合约代码已验证，为什么仍不能直接判断安全？

代码验证让什么信息可见？

浏览器的代码验证帮助查看与部署字节码对应的源代码及编译信息。它解决可读性与对应关系，不直接保证合约逻辑没有漏洞、权限合理或产品能够履约。

Etherscan 的合约代码页说明还涉及代理与实现合约。使用者面对的是哪个入口、实际调用哪个实现，需要继续追踪，不能只读到一个已验证的地址便结束。

• 依据：Navigating the Contract Code tab ↗

代理合约为何需要继续查看实现？

假设产品使用代理地址，界面只展示代理层的一小段代码。余额和操作逻辑可能由当前实现承担；若支持升级，之后的实现也可能变化。核验时要同时记录入口、实现与时间。

这属于常见结构说明，不代表所有项目都采用代理。实际是否可升级、谁控制升级与是否设有延迟，必须从具体代码、权限和链上状态取得证据。

怎样表达已经完成的检查？

可以写已找到可读代码、已核对实现地址或已取得某份审计，但要保留各自范围和日期。审计对象、部署版本和当前实现不一致时，旧审计无法自动覆盖现状。

本文不把验证标记转换成安全评级。缺少权限、升级或资产流向证据时，列出待核实项，比给出一个没有依据的安全结论更有用。