Solidity

Solidity là gì?

Solidity là ngôn ngữ lập trình cấp cao dùng để viết các hợp đồng thông minh chạy trên Ethereum và những mạng blockchain khác hỗ trợ Máy ảo Ethereum.

Trang web chính thức của Solidity mô tả Solidity là ngôn ngữ lập trình có kiểu tĩnh, sử dụng dấu ngoặc nhọn, được thiết kế để phát triển các hợp đồng thông minh chạy trên Ethereum.

Hợp đồng thông minh là chương trình được lưu trữ trên blockchain, có thể nắm giữ tài sản, thực thi quy tắc, xử lý logic và phản hồi giao dịch mà không cần máy chủ truyền thống.

Tài liệu chính thức về hợp đồng thông minh Ethereum giải thích rằng hợp đồng thông minh là chương trình chạy trên blockchain Ethereum.

Trong crypto, Solidity được dùng để xây dựng token, giao thức DeFi, bộ sưu tập NFT, DAO, hệ thống staking, thị trường cho vay, bridge, hệ thống ký quỹ, hợp đồng quản trị và nhiều ứng dụng on-chain khác.

Mã Solidity không được người dùng trực tiếp chạy.

Nhà phát triển viết mã nguồn Solidity, sau đó biên dịch mã này thành bytecode mà Máy ảo Ethereum có thể thực thi.

Tài liệu chính thức của Solidity giải thích rằng Solidity là ngôn ngữ cấp cao hướng đối tượng để triển khai hợp đồng thông minh.

Nói đơn giản, Solidity là ngôn ngữ lập trình chính mà nhiều nhà phát triển sử dụng để tạo các ứng dụng crypto có thể lập trình trên những blockchain dựa trên EVM.

Vì sao Solidity quan trọng trong crypto?

Solidity quan trọng vì nó vận hành nhiều hợp đồng thông minh mà người dùng tương tác trong toàn bộ hệ sinh thái crypto.

Khi người dùng hoán đổi token, mint NFT, tham gia bỏ phiếu DAO, nạp tài sản thế chấp, nhận phần thưởng hoặc tương tác với ứng dụng DeFi, một hợp đồng thông minh Solidity có thể xử lý một phần thao tác đó.

Solidity giúp tài sản kỹ thuật số có thể lập trình trở nên thiết thực, vì nhà phát triển có thể viết các quy tắc tái sử dụng về quyền sở hữu, chuyển tiền, quyền hạn, phí, thanh khoản và quản trị.

Các token như tài sản có thể thay thế và NFT thường dựa vào những tiêu chuẩn hợp đồng thông minh thường được triển khai bằng Solidity.

Tiêu chuẩn token ERC-20 chính thức định nghĩa giao diện chung cho token có thể thay thế trong hợp đồng thông minh.

Tiêu chuẩn token ERC-721 chính thức định nghĩa giao diện chung cho token không thể thay thế.

Tiêu chuẩn token ERC-1155 chính thức định nghĩa tiêu chuẩn đa token có thể hỗ trợ cả tài sản có thể thay thế và không thể thay thế trong một hệ thống hợp đồng.

Các tiêu chuẩn này quan trọng vì ví, trình khám phá blockchain, ứng dụng và giao thức có thể hỗ trợ hành vi token chung dễ dàng hơn.

Solidity cũng quan trọng vì lỗi hợp đồng thông minh có thể ảnh hưởng đến tiền thực của người dùng.

Một lỗi nhỏ trong mã Solidity có thể dẫn đến mất token, quyền hạn bị lỗi, hạch toán không chính xác, nâng cấp thất bại hoặc logic DeFi có thể bị khai thác.

Solidity hoạt động như thế nào?

Solidity cho phép nhà phát triển mô tả quy tắc hợp đồng thông minh bằng mã nguồn mà con người có thể đọc.

Sau đó, mã được biên dịch thành bytecode EVM thông qua trình biên dịch Solidity, thường gọi là solc.

Tài liệu về trình biên dịch Solidity giải thích rằng trình biên dịch có thể tạo đầu ra như tệp nhị phân, dữ liệu ABI, assembly, ước tính gas và cây cú pháp trừu tượng.

Sau khi biên dịch, bytecode triển khai được gửi trong một giao dịch blockchain để tạo tài khoản hợp đồng.

Sau khi triển khai, hợp đồng có một địa chỉ mà người dùng và các hợp đồng khác có thể gọi.

Người dùng thường không gọi hợp đồng thông minh bằng cách viết bytecode thô.

Họ thường tương tác thông qua ví, ứng dụng, script hoặc giao diện mã hóa các lệnh gọi hàm bằng ABI của hợp đồng.

Hợp đồng nhận dữ liệu giao dịch, thực thi theo quy tắc EVM, cập nhật vùng lưu trữ nếu được phép, phát sự kiện nếu mã quy định và trả về dữ liệu hoặc lỗi.

Mọi hành động làm thay đổi trạng thái đều cần giao dịch blockchain và khoản phí do người gửi giao dịch trả.

Đây là lý do việc phát triển Solidity phải cân nhắc cả tính chính xác lẫn chi phí gas.

Solidity và Máy ảo Ethereum

Máy ảo Ethereum, hay EVM, là môi trường thời gian chạy thực thi bytecode hợp đồng thông minh đã biên dịch.

Phần giới thiệu về hợp đồng thông minh của Solidity giải thích rằng EVM là môi trường thời gian chạy cho hợp đồng thông minh Ethereum và được cô lập với hệ thống xung quanh.

Solidity được thiết kế để nhắm đến EVM, nghĩa là mã Solidity được biên dịch thành các chỉ thị mà EVM hiểu được.

Thiết kế này cho phép hợp đồng thông minh thực thi theo cách xác định trên nhiều node.

Thực thi xác định nghĩa là mọi node trung thực phải đạt cùng kết quả khi xử lý cùng một giao dịch trong cùng trạng thái chuỗi.

Điều này thiết yếu vì blockchain cần sự đồng thuận về số dư, quyền sở hữu, vùng lưu trữ hợp đồng và kết quả giao dịch.

EVM cũng tạo môi trường sandbox nhằm giới hạn những việc hợp đồng có thể làm.

Hợp đồng Solidity không thể trực tiếp gọi một website ngẫu nhiên, đọc dữ liệu máy chủ riêng tư hoặc truy cập thông tin off-chain, trừ khi thông tin đó được đưa on-chain qua giao dịch hoặc hệ thống oracle.

Hạn chế này cải thiện tính xác định nhưng buộc nhà phát triển phải thiết kế cẩn thận cho nhu cầu dữ liệu bên ngoài.

Vì vậy, Solidity không chỉ là ngôn ngữ lập trình web thông thường, bởi nó chạy trong mô hình thực thi blockchain với các quy tắc nghiêm ngặt.

Solidity và hợp đồng thông minh

Hợp đồng thông minh Solidity là tập hợp mã và vùng lưu trữ tồn tại tại một địa chỉ blockchain sau khi triển khai.

Mã xác định những hàm nào có thể được gọi và các hàm đó thực hiện việc gì.

Vùng lưu trữ nắm giữ trạng thái dài hạn như số dư, địa chỉ chủ sở hữu, giá trị cấu hình, mapping, phiếu bầu, khoản nợ, khoản dự trữ và metadata token.

Hợp đồng có thể nhận giao dịch từ các tài khoản sở hữu bên ngoài do người dùng kiểm soát.

Hợp đồng cũng có thể gọi các hợp đồng khác, qua đó tạo ra những hệ thống on-chain có khả năng kết hợp.

Khả năng kết hợp là một trong các đặc tính crypto quan trọng nhất của Solidity vì một giao thức có thể xây dựng dựa trên giao diện hợp đồng của giao thức khác.

Một hợp đồng token có thể được sử dụng bởi giao thức cho vay, giao thức hoán đổi, hợp đồng staking và hệ thống quản trị.

Điều này làm Solidity trở nên mạnh mẽ, nhưng cũng tạo rủi ro vì lỗi của một hợp đồng có thể ảnh hưởng đến nhiều ứng dụng được kết nối.

