合约安全审计常聚焦在 Solidity 源码层面，但其实 ABI 也同样值得仔细审视。许多被忽视的漏洞最终落在了 ABI 与字节码之间的细节差异上。本文给出一份可操作的 ABI 安全审计清单，覆盖关键检查项与典型陷阱。
函数选择器冲突的系统性排查
函数选择器是 ABI 函数签名的关键字节。代理合约中实现合约与代理合约的函数选择器一旦冲突，攻击者就能借机调用本不应暴露的逻辑。审计时应使用工具批量计算所有函数的选择器，检查是否存在意外重叠。延伸阅读 ABI漏洞案例 中的真实事件。
事件完整性与监控一致性
ABI 中的事件结构应覆盖所有关键状态变化。审计时要核对每个 state change 是否都对应一个事件，并且事件参数类型与字段命名是否清晰。若监控系统依赖 ABI 解析事件，任何字段错位都会导致监控失效。可参考 ABI最佳实践。
参数类型与定长数组陷阱
ABI 编码对定长数组、动态数组、bytes、string 的处理存在显著差异。审计时要检查每个函数与事件的参数类型是否在合约里与对接系统中保持一致，避免出现 off-by-one 的解析问题。详见 ABI常见错误。
版本管理风险
代理合约升级后 ABI 通常发生变化。审计时要确认前端、监控、运维工具都引用了正确版本的 ABI，并具备回滚机制。建议把 ABI 版本与合约部署版本绑定，形成审计可追溯的版本链。可结合 ABI实战教程 设计版本切换策略。
与外部接口的一致性
部分合约通过 ABI 与第三方协议交互，例如 DeFi 聚合器与底层池子。审计时要核实交互双方 ABI 是否完全一致，并验证 Slippage、Deadline 等关键参数是否被正确传递。延伸阅读 ABI开发教程。
与合规交易所的接口审计
代币若要上线 Binance 等合规交易所，必须严格遵循 ERC-20 等标准。审计阶段应主动模拟交易所脚本的调用路径，发现任何返回值类型不匹配或事件遗漏。这种主动审计能避免上线阶段的反复返工。
输出审计报告的几点建议
ABI 审计报告应至少包含函数选择器表、事件列表、版本对照表与发现的问题清单。问题清单应按严重程度分级，提供修复建议。审计报告还应与 Solidity 源码审计联动，避免双方各自孤立。
把 ABI 列入安全审计清单的固定环节，是建立完整合约安全文化的重要一步。