智能合约安全审计不能被简化为“找几个漏洞”。其执行标准应围绕资产安全、业务正确性、权限边界和异常状态处理展开，并形成可复核、可追踪、可验证的审计结论。审计对象也不应只限于合约代码，还应覆盖合约之间的调用关系、外部依赖、升级机制以及关键操作的权限配置。
审计执行的核心流程
审计开始前，应先明确业务模型和信任假设：哪些账户可以管理资产，哪些操作必须经过授权，价格、身份或状态数据来自何处，异常情况下系统应如何暂停或恢复。若缺少这一步，审计人员即使发现代码层面的缺陷，也可能无法判断其真实影响。
随后应进行代码与架构审查，重点检查资产转移、权限控制、状态更新、外部调用、重入风险、输入校验、整数计算、价格数据依赖和升级逻辑。分析不能只看单个函数，还要结合跨函数调用、继承关系和不同交易顺序，验证攻击者是否能够构造出违反业务规则的状态变化。
自动化检查适合发现重复性较强的编码问题，但不能替代人工推理。人工审计应围绕不变量展开，例如用户资产总量是否能够被无授权增加或减少、关键状态是否可能被绕过、失败交易是否会留下不一致状态。对高风险流程，还应通过边界条件测试、异常路径测试和攻击场景复现验证判断。
报告必须能够指导修复
审计报告不应只罗列问题名称，而应说明漏洞位置、触发条件、影响范围、风险等级、复现逻辑和修复建议。风险评估应同时考虑可利用性与后果，不能仅因漏洞出现概率较低就忽略其潜在资产损失。
修复完成后必须进行回归复核，确认补丁没有引入新的权限绕过、状态不一致或兼容性问题。最终交付物还应明确审计范围、未覆盖部分、依赖假设和残余风险。只有让第三方能够复现问题、理解限制并验证修复，安全审计才算完成，而不是停留在一次性的代码阅读层面。