Hợp đồng thông minh thường minh bạch sau khi được xác minh, nhưng minh bạch không tự động đồng nghĩa với an toàn.

Người dùng nên xem mỗi lần tương tác với hợp đồng là một giao dịch có rủi ro kỹ thuật và tài chính.

Cú pháp Solidity

Solidity sử dụng dấu ngoặc nhọn, khai báo hàm, biến, kiểu dữ liệu, struct, mapping, sự kiện, modifier và mô hình kế thừa; những yếu tố này có thể quen thuộc với nhà phát triển biết JavaScript, C++, Java hoặc các ngôn ngữ tương tự.

Tài liệu chính thức của Solidity cho biết ngôn ngữ này chịu ảnh hưởng từ C++, Python và JavaScript.

Một tệp Solidity thường bắt đầu bằng mã định danh giấy phép và câu lệnh pragma.

Câu lệnh pragma cho công cụ biết các phiên bản trình biên dịch được dự kiến cho tệp nguồn.

Sau đó, định nghĩa hợp đồng bao gồm biến trạng thái, sự kiện, lỗi, constructor, hàm, modifier và đôi khi là các kiểu lồng nhau.

Solidity có kiểu tĩnh, nghĩa là biến và tham số hàm có kiểu được khai báo.

Các kiểu phổ biến gồm bool, uint256, int256, address, bytes, string, arrays, structs, enums và mappings.

Nhà phát triển phải cân nhắc kỹ storage, memory, calldata, khả năng hiển thị, tính bất biến và kiểm soát truy cập.

Những chi tiết này quan trọng vì mã Solidity kiểm soát tài sản và có thể khó thay đổi sau khi triển khai.

Cú pháp trông đơn giản vẫn có thể tạo ra hành vi on-chain phức tạp.

Hợp đồng

Hợp đồng là khối xây dựng chính trong Solidity.

Một hợp đồng có thể lưu dữ liệu, định nghĩa hàm, phát sự kiện, kế thừa từ hợp đồng khác và tương tác với các hợp đồng khác.

Hợp đồng token có thể lưu số dư và hạn mức cho phép.

Hợp đồng cho vay có thể lưu tài sản thế chấp, khoản nợ, chỉ số lãi suất và cài đặt thanh lý.

Hợp đồng quản trị có thể lưu đề xuất, phiếu bầu, quy tắc số đại biểu tối thiểu và thời gian trì hoãn thực thi.

Hợp đồng staking có thể lưu khoản nạp, tỷ lệ phần thưởng, quy tắc rút và dữ liệu nhận thưởng.

Mỗi hợp đồng được triển khai nhận một địa chỉ riêng trên blockchain.

Người dùng gọi địa chỉ đó để tương tác với các hàm của hợp đồng.

Mã hợp đồng chỉ chạy khi giao dịch hoặc lệnh gọi kích hoạt nó.

Hợp đồng không chạy liên tục như ứng dụng máy chủ thông thường.

Biến trạng thái

Biến trạng thái là các biến được lưu vĩnh viễn trong storage của hợp đồng.

Chúng được dùng cho dữ liệu phải luôn khả dụng qua các giao dịch.

Ví dụ gồm số dư token, địa chỉ chủ sở hữu, tổng nguồn cung, cài đặt phí, khoản dự trữ giao thức, số phiếu, và vị thế người dùng.

Storage tốn kém vì các node blockchain phải lưu giữ và xác minh dữ liệu này.

Nhà phát triển nên tránh lưu dữ liệu không cần thiết on-chain.

Họ cũng cần thiết kế bố cục storage cẩn thận, đặc biệt với hợp đồng có thể nâng cấp.

Sai sót trong bố cục storage có thể làm hỏng trạng thái hợp đồng quan trọng trong quá trình nâng cấp.

Solidity có thể xuất thông tin bố cục storage qua trình biên dịch, giúp nhà phát triển và kiểm toán viên đánh giá rủi ro nâng cấp.

Người dùng hiếm khi thấy trực tiếp các biến trạng thái, trừ khi hợp đồng được xác minh hoặc trình khám phá blockchain cung cấp các lệnh gọi có thể đọc.

Tuy nhiên, các biến này thường quyết định cách xử lý tiền và quyền hạn của người dùng.

Hàm

Hàm xác định các hành động mà hợp đồng Solidity có thể thực hiện.

Một hàm có thể đọc dữ liệu, cập nhật storage, chuyển token, gọi hợp đồng khác, phát sự kiện hoặc revert khi điều kiện không được đáp ứng.

Khả năng hiển thị của hàm kiểm soát ai có thể gọi hàm và cách truy cập hàm.

Các từ khóa hiển thị phổ biến gồm public, external, internal và private.

Tính bất biến của hàm cho biết hàm có đọc hoặc thay đổi trạng thái hay không.

Các từ khóa bất biến phổ biến gồm view, pure và payable.

Hàm view có thể đọc trạng thái mà không thay đổi trạng thái.

Hàm pure không nên đọc hoặc thay đổi trạng thái hợp đồng.

Hàm payable có thể nhận tài sản gốc của chuỗi khi được gọi kèm giá trị.

Thiết kế hàm rất quan trọng vì nhiều lỗ hổng hợp đồng thông minh xuất phát từ thiếu kiểm tra, quyền hạn sai, lệnh gọi bên ngoài không an toàn hoặc hạch toán không chính xác.

Sự kiện

Sự kiện là các log do hợp đồng Solidity phát ra trong quá trình thực thi.

Chúng giúp ví, trình khám phá blockchain, indexer và ứng dụng theo dõi những gì đã diễn ra trong giao dịch.

Một lần chuyển token thường phát sự kiện Transfer khi được triển khai theo các tiêu chuẩn token phổ biến.

Giao thức DeFi có thể phát sự kiện cho việc nạp, rút, vay, hoàn trả, thanh lý, hoán đổi, bỏ phiếu hoặc thay đổi cấu hình.

Sự kiện hữu ích vì lưu trữ rẻ hơn storage hợp đồng đầy đủ và dễ được hệ thống off-chain lập chỉ mục.

Tuy nhiên, sự kiện không giống trạng thái hợp đồng.

Hợp đồng chỉ có thể phát sự kiện khi mã của nó quy định phải làm như vậy.

Ứng dụng không nên tin hoàn toàn vào log sự kiện nếu chưa hiểu logic hợp đồng.

Sự kiện rất hữu ích cho tính minh bạch và phân tích, nhưng cần được diễn giải cùng mã nền tảng.

Với người dùng, sự kiện thường tạo nên lịch sử giao dịch dễ đọc hiển thị trong ví và trình khám phá blockchain.

Modifier

Modifier là các phần logic Solidity có thể tái sử dụng, có thể thay đổi hoặc hạn chế hành vi của hàm.

Một modifier phổ biến sẽ kiểm tra liệu người gọi có phải chủ sở hữu, quản trị viên, người quản trị giao thức hoặc vai trò được ủy quyền trước khi cho phép hàm chạy hay không.

Modifier có thể giảm mã lặp lại và giúp kiểm soát truy cập dễ đọc hơn.

Tuy nhiên, modifier cũng có thể che giấu logic quan trọng nếu bị lạm dụng hoặc được viết không rõ ràng.

Một hàm có thể trông đơn giản trong khi modifier thực hiện các kiểm tra lớn hoặc thay đổi trạng thái ở nền.

Nhà phát triển nên giữ modifier rõ ràng và tập trung vào một mục đích.

Kiểm toán viên cần xem xét modifier cẩn thận vì chúng thường bảo vệ các hàm nhạy cảm.

Người dùng xem mã đã xác minh không nên đánh giá hàm chỉ qua phần thân hiển thị.

Họ cũng nên kiểm tra modifier được kế thừa và các điều kiện kiểm soát truy cập.

Modifier bị thiếu hoặc lỗi có thể tạo rủi ro bảo mật nghiêm trọng.

Mapping

Mapping là cấu trúc dữ liệu khóa-giá trị thường dùng trong hợp đồng Solidity.

