基于 SlowMist 仓库 openclaw-security-practice-guide（公开镜像标题为 Web3-Project-Security-Practice-Requirements）提炼，聚焦从启动到运维的全链路安全实践。
项目定位
实践清单
漏洞预防
部署加固
运维巡检
SLOWMIST · OPENCLAW
Web3 项目安全实践指南
01 / 10
仓库定位
为什么要有这份安全实践
02 / 10
- 仓库核心目标：把 安全要求前置 到项目研发流程，而非事故后补救。
- 覆盖对象：智能合约、前后端、移动端、浏览器插件、基础设施与运维。
- 强调“可执行清单”，便于创业团队快速落地最小安全基线。
- 风险现实：TVL 与资产规模增长，攻击面同步放大。
- 常见痛点：上线快、审计晚、权限乱、监控弱、应急流程缺失。
- 建设方向：流程制度 + 技术控制 + 持续巡检 三线并行。
目录结构
仓库内容地图（按功能域）
03 / 10
- docs/：主文档与安全实践总览。
- checklist/：项目启动检查项（MUST/SHOULD）。
- contract-security/：智能合约编码与审计要点。
- frontend-security/：前端供应链、钱包交互与防钓鱼。
- backend-security/：接口鉴权、密钥管理、服务隔离。
- mobile-security/：移动端存储、签名、逆向防护。
- plugin-security/：浏览器插件权限与通信边界。
- images/ / .github/：配图与协作流程配置。
核心实践 I
项目启动安全检查项（治理层）
04 / 10
- 建立安全负责人制度与审批链，关键变更需双人复核。
- 资产分级：热钱包、冷钱包、运营钱包、应急钱包分层管理。
- 定义发布门禁：未通过安全测试与审计，禁止主网部署。
- 配置漏洞响应通道：邮箱、PGP、漏洞奖励规则。
- 制定最小权限策略（RBAC），禁用共享账号与长期 Token。
- 代码仓库启用分支保护、强制评审、提交签名与审计日志。
- 第三方依赖纳入准入清单，防止供应链投毒。
- 准备应急预案：暂停开关、公告模板、法务与公关联动。
核心实践 II
研发阶段安全基线（技术层）
05 / 10
- 合约：权限边界、重入防护、整数安全、价格预言机验证。
- 前端：签名前明确展示链 ID/金额/目标地址，防误签。
- 后端：接口鉴权 + 频率限制 + 风险评分，防批量撞库与滥用。
- 移动端：敏感数据硬件安全区存储，禁明文私钥缓存。
- 插件：限制扩展权限范围，隔离内容脚本与签名逻辑。
- CI/CD：SAST、依赖漏洞扫描、密钥泄漏扫描并入流水线。
- 测试：单测 + 模糊测试 + 对抗测试，覆盖异常路径。
- 审计：重大版本必须第三方审计，修复项闭环复测。
漏洞视角
Web3 常见风险与攻击路径
06 / 10
- 智能合约：重入、权限绕过、闪电贷操纵、价格源污染。
- 前端与供应链：NPM 依赖投毒、CDN 劫持、钓鱼 UI 注入。
- 后端接口：JWT 配置不当、Webhook 伪造、管理面板暴露。
- 密钥资产：私钥明文落盘、助记词泄露、签名中间人攻击。
- 基础设施：RPC 节点失效导致价格/状态异常。
- 组织流程：紧急权限无人值守，导致恢复窗口过长。
- 第三方集成：桥、预言机、托管服务单点失效。
- 结论：单点失守往往来自“技术漏洞 + 流程缺陷”叠加。
部署加固
上线前后必须落实的防护控制
07 / 10
- 多环境隔离：Dev/Staging/Prod 账户、密钥、网络完全分离。
- 密钥托管：KMS/HSM + 多签审批，禁止 CI 明文注入私钥。
- 部署可信：构建产物签名、镜像基线扫描、SBOM 存档。
- 网络边界：WAF、零信任访问、管理端口白名单与 MFA。
- 链上风控：合约参数变更延迟生效（Timelock）与可暂停机制。
- 依赖冗余：RPC/预言机多提供商容灾，设置故障转移阈值。
- 日志追踪：关键签名、提权、转账行为全量审计。
- 回滚策略：灰度发布 + 快速回滚脚本 + 演练记录。
日常运维
持续安全检查（Daily / Weekly / Monthly）
08 / 10
- 每日：关键地址异动、异常提币、签名失败率、RPC 健康度。
- 每周：依赖更新审查、权限盘点、告警噪音清理。
- 每月：应急演练、备份恢复演练、审计项复查。
- 配置阈值告警，避免“只收集不响应”。
- 资产监控：链上资金流 + 合约调用模式基线对比。
- 账号安全：管理员凭据轮换，离职账号当日回收。
- 变更管理：所有线上改动关联工单与审批记录。
- 外部协同：保留与安全厂商/审计方的快速联络机制。
风险修复
常见问题与修复建议（可直接落地）
09 / 10
- 问题：合约管理员权限过大。修复：拆分角色 + Timelock + 多签治理。
- 问题：前端签名提示不清晰。修复：结构化展示签名内容并加入风险标识。
- 问题：私钥在脚本/日志中出现。修复：统一接入 KMS，日志脱敏与密钥轮换。
- 问题：依赖长期不升级。修复：建立依赖 SLA，按 CVSS 优先级修补。
- 问题：告警太多无人处理。修复：定义告警分级、值班责任与响应时限。
- 问题：无应急演练。修复：至少季度级红蓝演练，形成复盘闭环。
收尾建议
落地路径与参考链接
10 / 10
- 第 1 周：完成启动检查项与权限治理基线。
- 第 2-3 周：合约/前后端/移动端专项整改与自动化扫描接入。
- 第 4 周：部署加固、应急演练、监控看板上线。
- 持续执行：每月复盘安全指标，迭代控制策略。
参考仓库
- https://github.com/slowmist/openclaw-security-practice-guide
- 公开镜像标题：Web3-Project-Security-Practice-Requirements
- 实践原则：先建立基线，再补齐深度防护。
操作：键盘 ← / → 切换，触屏左右滑动切换。