把创意矩阵
写进一条可信的链

做法：逐一列出 external / public 函数，任何非必要入口直接移除或改为 internal；管理员函数集中到单一治理合约，避免散落在多个业务合约中。

阈值：可升级代理的管理员地址数量 ≤ 3，且必须为多签；单点控制的 owner 权限在代码评审中视为高危项，必须给出时间锁替代方案。

做法：所有涉及外部调用的函数，先把余额与状态变量更新完毕，再执行转账；跨合约调用统一加 nonReentrant 修饰符，并为核心资产另设只读视图函数。

避坑点：把 transfer 放在状态更新之前是最常见的翻车方式；即便使用低层 call，也必须在返回值为 false 时回滚，不允许静默失败。

做法：私钥按 5 份分片托管，签名阈值设为 3/5；日常操作走热签名、大额操作走冷签名，两条路径分别记录审计日志。

阈值：单笔超过总资产 5% 的转账必须触发人工复核；签名请求日志保留期不少于 180 天，支持按地址与时间双向检索。

做法：签名弹窗首屏固定展示授权额度、Gas 上限、目标合约三项信息；无限授权用强调线框标注并默认收起，用户需二次确认。

量化：授权额度改为按需数值后，用户误授无限额度的比例从 41% 下降到 9%；页面首屏关键信息控制在 3 条以内，减少决策负担。

做法：只保留资金流出、权限变更、短时高频调用、Gas 异常四类共 8 条规则；告警按严重级别分流，高危直达值班群，中低危进入日报。

指标：告警误报率压到 5% 以下，异常发现时延 ≤ 60 秒；每条规则必须写明触发条件、处置步骤与回滚方案。

做法：代理升级脚本必须在测试网完整演练至少 2 轮，记录存储布局校验结果；升级前快照状态根，升级后逐项比对关键变量。

阈值：升级窗口选择链上低峰时段，Gas 价格 ≤ 30 gwei 时执行；回滚预案需在 10 分钟内可执行，并指定唯一决策人。

做法：以 4/8pt 间距节奏建立栅格，1px 细线承担分隔，强调色只用于按钮与关键数字；正文对比度不低于 4.5:1，点按区域不小于 44×44px。

量化：视觉走查后，关键路径点击错位率下降 62%；所有装饰图形加 aria-hidden，表单与按钮保留可见焦点样式，键盘可完整走通签名流程。