Số dư token thường được lưu trong mapping từ địa chỉ đến số lượng.

Hạn mức cho phép có thể được lưu trong mapping lồng nhau từ chủ sở hữu đến bên chi tiêu rồi đến số lượng.

Hệ thống quản trị có thể dùng mapping để theo dõi liệu một địa chỉ đã bỏ phiếu hay chưa.

Hệ thống cho vay có thể dùng mapping để theo dõi tài sản thế chấp và khoản nợ của từng người dùng.

Mapping hiệu quả khi tra cứu giá trị theo khóa.

Tuy nhiên, mapping không dễ lặp trực tiếp on-chain.

Nhà phát triển thường dùng sự kiện hoặc cấu trúc dữ liệu bổ sung khi cần hệ thống off-chain liệt kê các mục trong mapping.

Mapping mạnh mẽ nhưng cần hạch toán cẩn thận.

Cập nhật mapping sai có thể dẫn đến số dư sai, quyền hạn bị lỗi hoặc mất tiền.

Giao diện

Giao diện định nghĩa chữ ký hàm mà một hợp đồng khác có thể gọi.

Giao diện quan trọng vì hợp đồng thông minh thường cần tương tác với hợp đồng thông minh khác.

Giao diện token có thể cho hợp đồng DeFi biết cách gọi transfer, transferFrom, approve, balanceOf hoặc allowance.

Giao diện oracle có thể cho giao thức cho vay biết cách đọc dữ liệu giá.

Giao diện quản trị có thể cho hợp đồng khác kiểm tra trạng thái đề xuất hoặc quyền biểu quyết.

Giao diện cải thiện khả năng kết hợp vì các hợp đồng có thể dựa trên những dạng hàm chung.

Tuy nhiên, giao diện chỉ mô tả các lệnh gọi và giá trị trả về dự kiến.

Nó không chứng minh hợp đồng tại một địa chỉ hoạt động trung thực hoặc an toàn.

Nhà phát triển nên xác thực các giả định về hợp đồng bên ngoài trước khi tích hợp.

Người dùng nên nhớ rằng khả năng kết hợp hợp đồng có thể lan truyền rủi ro qua các hệ thống được kết nối.

Thư viện

Thư viện là các đơn vị mã Solidity có thể tái sử dụng, giúp nhà phát triển tránh phải viết lại logic phổ biến.

Thư viện có thể cung cấp hàm toán học, tiện ích địa chỉ, công cụ hỗ trợ chuyển an toàn, công cụ mảng, công cụ chuỗi hoặc thao tác cấu trúc dữ liệu.

Một số thư viện được nhúng vào bytecode hợp đồng trong quá trình biên dịch.

Các thư viện khác có thể được triển khai riêng và liên kết theo địa chỉ.

Việc dùng thư viện có thể cải thiện chất lượng mã khi thư viện được kiểm thử tốt và xem xét rộng rãi.

Việc dùng thư viện cũng có thể tăng rủi ro nếu thư viện lỗi thời, độc hại, liên kết sai hoặc được sử dụng sai cách.

Nhà phát triển nên cố định phiên bản dependency và xem xét mã được import.

Kiểm toán viên nên xem xét thư viện như một phần của toàn bộ codebase.

Người dùng cần hiểu rằng một hợp đồng đã xác minh có thể phụ thuộc vào thư viện được import và mã kế thừa.

Một hợp đồng chỉ an toàn bằng toàn bộ tập hợp mã ảnh hưởng đến hành vi của nó.

Kế thừa

Kế thừa cho phép hợp đồng Solidity tái sử dụng và mở rộng mã từ các hợp đồng khác.

Điều này hữu ích cho logic quyền sở hữu chung, hành vi token, kiểm soát truy cập, kiểm soát tạm dừng, mô hình nâng cấp và module có thể tái sử dụng.

Kế thừa có thể giúp mã dễ tổ chức hơn khi được dùng cẩn thận.

Nó cũng có thể khiến mã khó xem xét hơn khi nhiều hợp đồng kế thừa tương tác theo cách phức tạp.

Hợp đồng con có thể ghi đè hàm của hợp đồng cha.

Đa kế thừa có thể tạo ra những vấn đề tinh vi về thứ tự và ghi đè.

Nhà phát triển nên giữ cấu trúc kế thừa đơn giản khi có thể.

Kiểm toán viên nên xem xét toàn bộ cây kế thừa thay vì chỉ hợp đồng cuối cùng.

Người dùng đọc mã đã xác minh nên kiểm tra các hợp đồng cha được import, không chỉ tên hợp đồng hiển thị trên trang.

Kế thừa rất mạnh mẽ, nhưng logic kế thừa ẩn có thể nguy hiểm nếu bị bỏ qua.

ABI

ABI là viết tắt của Application Binary Interface.

Đặc tả ABI chính thức của Solidity giải thích rằng ABI là cách tiêu chuẩn để tương tác với hợp đồng trong hệ sinh thái Ethereum.

ABI cho phần mềm biết cách mã hóa lệnh gọi hàm và giải mã giá trị trả về.

Ví, script, ứng dụng và trình khám phá blockchain dùng ABI để hiển thị tên hàm và trường tham số dễ đọc.

Nếu không có ABI, người dùng sẽ phải làm việc với calldata thô, vốn khó hiểu hơn nhiều.

ABI có thể bao gồm hàm, sự kiện, lỗi, đầu vào, đầu ra và thông tin kiểu dữ liệu.

ABI không chứng minh hợp đồng an toàn.

Nó chỉ mô tả cách gọi giao diện được công khai của hợp đồng.

Hợp đồng độc hại vẫn có thể có ABI trông rõ ràng.

Người dùng nên coi dữ liệu ABI là lớp hỗ trợ khả năng sử dụng, không phải bảo đảm về độ tin cậy.

Trình biên dịch Solidity

Trình biên dịch Solidity, hay solc, chuyển mã nguồn Solidity thành bytecode EVM và các artifact hỗ trợ.

Solc cũng có thể tạo dữ liệu ABI, metadata, ước tính gas, bố cục storage, cảnh báo, lỗi và đầu ra trung gian.

Phiên bản và cài đặt chính xác của trình biên dịch rất quan trọng vì chúng ảnh hưởng đến bytecode cuối cùng.

Thông báo phát hành Solidity 0.8.35 chính thức cho biết phiên bản 0.8.35 đã bổ sung builtin erc7201, cờ thử nghiệm cấp cao nhất và trình tạo mã SSA CFG thử nghiệm.

Phiên bản trình biên dịch quan trọng vì Solidity phát triển theo thời gian với tính năng, bản sửa lỗi, cảnh báo và thay đổi mục tiêu EVM mới.

Một hợp đồng được biên dịch bằng phiên bản này có thể không khớp với cùng mã nguồn được biên dịch bằng phiên bản khác.

Các cài đặt như trạng thái optimizer, số lần chạy optimizer, phiên bản EVM, via-IR và địa chỉ thư viện cũng ảnh hưởng đến đầu ra.

Đây là lý do hợp đồng đã xác minh thường hiển thị phiên bản và cài đặt trình biên dịch được dùng để khớp bytecode đã triển khai.

Nhà phát triển nên cố định phiên bản trình biên dịch cho triển khai production.

Người dùng nên hiểu rằng mã nguồn được xác minh phụ thuộc vào cài đặt biên dịch khớp nhau, không chỉ văn bản mã khớp nhau.

Bytecode

Bytecode là mã cấp thấp mà EVM thực thi sau khi hợp đồng Solidity được biên dịch và triển khai.

Bytecode triển khai được dùng để tạo hợp đồng.

Bytecode thời gian chạy là mã còn lại tại địa chỉ hợp đồng sau khi triển khai.

Blockchain thực thi bytecode thay vì văn bản mã nguồn Solidity gốc.

Đây là lý do xác minh mã nguồn quan trọng.

Xác minh cho thấy mã nguồn hiển thị và cài đặt trình biên dịch có thể tái tạo bytecode đã triển khai.

Tài liệu xác minh hợp đồng thông minh Ethereum chính thức giải thích rằng quá trình xác minh so sánh mã nguồn với bytecode đã biên dịch.

