让每一条链上业务线都清晰可追溯

把「必须不可篡改」与「仅需可追溯」两类数据分开：前者上链，后者走哈希存证。经验阈值是单笔交易写入字段不超过 8 个，超出时改用链下存储 + 链上哈希引用。

• 做法：列出全部业务字段，逐条标注 上链 / 哈希存证 / 链下，形成边界表并双方签字。
• 避坑：把所有日志都上链，会让 Gas 成本放大 5–20 倍，且索引层难以维护。
• 验收：任意一个业务字段都能在边界表中找到归属，无「待定」项。

单合约公开方法建议不超过 12 个，单方法圈复杂度不超过 10。需要升级时统一采用代理模式，并把存储布局写成文档，避免变量顺序错位导致数据损坏。

• 参数：合约字节码上限按链限制预留 15% 余量；构造函数只做初始化，不写业务逻辑。
• 避坑：升级后直接新增变量插在中间，会覆盖旧存储槽。新变量一律追加到末尾。
• 验收：升级演练在测试网完整执行 1 次，旧数据读取结果与升级前一致。

事件订阅器需处理区块重组：保留最近 64 个区块的可回滚窗口，遇到重组自动回退重放。索引滞后超过 30 秒即触发告警。

• 做法：订阅器与索引库解耦，先落原始日志再异步转换，避免解析失败阻塞主流程。
• 参数：批量写入每批 200–500 条；接口层加 60s 短缓存降低链上查询压力。
• 验收：连续压测 24 小时，链上高度与索引高度差值始终小于 5 个区块。

送审前自行跑一遍静态扫描与单元测试，把高危问题清零，可显著缩短审计周期并减少二次整改费用。

• 必查项：重入、整数溢出、权限越权、随机数依赖、外部调用未检查返回值。
• 参数：测试覆盖率 ≥ 90%，关键分支 100% 覆盖；送审前高危告警数须为 0。
• 避坑：等审计报告出来才改架构，返工成本通常是原开发量的 30%–60%。

区块链企业网站的核心是让用户看懂状态：交易待确认、已确认、失败。动效应绑定这三态，而非做装饰性炫技。

• 参数：过渡时长 150–450ms，缓动统一为 cubic-bezier(.4,0,.2,1)；缩放类动效幅度不超过 1.07。
• 无障碍：必须提供 prefers-reduced-motion 降级，关闭跑马灯与持续缩放，内容保持完整可见。
• 验收：320px 宽度下无横向滚动，所有交互元素点按区 ≥ 44×44px。

主网发布前准备好回滚开关与暂停权限，明确谁有权触发。灰度期以链上对账为核心校验手段，而不是只看前端页面是否正常。

• 做法：灰度流量从 5% 起，每小时递增 5%–10%，观察窗口不少于 72 小时。
• 监控线：失败交易率 > 1%、确认延迟 P95 > 12s、索引滞后 > 30s 任一触发即暂停放量。
• 避坑：暂停权限放在单一私钥上，人员变动即失控；建议多签并保留书面授权记录。