连接请求不等于资产转移
连接通常只让 DApp 读取公开地址并发起后续请求，不应自动获得助记词或私钥。仍需核对站点域名、连接账户和网络，避免在仿冒页面继续操作。
读懂签名与交易确认
消息签名可能用于登录、声明或授权，链上交易则会显示合约、金额、Gas 等信息。不要因为页面提示“验证”就忽略钱包中的实际内容。
- 签名对象是否可信
- 内容是否与当前操作一致
- 是否包含长期或广泛权限
代币授权与额度管理
授权允许合约在条件满足时操作特定代币。无限授权使用方便但暴露范围更大，完成任务后应检查并取消不再需要的授权。
公共电脑与退出连接
公共电脑可能保存浏览器会话、扩展数据或剪贴板内容。不得在公共设备输入密钥；使用结束后断开连接、退出账户，并检查钱包中的活动连接。