推开一扇 1px 的门线条尽头，是可验证的未来

按「必须可验证 / 可回溯 / 可缓存」三分：资产所有权、审批签名、结算凭证上链；商品详情、图片、日志走 IPFS/对象存储，链上只存内容哈希（CID）。经验阈值：单笔链上写入控制在 ≤ 2 KB，可把 Gas 成本压到整体预算的 15% 以内。

问清：① 是否需要公开可验证（公开 → EVM 兼容公链；联盟内 → 许可链）；② TPS 峰值与确认时间要求（≤ 2s 确认选高吞吐链）；③ 团队语言栈（Solidity / Rust / Go）。避坑：为「未来可能公开」提前选公链，却承担了 10 倍以上的运维与费用成本。

用 Hardhat / Foundry 建立用例，覆盖：权限越界、重入、整数溢出、重复提交、边界金额。量化门槛：核心合约单元测试覆盖率 ≥ 90%，分支覆盖 ≥ 80%；上线前跑一次静态分析（Slither）与模糊测试，把高危项清零。

交易提交后立刻给三态反馈：已签名 / 已广播 / 已确认，并展示交易哈希缩短串与浏览器跳转。指标：确认等待超过 8s 时必须出现进度说明；移动端点击区 ≥ 44px；用响应式设计保证 320px 宽度下不出现横向滚动。

前端永不接触私钥，用钱包注入或托管签名服务；合约采用 RBAC 角色分离（管理员 / 运营 / 只读），关键操作要求 2/3 多签。避坑：把管理员私钥写进环境变量并复用到测试网与主网——一旦泄露，回滚成本接近于重建系统。

埋点四类指标：交易成功率、平均确认时延、Gas 消耗、失败原因分布。告警阈值建议：成功率 < 99% 持续 5 分钟即触发；确认时延 P95 > 30s 触发。每月回看一次链上事件与链下账本的对账差异，目标差异率 < 0.1%。