Bytecode khó đọc trực tiếp đối với hầu hết người dùng.

Mã nguồn đã xác minh giúp bytecode dễ hiểu hơn.

Tuy nhiên, bytecode đã xác minh vẫn cần được xem xét bảo mật trước khi người dùng tin tưởng giao tiền cho hợp đồng.

Gas

Gas là đơn vị đo lượng công việc tính toán cần để thực thi giao dịch và hoạt động hợp đồng thông minh.

Nhà phát triển Solidity phải quan tâm đến gas vì mã tốn kém có thể khiến hợp đồng đắt đỏ hoặc không thiết thực để sử dụng.

Ghi vào storage thường tốn nhiều chi phí hơn đọc memory hoặc calldata.

Vòng lặp trên tập dữ liệu lớn có thể trở nên nguy hiểm nếu cần quá nhiều gas.

Lệnh gọi bên ngoài có thể tăng chi phí và rủi ro bảo mật.

Triển khai hợp đồng cũng tốn gas vì bytecode phải được lưu on-chain.

Optimizer Solidity đôi khi có thể giảm chi phí gas hoặc kích thước bytecode, nhưng phải được cấu hình và kiểm thử cẩn thận.

Tối ưu gas không nên đánh đổi bằng logic thiếu rõ ràng hoặc không an toàn.

Trong crypto, hợp đồng quá đắt để sử dụng có thể khiến người dùng gặp lỗi trong giai đoạn mạng tắc nghẽn.

Phát triển Solidity tốt cân bằng giữa an toàn, rõ ràng và hiệu quả.

Solidity và token

Solidity được sử dụng rộng rãi để tạo và quản lý hợp đồng token.

Hợp đồng token có thể thay thế có thể theo dõi số dư, hạn mức cho phép, tổng nguồn cung, chuyển token, phê duyệt, mint, burn và kiểm soát truy cập.

Hợp đồng NFT có thể theo dõi ID token duy nhất, chủ sở hữu, phê duyệt, liên kết metadata và quy tắc chuyển.

Hợp đồng đa token có thể quản lý nhiều loại token trong một hệ thống hợp đồng.

Tiêu chuẩn token quan trọng vì giúp ví, trình khám phá blockchain và ứng dụng hỗ trợ token dễ hơn.

ERC-20, ERC-721 và ERC-1155 là những tiêu chuẩn token cấp ứng dụng quan trọng nhất trong hệ sinh thái Ethereum.

Tuy nhiên, việc token được viết bằng Solidity hoặc tuân theo tiêu chuẩn không khiến token đó tự động an toàn hay có giá trị.

Hợp đồng token có thể bao gồm quyền mint, logic blacklist, phí, kiểm soát tạm dừng, khả năng nâng cấp hoặc quyền quản trị nguy hiểm.

Người dùng nên xem xét quyền hạn token, phân bổ người nắm giữ, thanh khoản, quy tắc nguồn cung và mã nguồn đã xác minh trước khi tin tưởng token.

Solidity giúp tạo token khả thi, nhưng chất lượng token phụ thuộc vào thiết kế và quản trị.

Solidity và DeFi

Solidity là nền tảng của nhiều ứng dụng tài chính phi tập trung (DeFi).

Hợp đồng DeFi có thể quản lý hoán đổi, pool thanh khoản, thị trường cho vay, vault, phái sinh, staking, chiến lược lợi suất và hệ thống quản trị.

Các hệ thống này thường nắm giữ lượng lớn tài sản người dùng, khiến bảo mật Solidity trở nên cực kỳ quan trọng.

Giao thức DeFi có thể thất bại do lỗi mã, vấn đề oracle, mô hình hạch toán kém, quy tắc thanh lý lỗi, nâng cấp không an toàn hoặc tấn công quản trị.

Solidity cho phép các hợp đồng gọi lẫn nhau, khiến DeFi có khả năng kết hợp cao.

Khả năng kết hợp có thể tạo ra các khối xây dựng tài chính hữu ích.

Khả năng kết hợp cũng có thể tạo rủi ro phụ thuộc khi một giao thức dựa vào hành vi của giao thức khác.

Nhà phát triển nên kiểm thử tích hợp trong nhiều điều kiện thị trường và kịch bản thất bại.

Người dùng nên hiểu rằng hợp đồng thông minh DeFi có thể vừa minh bạch vừa rủi ro.

Lợi suất cao hoặc khối lượng lớn không chứng minh mã Solidity an toàn.

Solidity và NFT

Solidity thường được dùng để tạo hợp đồng NFT, xác định quy tắc sở hữu và chuyển nhượng cho tài sản kỹ thuật số độc nhất.

Hợp đồng thông minh NFT có thể gán ID token, lưu hồ sơ sở hữu, quản lý phê duyệt và liên kết với metadata.

Metadata NFT thường trỏ đến hình ảnh, thuộc tính, mô tả hoặc tệp bên ngoài.

Hợp đồng thông minh có thể không lưu trực tiếp toàn bộ nội dung truyền thông on-chain vì lưu dữ liệu lớn on-chain có thể tốn kém.

Người dùng nên kiểm tra metadata NFT là on-chain, phi tập trung, có thể thay đổi hay do cơ quan dự án kiểm soát.

Hợp đồng NFT Solidity đã xác minh có thể cho thấy quy tắc mint, giới hạn nguồn cung, cách hoạt động của royalty, hạn chế chuyển và quyền quản trị.

Tuy nhiên, nhiều rủi ro NFT không chỉ là rủi ro mã.

Rủi ro NFT còn gồm bộ sưu tập giả, tác phẩm sao chép, thanh khoản yếu, metadata lỗi, lời hứa gây hiểu lầm và thao túng thị trường.

Solidity cung cấp logic sở hữu, nhưng không đảm bảo giá trị văn hóa hoặc nhu cầu trong tương lai.

Người mua NFT nên kết hợp xem xét hợp đồng với xác minh bộ sưu tập và phân tích thanh khoản.

Solidity và DAO

Solidity thường được dùng để xây dựng hợp đồng quản trị DAO.

Hợp đồng DAO có thể quản lý đề xuất, quyền biểu quyết, ủy quyền, timelock, thực thi treasury và quyền hạn vai trò.

Hợp đồng quản trị có thể cho phép người nắm giữ token hoặc thành viên bỏ phiếu về thay đổi giao thức.

Chúng cũng có thể kiểm soát các hành động nhạy cảm như nâng cấp, chuyển tiền treasury, thay đổi tham số và tạm dừng khẩn cấp.

Hợp đồng DAO cần được thiết kế cẩn thận vì tấn công quản trị có thể ảnh hưởng đến tài sản thực.

Hệ thống bỏ phiếu được thiết kế kém có thể dễ bị ảnh hưởng bởi tỷ lệ tham gia thấp, mua phiếu, bỏ phiếu bằng flash loan, kiểm soát của cá voi hoặc thực thi vội vàng.

Timelock có thể cho người dùng thời gian phản ứng trước khi thay đổi được phê duyệt có hiệu lực.

Kiểm soát khẩn cấp có thể giảm thiệt hại nhưng cũng tạo ra quyền lực tập trung.

Solidity cung cấp cho DAO công cụ quản trị có thể lập trình, nhưng an toàn quản trị phụ thuộc vào cả mã lẫn sự phối hợp của con người.

Người dùng nên xem xét ai có thể thay đổi giao thức và các thay đổi có thể diễn ra nhanh đến đâu.

Rủi ro bảo mật Solidity

Bảo mật Solidity là một trong các chủ đề quan trọng nhất trong phát triển crypto.

Tài liệu về các cân nhắc bảo mật Solidity chính thức đề cập các rủi ro như reentrancy, giới hạn gas, gửi và nhận ether, tx.origin, các chi tiết nhỏ và vấn đề liên quan đến trình biên dịch.

Reentrancy có thể xảy ra khi một hợp đồng gọi hợp đồng bên ngoài trước khi cập nhật trạng thái của chính nó một cách an toàn.

