Chris Impey is a writer based in New York City. He's interested in all things tech, science, and photography related, and likes to yo-yo in his free time.


Follow him [on Twitter](https://twitter.com/chris-impey).

Chris Impey

Emma Hazel is a writer based in New York City. He's interested in all things tech, science, and photography related, and likes to yo-yo in his free time.


Follow him [on Twitter](https://twitter.com/emma-hazel).

Emma Hazel

Frank, 居住在香港, 從事 IT 行業，並為這個行業投身了大半生的精力。 沒事喜歡寫寫程式，看看書，玩 Instagram，玩貓。可他並不是一個『宅男』，他很喜歡旅行，遠的去過約旦，近的去過深水埗，每到一個地方，都讓他對這個世界有不同的認識。他也很喜歡寫網誌，認為寫作不僅能夠加深對知識的積累和認知，亦能夠讓人靜下心，坦誠面對自己。

Frank

Thomas Macaulay is a writer based in New York City. He's interested in all things tech, science, and photography related, and likes to yo-yo in his free time.


Follow him [on Twitter](https://twitter.com/thomas-macaulay).

Thomas Macaulay


OpenSea 是目前最大的 NFT 交易平台，就宛如現實世界中的 Amazon ， 淘寶網一樣。如果嘗試過在 OpenSea 中出售自己擁有的 NFT，估計你都會有印象，前後要經歷 3 次和 MetaMask 的「互動」， 可是你究竟是否了解這三次「互動」究竟是在做什麼？


## 上架 NFT

下面的影片，展示了在 OpenSea 上架的過程：



<div class="video-container" style={{paddingTop: "58%"}}>
<iframe
  src="https://player.cloudinary.com/embed/?cloud_name=dxuoive6n&public_id=UD/sell-nft-from-opensea_u7lljb&fluid=true&controls=true&source_types%5B0%5D=mp4"
  allow="autoplay; fullscreen; encrypted-media; picture-in-picture"
  allowfullscreen
  frameborder="0"
></iframe>
</div>

 
我們可以看到，過程中前後需要經歷 Initialize Wallet ，Approve Token，Confirm Listing 三個步驟，這三個步驟分別是在做什麼呢？


### Initialize Wallet


![](/image/blog/8ppkh.png)

我們可以從 MetaMask 中看到，所謂 Initialize Wallet， 其實是調用 OpenSea 上的「Proxy Registry」裡的一個 「Register Proxy」的 function。 從 [Etherscan](https://rinkeby.etherscan.io/tx/0x8c1563f458fc484d76e7e0b1926752c8d187ddad526f1711f5b886be18936233#internal) 上可以看到，這個 function 建立並部署了一個新的智能合約 `0x...548c`，也就是所謂的 Proxy 合約。

根據 OpenSea 的說明：「On OpenSea, each user has a "proxy" account that they control, and is ultimately called by the marketplace contracts to trade their items.」得知，每一個 OpenSea 賬戶， 都會有一個 Proxy 合約與之對應，因此如果是一個全新的賬戶，就必須要經過這個「部署 Proxy 合約」的步驟，但如果已經擁有了 Proxy 合約，則下次上架 NFT 就不需要再次部署了。

因為這個操作需要改寫區塊鏈的數據，因此需要支付礦工費。另外因為需要進行合約部署，礦工費用也會相較其他操作更貴。


### Approve Token

![](/image/blog/ynwsz.png)

Approve Token 則比較容易理解。有沒有想過你擁有的 NFT，為什麼 OpenSea 能夠代你賣給別人？它哪裡來的權力呢？答案就是這個步驟，我們看到這個 Approve Token 其實是調用了「Set Approval For All」function， 透過查看ERC721原始碼發現，這個 Set Approval For All ， 其實就是一個授權操作，一旦授權，被授權的地址將可以調用 transferFrom 將 NFT 的擁有權轉移到另一個地址。

![](/image/blog/nkspk.png)

從 [Etherscan](https://rinkeby.etherscan.io/tx/0x9cf04947041e4b081aa2edcab3cfc8cba9cbdaf48d2bcfb0d3ed787b73fbf2f1) 上看到，這個授權操作傳入了一個被授權地址，`0x...548c` ，而這個地址，正正是上面第一步「Initialize Wallet」時新建立的合約地址，也就是說，這一部完成後，你作為 NFT 的擁有者，便授權了`0x...548c` 這個合約可以轉移你的 NFT 資產。

因為這個操作也需要改寫區塊鏈的數據，因此也是需要支付礦工費的。

### Confirm Listing

![](/image/blog/mkhge.png)

最後一步 Confirm Listing， 則最為簡單，這個操作並沒有改寫任何區塊鏈的內容，因此不需要支付任何費用。這個操作是使用你的私鑰簽名一段信息，用以讓 OpenSea 認證你的身份，確認「你是你」，認證成功後才會代你進行上架操作。


## 購買 NFT

對比上架 NFT， 購買 NFT 則相對簡單。即便是新的帳戶，亦不需要太多的步驟。

![](/image/blog/kpjli.png)

購買的操作，調用了 OpenSea 交易所合約中的 「atomic match」function，這個 function 最後會做幾件事：

1. 轉帳該筆金額的 97.5% 給NFT 原擁有者；
2. 轉帳該筆金額的 2.5% 給 OpenSea；
3. 透過上面的 proxy 合約，調用 NFT 合約的 `transferFrom` function，轉移 NFT；

![](/image/blog/uiwpy.png)

至此，一個 NFT 的交易便完成了。 

透過查看 Etherscan 不難發現，OpenSea 背後使用的是 [Wyvern Protocol](https://wyvernprotocol.com/)  ， 這是一個基於以太坊的開放協議，用以交易虛擬資產。網上似乎並沒有太多的關於這個協議的資料。以後有時間再研究一下。

