和复审结论分别提供不同证据；理解整改情况，需要确认它们是否对应同一问题与版本。如果合约后来发生修改，旧报告对新代码的解释力也需要重新判断。
使用成熟合约组件同样不能省略检查。组件提供了权限管理机制，具体系统仍需正确配置账户、角色及调用限制。审计的价值在于识别这些实现与设计问题，而安全开发、独立复核及持续发现漏洞共同构成更完整的安全工作。