Lỗi kiểm soát truy cập có thể cho phép người dùng không được ủy quyền gọi các hàm nhạy cảm.

Lỗi số nguyên và hạch toán có thể tạo số dư sai hoặc logic phí bị lỗi.

Lỗi oracle có thể gây ra giá không chính xác và thanh lý không công bằng.

Lỗi nâng cấp có thể thay thế logic an toàn bằng logic không an toàn.

Lệnh gọi bên ngoài không được kiểm tra có thể tạo ra các đường thực thi ngoài dự kiến.

Lỗi xác minh chữ ký có thể cho phép tấn công phát lại hoặc phê duyệt giả.

Bảo mật hợp đồng thông minh đòi hỏi lập mô hình mối đe dọa, kiểm thử, đánh giá, kiểm toán, giám sát và thiết kế thận trọng.

Reentrancy

Reentrancy là lỗ hổng hợp đồng thông minh nổi tiếng, trong đó lệnh gọi bên ngoài cho phép hợp đồng khác gọi lại trước khi hợp đồng đầu tiên hoàn tất cập nhật trạng thái.

Điều này có thể cho phép rút tiền lặp lại, hạch toán bị lỗi hoặc luồng kiểm soát ngoài dự kiến.

Tài liệu bảo mật Solidity khuyến nghị mô hình Checks-Effects-Interactions là một cách để giảm rủi ro reentrancy.

Mô hình này nghĩa là hợp đồng nên kiểm tra điều kiện trước, cập nhật trạng thái nội bộ thứ hai và tương tác với hợp đồng bên ngoài sau cùng.

Bảo vệ reentrancy cũng có thể bao gồm khóa, thiết kế pull-payment và xem xét cẩn thận lệnh gọi bên ngoài.

Nhà phát triển không nên giả định gửi tài sản là vô hại.

Lệnh gọi bên ngoài có thể thực thi mã và thay đổi luồng kiểm soát.

Người dùng nên cẩn thận với các giao thức có logic rút tiền chưa được kiểm toán hoặc đường callback phức tạp.

Reentrancy không phải rủi ro Solidity duy nhất, nhưng là một trong các ví dụ quan trọng nhất cho thấy logic hợp đồng thông minh khác với phần mềm thông thường.

Một giao dịch chuyển trông an toàn có thể trở nên nguy hiểm nếu cập nhật trạng thái diễn ra sai thứ tự.

Kiểm soát truy cập

Kiểm soát truy cập quyết định ai có thể gọi các hàm Solidity nhạy cảm.

Các hàm quan trọng có thể bao gồm mint token, tạm dừng chuyển token, nâng cấp hợp đồng, thay đổi phí, thiết lập oracle, rút tiền treasury hoặc cấp vai trò.

Kiểm soát truy cập có thể dựa trên địa chỉ chủ sở hữu, vai trò, ví đa chữ ký, hợp đồng quản trị, timelock hoặc hệ thống quyền tùy chỉnh.

Kiểm soát truy cập yếu có thể cho kẻ tấn công hoặc người nội bộ thay đổi hành vi hợp đồng.

Kiểm soát truy cập quá tập trung cũng có thể tạo rủi ro tin cậy cho người dùng.

Một hợp đồng có thể hoạt động đúng về mặt kỹ thuật nhưng vẫn không an toàn nếu một khóa riêng tư có thể rút sạch tiền hoặc thay đổi quy tắc ngay lập tức.

Nhà phát triển nên thiết kế quyền hạn theo nguyên tắc đặc quyền tối thiểu, phân tách vai trò rõ ràng và kế hoạch khôi phục.

Người dùng nên xem xét quyền quản trị trước khi nạp tiền vào giao thức.

Mã Solidity đã xác minh có thể cho thấy logic quyền hạn khi mã nguồn khả dụng.

Rủi ro quản trị viên là rủi ro hợp đồng thông minh ngay cả khi không có lỗi mã.

An toàn số nguyên

Phép toán số nguyên quan trọng trong Solidity vì hợp đồng thường xử lý số dư, cổ phần, giá, phí, lãi suất và phần thưởng.

Các phiên bản Solidity cũ yêu cầu chú ý thủ công nhiều hơn về tràn số nguyên và tràn dưới.

Solidity 0.8.x đưa vào phép tính số học được kiểm tra theo mặc định, khiến giao dịch revert trong hầu hết điều kiện tràn và tràn dưới, trừ khi dùng khối unchecked.

Cải thiện bảo mật này không loại bỏ mọi rủi ro toán học.

Nhà phát triển vẫn có thể mắc lỗi về làm tròn, độ chính xác, hệ số tỷ lệ, khác biệt số thập phân, thứ tự phí và hạch toán cổ phần.

Khối unchecked có thể cải thiện hiệu quả gas trong một số trường hợp nhưng phải được dùng cẩn thận.

Hợp đồng DeFi thường dùng toán học dấu phẩy động cố định và số thập phân token, có thể tạo lỗi tinh vi.

Kiểm toán viên nên xem xét các giả định toán học và trường hợp biên.

Người dùng nên hiểu rằng phép tính số học an toàn không tự động có nghĩa là kinh tế học an toàn.

Công thức chính xác cũng quan trọng như bảo vệ chống tràn.

Oracle và dữ liệu bên ngoài

Hợp đồng Solidity không thể tự truy cập trực tiếp dữ liệu off-chain.

Tài liệu oracle Ethereum chính thức giải thích rằng oracle cung cấp dữ liệu từ thế giới bên ngoài cho hợp đồng thông minh.

Oracle có thể cung cấp giá, tính ngẫu nhiên, dữ liệu bằng chứng, dữ liệu thời tiết, dữ liệu thể thao, thông tin danh tính hoặc dữ liệu off-chain khác.

Trong DeFi, oracle giá đặc biệt quan trọng vì chúng có thể quyết định giá trị tài sản thế chấp, thanh lý, mint, quy đổi và quyết toán.

Thiết kế oracle kém có thể gây tổn thất lớn ngay cả khi mã Solidity được viết đúng.

Nhà phát triển nên tránh dựa vào giá Spot dễ bị thao túng từ các thị trường thanh khoản mỏng.

Họ cũng nên cân nhắc tần suất cập nhật, hành vi dự phòng, độ trễ dữ liệu và circuit breaker.

Người dùng nên kiểm tra nguồn oracle mà giao thức dùng trước khi nạp tài sản thế chấp hoặc vay tài sản.

Solidity có thể thực thi quy tắc dựa trên oracle, nhưng không thể biến dữ liệu kém thành dữ liệu tốt.

Dữ liệu bên ngoài là một trong các giả định tin cậy lớn nhất trong nhiều hệ thống hợp đồng thông minh.

Khả năng nâng cấp

Hợp đồng Solidity thường được mô tả là bất biến, nhưng nhiều dự án dùng mô hình nâng cấp để thay đổi logic sau khi triển khai.

Hợp đồng có thể nâng cấp thường tách hợp đồng proxy khỏi hợp đồng implementation.

Proxy giữ địa chỉ và storage, trong khi implementation chứa logic có thể được thay thế qua hàm nâng cấp.

Khả năng nâng cấp có thể sửa lỗi và bổ sung tính năng.

Nó cũng có thể tạo rủi ro tin cậy vì quản trị viên hoặc bộ máy quản trị có thể thay đổi quy tắc sau khi người dùng nạp tiền.

Bố cục storage phải được xử lý cẩn thận vì nâng cấp không chính xác có thể làm hỏng trạng thái.

Người dùng nên kiểm tra liệu hợp đồng có thể nâng cấp không, ai kiểm soát nâng cấp, có timelock hay không và liệu các nâng cấp có được công bố công khai hay không.

Nhà phát triển nên tài liệu hóa rõ ràng quyền nâng cấp.

Kiểm toán viên nên xem xét cả implementation hiện tại lẫn cơ chế kiểm soát nâng cấp.

Khả năng nâng cấp hữu ích, nhưng nó thay đổi mô hình tin cậy của hợp đồng Solidity.

Xác minh mã nguồn

Xác minh mã nguồn giúp người dùng xác nhận rằng mã nguồn Solidity được công bố khớp với bytecode đã triển khai.