![](/image/blog/nqtrw.png)

 


OpenSea 是目前最大的 NFT 交易平台，就宛如現實世界中的 Amazon ， 淘寶網一樣。如果嘗試過在 OpenSea 中出售自己擁有的 NFT，估計你都會有印象，前後要經歷 3 次和 MetaMask 的「互動」， 可是你究竟是否了解這三次「互動」究竟是在做什麼？

OpenSea 簡易運作原理



以太坊的智能合約程式一旦發佈便無法更改，因此程式的安全性尤為重要。因此，使用檢測工具對程式碼進行檢測，可以發現一些常見的安全隱患，避免因程式漏洞引致的各種損失。

![Slither](/image/blog/ps5gm.png)

Slither 是一個用 Python 編寫的 Solidity 的「靜態」檢測工具，可以偵測常見的 Solidity 程式漏洞。其功能包括：

- 檢測 Solidity的常見程式漏洞，誤報率低；
- 標識錯誤在源程式中發生的位置；
- 可以集成到 CICD 中使用；
- 正確解析 99.9% 的所有公共 Solidity 程式；
- 掃描速度快，每個智能合約平均執行時間少於 1 秒；

### 安裝

[官網](https://github.com/crytic/slither#how-to-install)提供了多種安裝方式，因為考慮到有太多的依賴和開發環境設定，作為一個懶人，本人認為用 docker 方式安裝會最方便，因此本文就以 docker 安裝來舉例，其他安裝方式可以查閱[官網](https://github.com/crytic/slither#how-to-install)的說明。

安裝 docker image：

```bash
docker pull trailofbits/eth-security-toolbox
```

安裝 docker image 之後就可以運行 slither 了，但要記得指定 docker 共享 volume，這樣才可以在 docker 容器內訪問到電腦中的檔案：

```bash
docker run -it -v /your/share/folder:/share trailofbits/eth-security-toolbox
```

執行上述指令後便進入了 slither 的 container 中：

![](/image/blog/e69g4.png)

###  檢查 solc 版本

這裡要注意，因為 solidity 有很多不同的版本，掃描時最好根據要掃描的 solidity 檔案指定對應版本的 solc 編譯器。而預設的 image 中未必有你想要的 solc 編譯器版本，你可以在 container 內運行以下指令，可以查看已經安裝的 `solc`  編譯器：

```bash
solc-select -l
```

如果發現沒有安裝對應的 solc 版本，則需要先安裝 solc 後再繼續。

```bash
# 將下面的 v0.4.15 更改為你所需要的版本

curl -L https://github.com/ethereum/solidity/releases/download/v0.4.15/solc-static-linux --output solc-v0.4.15

sudo mv ./solc-v0.4.15 /usr/bin/

chmod +x /usr/bin/solc-v0.4.15
```

### 掃描本地 sol 檔案

因為共享了共享目錄，我們在 container 就可以直接運行 slither 指令：

```bash
slither path_to_your_contract.sol --solc /usr/bin/solc-v0.4.15 
```

其中 `path_to_your_contract.sol` 是你要掃描的 solidity 檔案， `--solc /usr/bin/solc-v0.4.15` 則是指定 solc 編譯器的版本。

![](/image/blog/mwo8l.png)

如上圖所示， slither 會在熒幕上顯示出掃描結果。根據問題的嚴重程度，會有不同的顏色表示。同時亦會給出問題的解釋，可以點開相應的連結查看。

如果想要將掃描結果以 json 形式輸出到檔案中，可以執行：

```bash
slither path_to_your_contract.sol --solc /usr/bin/solc-v0.4.15 --json result.json
```


如果你的智能合約中使用了類似 `import @openzeppelin/xxx` 等的以 “@” 開頭的 import 語句，可能會出現  File not found 的錯誤：

```bash
Error: Source "@openzeppelin/contracts/utils/Counters.sol" not found: File not found.
  --> /src/contracts/BaseERC721.sol:12:1:
   |
12 | import "@openzeppelin/contracts/utils/Counters.sol";
   | ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
```

解決方法是需要指定 `--solc-remaps` 來告訴編譯器 openzeppelin 的具體位置：

```bash

slither path_to_your_contract.sol --solc /usr/bin/solc-v0.4.15 --solc-remaps @openzeppelin/=/src/node_modules/@openzeppelin/

```


### 掃描已經發佈的合約

slither 亦支援掃描已經將原始碼發佈到 etherscan 上的合約， 運行：

```bash
# 0x7F37f78cBD74481E593F9C737776F7113d76B315 是合約地址。
slither 0x7F37f78cBD74481E593F9C737776F7113d76B315

# 若是 testnet 網絡，地址前加上網絡名稱
slither rinkeby:0x7F37f78cBD74481E593F9C737776F7113d76B315
```

如果運行出現錯誤，可能是 solc 版本不相符， 使用 `solc-select` 切換到對應版本後再運行即可。如果對應版本沒有安裝，請參考上一節的做法安裝即可。







以太坊的智能合約程式一旦發佈便無法更改，因此程式的安全性尤為重要。因此，使用檢測工具對程式碼進行檢測，可以發現一些常見的安全隱患，避免因程式漏洞引致的各種損失。本文介紹使用 Slither 這個工具來進行 Solidity 檢測。

使用 Slither 來檢測你的 Solidity 智能合約程式碼

NTF 最近是街頭巷尾都在討論。本文將站在技術角度，教一教大家怎樣用代碼寫一個屬於你自己的 NFT 智能合約。

OpenSea 簡易運作原理

使用 Slither 來檢測你的 Solidity 智能合約程式碼

使用 Remix，OpenZeppelin 15 分鐘建立 NFT 智能合約

免費訂閱網誌文章