合约真的不可更改吗？

这个词必须意味着什么

不可更改只意味着一件事：今天在某个地址上执行的代码，明天仍然是在那里执行的代码，而且没有人能把它换掉。团队不能，投票不能，守护者不能，紧急状况也不能。只要存在任何一条能改变被执行代码的路径，该合约就是可升级的——这是一种正当的设计选择，但那是另一回事，就该用那样的词来描述。

说法通常在哪四处不成立

• 代理。你打交道的地址并不含逻辑；它把每一次调用转发到它所存储的另一个地址。改掉所存的地址，行为就整个变了，而给你的那个地址纹丝不动。这是所有例外中最常见的一种，且遥遥领先。
• 拥有权限的所有者。逻辑固定了，但特权函数允许所有者更改费率、暂停转账、增发或调动资金。代码没有变；它做的事照样变了。
• 模块或注册表。核心固定了，但它从另一个并不固定的合约读取参数，或把一部分工作委派给它。可变的那一部分只是挪到了一个地址之外。
• 没有终点的暂停。一个没有自动到期、也没有解除义务的紧急停止，实际上就是终结协议的权力。它在代码里什么也没改，在"你能做什么"上却改变了一切。

按顺序如何核实

• 源码是否已验证？在区块浏览器上，该地址应显示与已部署字节码相符的已验证源码。若没有，下面的一切都无法核实，到此为止即可。
• 它是代理吗？浏览器通常会直接说明。若没有，就去找实现槽、会委派的回退函数，或升级函数。代理不是缺陷，但它把问题转移成了"谁能调用升级"。
• 存在哪些特权函数？读一遍带访问修饰符的函数清单。对每一个都问：它能对持有该代币的人做出的最坏的事是什么？
• 特权地址掌握在谁手里？所有者地址是一个带时间锁的多重签名钱包，与是一把单独的私钥，风险完全不同。二者又都不同于所有者已被设置为无人控制的地址。
• 是否存在只在构造时设定的路径？在部署时固定、此后再不写入的数值，是最强形式的不可更改，并且在代码里一眼可辨。

五个步骤，每一步都能由浏览器和源码作答。走完之后，你没有相信任何人的任何话，并且能准确说出什么可能变、什么不可能变。

不可更改给不了你什么

关于边界值得说清楚，因为这个词有时被用得好像它解决了一切。不可更改的合约里照样可能有缺陷，而不可更改恰恰意味着这个缺陷同样无法修补。它对代码质量只字未言，对合约所依赖的资产只字未言，对经济学是否成立也只字未言。

它给你的是另一样东西：一个不动的评估对象。你今天对这段代码得出的任何结论，明天对它依然成立。这很有价值，但它不等于安全。