Tài liệu xác minh Ethereum giải thích rằng việc xác minh so sánh mã nguồn hợp đồng với bytecode đã biên dịch được dùng khi tạo hợp đồng.

Việc xác minh thường cần chính xác các tệp nguồn, phiên bản trình biên dịch, cài đặt trình biên dịch, đối số constructor, địa chỉ thư viện và cấu hình metadata.

Mã nguồn đã xác minh tăng tính minh bạch vì người dùng có thể đọc logic đằng sau hợp đồng.

Nó cũng giúp ví và trình khám phá blockchain giải mã lệnh gọi hàm và sự kiện.

Tuy nhiên, xác minh mã nguồn không giống kiểm toán.

Hợp đồng đã xác minh vẫn có thể chứa lỗi, quyền kiểm soát quản trị không an toàn, rủi ro nâng cấp hoặc thiết kế kinh tế kém.

Hợp đồng chưa xác minh khó tin cậy hơn vì người dùng không thể dễ dàng so sánh mã mà con người có thể đọc với bytecode đã triển khai.

Người dùng nên thận trọng khi website yêu cầu phê duyệt hoặc nạp tiền vào hợp đồng chưa xác minh.

Xác minh là điểm khởi đầu của thẩm định, không phải điểm kết thúc.

Phiên bản Solidity

Phiên bản Solidity quan trọng vì ngôn ngữ thay đổi theo thời gian.

Phiên bản mới có thể bổ sung tính năng, cải thiện cảnh báo, thay đổi giá trị mặc định, sửa lỗi trình biên dịch và hỗ trợ hành vi EVM mới.

Thông báo phát hành Solidity chính thức công bố chi tiết về các bản phát hành trình biên dịch và thay đổi ngôn ngữ.

Theo thông tin phát hành chính thức có sẵn vào năm 2026, Solidity 0.8.35 là bản phát hành trình biên dịch gần đây với chức năng mới và các tính năng trình biên dịch thử nghiệm.

Dự án production không nên tùy tiện nâng cấp phiên bản trình biên dịch.

Mỗi lần nâng cấp trình biên dịch cần được kiểm thử vì bytecode, hành vi gas, cảnh báo và đầu ra build có thể thay đổi.

Nhà phát triển nên đọc ghi chú phát hành trước khi thay đổi phiên bản trình biên dịch.

Kiểm toán viên nên xem xét phiên bản trình biên dịch được dùng trong bản build đã kiểm toán.

Người dùng xem xét hợp đồng đã xác minh nên kiểm tra phiên bản trình biên dịch hiển thị trên trình khám phá blockchain.

Việc lựa chọn phiên bản Solidity là một phần của tính an toàn và khả năng tái lập hợp đồng thông minh.

Lỗi trình biên dịch Solidity

Lỗi trình biên dịch hiếm gặp nhưng quan trọng vì trình biên dịch chuyển mã nguồn thành bytecode thực sự chạy on-chain.

Tài liệu lỗi đã biết của Solidity chính thức theo dõi các lỗi trình biên dịch đã biết và những phiên bản bị ảnh hưởng.

Một hợp đồng có thể bị ảnh hưởng bởi vấn đề trình biên dịch ngay cả khi mã nguồn có vẻ chính xác.

Nhà phát triển nên kiểm tra các lỗi trình biên dịch đã biết trước khi triển khai hợp đồng production.

Kiểm toán viên nên đưa việc xem xét phiên bản trình biên dịch vào quy trình của mình.

Người dùng nên thận trọng khi hợp đồng sử dụng phiên bản trình biên dịch rất cũ mà không có lý do rõ ràng.

Không phải mọi phiên bản trình biên dịch cũ đều tự động không an toàn, nhưng các phiên bản cũ có thể thiếu những kiểm tra và bản sửa lỗi mới hơn.

Các nhóm hợp đồng thông minh nên coi trình biên dịch là một phần trong chuỗi cung ứng phần mềm đáng tin cậy.

Bản build có thể tái lập và cài đặt trình biên dịch được ghi lại giúp xác định liệu lỗi đã biết có thể áp dụng hay không.

Rủi ro trình biên dịch là một lý do khác khiến artifact triển khai cần được lưu giữ.

Công cụ phát triển Solidity

Nhà phát triển Solidity thường dùng công cụ để viết, biên dịch, kiểm thử, triển khai, xác minh và giám sát hợp đồng.

Remix IDE chính thức là môi trường dựa trên trình duyệt, thường được dùng để học, viết, biên dịch và kiểm thử hợp đồng Solidity.

Framework dòng lệnh và môi trường phát triển cục bộ có thể tự động hóa biên dịch, kiểm thử, triển khai, fork testing và xác minh.

Công cụ phân tích tĩnh có thể quét mã Solidity để phát hiện các lỗ hổng phổ biến và mô hình rủi ro.

Công cụ fuzz testing có thể tạo nhiều đầu vào để tìm hành vi ngoài dự kiến.

Công cụ xác minh hình thức có thể chứng minh các thuộc tính được chọn dưới những giả định đã xác định.

Không công cụ đơn lẻ nào có thể bảo đảm an toàn.

Phát triển Solidity chuyên nghiệp thường kết hợp unit test, integration test, fuzz test, xem xét mã, kiểm toán, script triển khai, giám sát và lập kế hoạch ứng phó sự cố.

Người mới nên bắt đầu với hợp đồng nhỏ và mạng thử nghiệm trước khi động đến tiền thật.

Các nhóm nâng cao nên sử dụng pipeline build có thể tái lập và quy trình kiểm soát phát hành nghiêm ngặt.

Kiểm thử hợp đồng Solidity

Kiểm thử là điều thiết yếu vì hợp đồng thông minh đã triển khai có thể kiểm soát tài sản có giá trị.

Unit test kiểm tra từng hàm riêng lẻ và hành vi dự kiến.

Integration test kiểm tra cách nhiều hợp đồng hoạt động cùng nhau.

Fork test mô phỏng hành vi hợp đồng dựa trên trạng thái chuỗi thực được sao chép vào môi trường cục bộ.

Fuzz test thử nhiều đầu vào ngẫu nhiên hoặc có cấu trúc để tìm trường hợp biên.

Invariant test kiểm tra rằng các quy tắc quan trọng vẫn đúng qua nhiều hành động.

Kiểm thử nên bao gồm luồng thông thường, luồng lỗi, kiểm tra quyền hạn, trường hợp biên và kịch bản người dùng độc hại.

Nhà phát triển nên kiểm thử với số thập phân token thực tế, hành vi token bất thường, giá trị lớn, giá trị bằng không và điều kiện biên.

Kiểm thử không thể chứng minh mọi hành vi có thể xảy ra đều an toàn, nhưng có thể giảm đáng kể các sai sót có thể phòng tránh.

Mã Solidity chưa kiểm thử không nên được tin tưởng để quản lý khoản tiền đáng kể.

Kiểm toán

Kiểm toán hợp đồng thông minh là quá trình chuyên gia đánh giá bảo mật bằng cách xem xét mã Solidity, kiến trúc, quyền hạn, kiểm thử và các giả định rủi ro.

Kiểm toán có thể phát hiện lỗi, khiếm khuyết thiết kế, vấn đề kiểm soát truy cập, rủi ro kinh tế, vấn đề nâng cấp và thiếu sót tài liệu.

Kiểm toán không đảm bảo hợp đồng an toàn.

Đây là quy trình giảm rủi ro, không phải lá chắn hoàn hảo.

Chất lượng kiểm toán phụ thuộc vào phạm vi, thời gian, năng lực kiểm toán viên, mức độ bao phủ kiểm thử, tài liệu và cách nhóm xử lý phát hiện.

Người dùng nên đọc xem các phát hiện kiểm toán đã được khắc phục hay được chấp nhận.

Họ cũng nên kiểm tra liệu hợp đồng triển khai có khớp với commit đã kiểm toán và cài đặt trình biên dịch hay không.

Một dự án có thể được kiểm toán nhưng sau đó vẫn triển khai các bản nâng cấp chưa được kiểm toán.

