如何在不批准不必要权限的情况下将Rabby钱包连接到dApp？

了解Rabby的权限模型

1. Rabby钱包不会在连接时自动授予权限——每个访问请求都必须得到用户的明确确认。

2. 当 dApp 发起连接时，Rabby 会显示一个模式，其中显示请求域、请求的帐户范围和网络上下文（例如，以太坊主网或 BSC 测试网）。

3. 钱包区分只读操作（如获取余额）和状态更改操作（如签署交易），每个操作都需要单独的同意。

4. 权限是会话绑定的：当浏览器选项卡关闭或用户通过 Rabby 界面手动断开连接时，权限就会过期。

5. Rabby 强制执行严格的源验证——即使 URL 看起来相似，它也会拒绝来自 iframe、跨源重定向或不匹配主机名的请求。

逐步连接，无需过度许可

1. 直接导航到 dApp 的经过验证的域 - 切勿点击来自 DM、电子邮件或第三方聚合商的链接。

2. 单击“连接钱包”并从钱包列表中选择 Rabby — 确保同一浏览器配置文件中没有其他激活的注入钱包。

3. 在 Rabby 弹出窗口中，验证主机名与浏览器地址栏中的主机名完全匹配 — 包括子域和 TLD。

4. 拒绝任何标有“批准所有代币”、“无限限额”或“完全合约访问权限”的请求，除非您已审核 dApp 的代码并了解其含义。

5. 使用 Rabby 的内置权限切换来限制仅访问所需的特定帐户和网络 - 避免选择“所有帐户”或“所有网络”。

识别有风险的权限提示

1. 立即要求批准三个以上 ERC-20 代币的提示是非常不寻常的，需要立即拒绝。

2. 任何包含原始十六进制数据而没有人类可读描述的签名请求都应被视为可疑。

3. Rabby 用红色警告图标标记非标准合约交互 - 除非您已在 Etherscan 或 Blockchair 上验证合约地址，否则请勿覆盖此图标。

4. 如果提示显示“Gas 估计失败”以及异常高的 Gas 限制（>500,000），则可能表示重入或无限循环尝试。

5. 未经事先本地开发设置而源自 localhost 或 127.0.0.1 的请求应被彻底阻止。

管理活动连接

1. 打开Rabby扩展→点击齿轮图标→进入“连接的站点”查看当前所有授权的域名。

2. 每个条目都会显示上次使用的时间戳、网络和授予的范围 - 如果仅打算进行余额检查，请使用“读取 + 签名”撤销任何内容。

3. Rabby 支持每个站点的权限撤销 - 单击“删除”将切断所有访问，而不影响其他连接。

4. 可以在隐私首选项下启用“自动拒绝未知站点”设置，以静默方式阻止未经授权的连接尝试。

5. 连接站点元数据本地存储在 IndexedDB 中 — 连接流期间不会传输服务器端日志记录或遥测数据。

常见问题解答

问：当我连接到 dApp 时，Rabby 会存储我的私钥吗？不会。Rabby 绝不会在远程服务器上传输或存储私钥。所有加密操作均使用 Web Crypto API 在浏览器沙箱内进行。

问：连接后 dApp 可以查看我的交易历史记录吗？仅当您明确批准通过 eth_getLogs 或类似 RPC 方法获取过去交易的请求时，Rabby 默认情况下不会公开历史数据。

问：为什么Rabby在初次连接时要求“签名消息”权限？这仅用于域绑定验证 - 该消息包含与当前主机名绑定的加密签名随机数，并在 60 秒内过期。

问：Rabby 同时连接多个 dApp 是否安全？是的，前提是每个连接都经过单独审核。 Rabby 隔离每个来源的权限——没有 dApp 能够了解另一个人批准的范围。