Kiểm toán hữu ích nhất khi kết hợp với xác minh công khai, bug bounty, giám sát và giới hạn ra mắt thận trọng.

Hợp đồng Solidity quản lý giá trị lớn nên được xem xét nghiêm túc trước khi triển khai mainnet.

Solidity và tương tác ví

Ví giúp người dùng ký giao dịch gọi hợp đồng Solidity.

Ví có thể hiển thị địa chỉ hợp đồng, tên hàm, tham số, phê duyệt tài sản, phí gas và thông báo cảnh báo.

Ví không phải lúc nào cũng biết hợp đồng có an toàn hay không.

Một số website độc hại có thể yêu cầu người dùng ký các giao dịch nguy hiểm gọi hàm Solidity thật theo cách có hại.

Phê duyệt token đặc biệt quan trọng vì một phê duyệt có thể cho phép hợp đồng chi tiêu token từ ví đến một số tiền xác định.

Người dùng nên xem xét số tiền phê duyệt và địa chỉ hợp đồng trước khi ký.

Họ nên tránh ký giao dịch mà mình không hiểu.

Họ nên thận trọng khi giao diện che giấu calldata hoặc yêu cầu phê duyệt không giới hạn.

Solidity cho phép tương tác có thể lập trình, nhưng người dùng vẫn kiểm soát chữ ký từ ví của mình.

Chữ ký giao dịch có thể vĩnh viễn chuyển tiền hoặc cấp quyền hạn.

Solidity và phê duyệt token

Phê duyệt token là mô hình Solidity phổ biến cho phép một địa chỉ chi tiêu token thay mặt địa chỉ khác.

Trong token kiểu ERC-20, approve thiết lập hạn mức cho phép và transferFrom sử dụng hạn mức đó.

Thiết kế này giúp hoán đổi DeFi, nạp tiền, thanh toán và hành động tự động trở nên khả thi.

Nó cũng tạo rủi ro vì bên chi tiêu độc hại hoặc bị xâm phạm có thể dùng phê duyệt để chuyển token trong giới hạn đã được phê duyệt.

Phê duyệt không giới hạn thuận tiện nhưng làm tăng mức độ rủi ro.

Người dùng nên chỉ phê duyệt số tiền cần thiết khi phù hợp.

Họ nên thu hồi các phê duyệt không dùng qua công cụ ví hoặc công cụ bảo mật đáng tin cậy.

Nhà phát triển nên thiết kế giao diện giải thích rõ phê duyệt.

Kiểm toán viên nên kiểm tra xử lý hạn mức cho phép nhằm phát hiện điều kiện tranh chấp, thiếu kiểm tra và giả định không an toàn.

Phê duyệt là một trong những cách phổ biến nhất mà người dùng thông thường tương tác với rủi ro Solidity.

Solidity và xác minh hình thức

Xác minh hình thức sử dụng phương pháp toán học để chứng minh các thuộc tính hợp đồng được chọn đúng trong những giả định xác định.

Điều này có thể hữu ích cho hệ thống giá trị cao, giao thức tài chính, bridge, module quản trị và logic hạch toán cốt lõi.

Một thuộc tính có thể nêu rằng tổng nguồn cung không bao giờ vượt giới hạn hoặc người dùng không thể rút nhiều hơn số dư của họ.

Xác minh hình thức không loại bỏ nhu cầu kiểm thử và kiểm toán.

Nó chỉ chứng minh các thuộc tính thực sự được chỉ định.

Nếu đặc tả không đầy đủ hoặc sai, bằng chứng có thể bỏ sót rủi ro thực tế.

Phương pháp hình thức có thể tốn kém và cần kiến thức chuyên môn.

Chúng mạnh nhất khi áp dụng cho logic quan trọng với quy tắc rõ ràng.

Đối với Solidity, xác minh hình thức là một phần của quy trình bảo mật trưởng thành.

Nó đặc biệt hữu ích khi sự cố hợp đồng có thể gây tổn thất lớn.

Ưu điểm của Solidity

Ưu điểm đầu tiên của Solidity là mức độ chấp nhận trong hệ sinh thái.

Nhiều công cụ hợp đồng thông minh, hướng dẫn, kiểm toán, tiêu chuẩn, thư viện và cộng đồng nhà phát triển hỗ trợ Solidity.

Ưu điểm thứ hai là khả năng tương thích EVM.

Hợp đồng Solidity có thể nhắm đến Ethereum và những môi trường khác hỗ trợ EVM khi quy tắc mạng và cài đặt triển khai tương thích.

Ưu điểm thứ ba là khả năng kết hợp.

Hợp đồng Solidity có thể gọi hợp đồng khác và xây dựng trên các tiêu chuẩn token, giao diện giao thức hiện có.

Ưu điểm thứ tư là khả năng biểu đạt.

Nhà phát triển có thể xây dựng token, hệ thống DeFi, DAO, game, NFT và logic tài chính tự động.

Ưu điểm thứ năm là tính minh bạch vì mã nguồn Solidity đã xác minh có thể được người dùng và kiểm toán viên đọc, xem xét.

Những ưu điểm này giải thích vì sao Solidity vẫn là một trong các ngôn ngữ hợp đồng thông minh quan trọng nhất trong crypto.

Rủi ro và hạn chế của Solidity

Rủi ro đầu tiên là lỗi có thể gây tổn thất lớn và khó khắc phục sau khi triển khai.

Rủi ro thứ hai là logic hợp đồng thông minh có thể bị bất kỳ người dùng nào tìm thấy điểm yếu khai thác.

Rủi ro thứ ba là hợp đồng Solidity thường tương tác với các hợp đồng khác, tạo ra rủi ro phụ thuộc.

Rủi ro thứ tư là chi phí gas có thể khiến một số thiết kế không thực tế.

Rủi ro thứ năm là khả năng nâng cấp có thể tạo rủi ro tin cậy từ quản trị viên hoặc cơ chế quản trị.

Rủi ro thứ sáu là mã nguồn đã xác minh vẫn có thể độc hại hoặc được thiết kế kém.

Rủi ro thứ bảy là nhà phát triển có thể hiểu sai hành vi EVM, bố cục storage, reentrancy hoặc lệnh gọi bên ngoài.

Rủi ro thứ tám là người dùng có thể ký giao dịch có hại mà không hiểu hợp đồng Solidity sẽ làm gì.

Rủi ro thứ chín là vấn đề oracle và thiết kế kinh tế có thể làm giao thức hỏng ngay cả khi cú pháp đúng.

Rủi ro thứ mười là cài đặt trình biên dịch và phiên bản dependency có thể làm thay đổi bytecode cuối cùng được triển khai.

Lỗi phổ biến trong Solidity

Một lỗi phổ biến là viết kiểm soát truy cập không bảo vệ các hàm nhạy cảm.

Lỗi khác là thực hiện lệnh gọi bên ngoài trước khi cập nhật trạng thái nội bộ một cách an toàn.

Lỗi thứ ba là tin tưởng tx.origin để cấp quyền, điều mà tài liệu bảo mật Solidity cảnh báo không nên làm.

Lỗi thứ tư là bỏ qua số thập phân token và vấn đề độ chính xác trong tính toán.

Lỗi thứ năm là giả định mọi token kiểu ERC-20 đều hoạt động hoàn toàn giống nhau.

Lỗi thứ sáu là dùng hợp đồng có thể nâng cấp mà không bảo toàn bố cục storage.

Lỗi thứ bảy là triển khai với cài đặt trình biên dịch khác với bản build đã kiểm toán.

Lỗi thứ tám là bỏ qua cảnh báo trình biên dịch.

Lỗi thứ chín là trao quá nhiều quyền cho một khóa quản trị viên.

Lỗi thứ mười là ra mắt hợp đồng trước khi kiểm thử các trường hợp biên và kịch bản thất bại.

Cách đánh giá hợp đồng Solidity

Hãy bắt đầu bằng việc kiểm tra mã nguồn hợp đồng có được xác minh hay không.

Sau đó, kiểm tra phiên bản trình biên dịch, cài đặt optimizer, đối số constructor và thư viện được liên kết.

Xem xét hợp đồng có thể nâng cấp không và ai kiểm soát nâng cấp.

Kiểm tra vai trò quản trị viên, quyền chủ sở hữu, cơ chế đa chữ ký, timelock và hàm khẩn cấp.

Khi đánh giá hợp đồng token, hãy xem xét hoạt động mint, burn, tạm dừng, blacklist, phí và hạn chế chuyển.

Khi đánh giá hợp đồng DeFi, hãy xem xét nguồn oracle, quy tắc tài sản thế chấp, logic thanh lý và hạch toán.

Kiểm tra có kiểm toán hay không và các phát hiện kiểm toán đã được khắc phục chưa.

Đối chiếu địa chỉ hợp đồng đã triển khai với các nguồn chính thức của dự án.

Xem xét giao dịch và sự kiện gần đây để biết hợp đồng đang được sử dụng như thế nào.

Hợp đồng Solidity nên được đánh giá đồng thời như mã, hạ tầng, quản trị và thiết kế kinh tế.

Thực tiễn tốt nhất cho nhà phát triển

Sử dụng phiên bản trình biên dịch Solidity ổn định gần đây sau khi đọc ghi chú phát hành và kiểm thử hành vi.

Cố định phiên bản trình biên dịch và dependency cho các bản build production.

Hãy coi cảnh báo trình biên dịch là hạng mục cần xem xét thay vì nhiễu vô hại.

Sử dụng kiểm soát truy cập rõ ràng và quyền theo nguyên tắc đặc quyền tối thiểu.

Tuân thủ các mô hình gọi bên ngoài an toàn như Checks-Effects-Interactions khi phù hợp.

Viết kiểm thử cho đường đi thông thường, đường lỗi, trường hợp biên và hành vi người dùng độc hại.

Dùng phân tích tĩnh, fuzz testing và kiểm toán cho hợp đồng quản lý giá trị đáng kể.

Tài liệu hóa quyền quản trị viên, quyền nâng cấp, giả định oracle và kiểm soát khẩn cấp.

Xác minh mã nguồn sau triển khai bằng cài đặt trình biên dịch chính xác.

Giám sát hợp đồng đã triển khai và chuẩn bị kế hoạch ứng phó sự cố trước khi ra mắt.

Thực tiễn tốt nhất cho người dùng

Kiểm tra hợp đồng có được xác minh trước khi tương tác hay không.

Đối chiếu địa chỉ hợp đồng với nguồn chính thức của dự án thay vì tin vào liên kết từ tin nhắn ngẫu nhiên.

Xem xét phê duyệt token trước khi ký giao dịch.

Thận trọng với phê duyệt không giới hạn và thu hồi quyền không dùng khi phù hợp.

Kiểm tra hợp đồng có thể nâng cấp không và ai kiểm soát nâng cấp.

Không nên cho rằng hợp đồng đã xác minh nghĩa là đã kiểm toán hoặc an toàn.

Không nạp tiền vào hợp đồng mà bạn không thể hiểu hoặc không thể tự đánh giá là đáng tin cậy.

Sử dụng ví cứng hoặc biện pháp bảo mật ví mạnh cho các tương tác giá trị cao.

Hãy cẩn thận với hợp đồng Solidity mới, chưa kiểm toán, lợi suất cao hoặc ẩn danh.

Hãy nhớ rằng giao dịch blockchain thường không thể đảo ngược sau khi được xác nhận.

Câu hỏi thường gặp

Solidity được dùng để làm gì?

Solidity được dùng để viết hợp đồng thông minh cho Ethereum và các môi trường blockchain tương thích EVM khác.

Solidity có phải là tiền mã hóa không?

Không. Solidity là ngôn ngữ lập trình, không phải tiền mã hóa hay token.

Solidity chỉ dành cho Ethereum phải không?

Solidity được thiết kế cho Ethereum, nhưng cũng được dùng trên các mạng blockchain khác hỗ trợ Máy ảo Ethereum hoặc môi trường thực thi tương thích.

Hợp đồng thông minh Solidity là gì?

Hợp đồng thông minh Solidity là mã blockchain xác định quy tắc lưu dữ liệu, xử lý giao dịch, quản lý tài sản và tương tác với người dùng hoặc hợp đồng khác.

Trình biên dịch Solidity là gì?

Trình biên dịch Solidity, gọi là solc, chuyển mã nguồn Solidity thành bytecode EVM, dữ liệu ABI, metadata và các đầu ra build khác.

ABI trong Solidity là gì?

ABI là Application Binary Interface, cho ví, ứng dụng và script biết cách gọi hàm hợp đồng và giải mã phản hồi của hợp đồng.

Solidity có an toàn không?

Solidity có thể được sử dụng an toàn, nhưng độ an toàn của hợp đồng thông minh phụ thuộc vào thiết kế bảo mật, kiểm thử, kiểm toán, cài đặt trình biên dịch, kiểm soát truy cập và triển khai cẩn thận.

Hợp đồng Solidity có thể thay đổi sau khi triển khai không?

Hợp đồng cơ bản sau triển khai thường bất biến, nhưng mô hình proxy có thể nâng cấp có thể cho phép thay đổi logic hợp đồng nếu có quyền nâng cấp.

Vì sao hợp đồng Solidity cần kiểm toán?

Hợp đồng Solidity thường kiểm soát tài sản có giá trị, do đó kiểm toán giúp phát hiện lỗi, vấn đề quyền hạn, khiếm khuyết kinh tế và giả định không an toàn trước hoặc sau triển khai.

Người dùng có thể kiểm tra hợp đồng Solidity như thế nào?

Người dùng có thể kiểm tra xác minh mã nguồn, cài đặt trình biên dịch, địa chỉ hợp đồng, kiểm toán, quyền quản trị, khả năng nâng cấp, phê duyệt token, lịch sử giao dịch và tài liệu chính thức của dự án.

Kết luận

Solidity là một trong các ngôn ngữ lập trình quan trọng nhất trong hệ sinh thái crypto vì nó hỗ trợ hợp đồng thông minh cho token, DeFi, NFT, DAO, hệ thống staking và nhiều ứng dụng on-chain khác.

Nó cho phép nhà phát triển viết quy tắc mà con người có thể đọc, sau đó được biên dịch thành bytecode EVM và được các node blockchain thực thi.

Điểm mạnh của Solidity đến từ hệ sinh thái lớn, tiêu chuẩn hợp đồng thông minh, khả năng kết hợp, công cụ và hỗ trợ EVM rộng rãi.

Rủi ro của nó xuất phát từ việc mã đã triển khai có thể kiểm soát tài sản thực và có thể khó sửa sau khi triển khai.

Phát triển Solidity tốt đòi hỏi cài đặt trình biên dịch cẩn thận, kiểm thử, kiểm toán, kiểm soát truy cập, kế hoạch nâng cấp, nhận thức về gas và xem xét bảo mật.

Sử dụng Solidity tốt đòi hỏi người dùng xác minh địa chỉ hợp đồng, đọc quyền hạn, quản lý phê duyệt, kiểm tra kiểm toán và tránh hợp đồng không rõ nguồn gốc hoặc chưa xác minh.

Đối với người mới, Solidity được hiểu tốt nhất là ngôn ngữ nhà phát triển dùng để viết chương trình blockchain.

Đối với người dùng nâng cao, Solidity là ngôn ngữ hợp đồng thông minh có độ an toàn phụ thuộc vào chất lượng mã, hành vi EVM, cấu hình trình biên dịch, dependency bên ngoài, quản trị và thiết kế kinh tế.

Trong ngữ cảnh thuật ngữ crypto, Solidity là ngôn ngữ cấp cao chủ yếu được dùng để xây dựng và triển khai hợp đồng thông minh thực thi trên môi trường blockchain kiểu Ethereum.

Điểm chính cần nhớ là Solidity giúp crypto có thể lập trình, nhưng mọi hợp đồng Solidity nên được xem là phần mềm có rủi ro cao, cần xác minh, xem xét bảo mật và phán đoán cẩn thận từ người dùng.