Mejores prácticas para SPL Token

Reglas para el manejo correcto y seguro de SPL Token en Agave 4.1.1 - desde el lanzamiento de la acuñación hasta las CPIs del programa y las lecturas del cliente.

Cómo usar esta lista

• Aplica A antes de crear cualquier acuñación en mainnet.
• Revisa B antes de desplegar código de bóveda o pago en la cadena.
• Usa C al construir carteras, paneles y indexadores.

A - Lanzamiento de la acuñación

• Elige los decimales una vez al inicializar la acuñación. Inmutable para siempre - iguala a la industria (6 para stablecoins, 9 para tipo SOL).
• Revoca la autoridad de acuñación después de la distribución. Un suministro fijo es la señal de confianza estándar a menos que la inflación esté documentada.
• Revoca la autoridad de congelación para tokens de la comunidad. A menos que el cumplimiento requiera congelación, los titulares no deben enfrentar congelaciones de cuenta.
• Documenta públicamente las transacciones de autoridad. Los indexadores y exploradores deben coincidir con tus anuncios.
• Verifica la clave pública de acuñación en la cadena antes de la comercialización. Los errores tipográficos en las URL causan pérdidas irreversibles para el usuario.

B - Programas en cadena

• Usa transfer_checked con los decimales de la acuñación. Previene confusiones entre decimales en programas multi-activo.
• Restringe token::mint en cada TokenAccount. Evita depósitos en bóvedas de activos incorrectos.
• Valida las direcciones ATA mediante derivación. No confíes ciegamente en las claves públicas de cuentas de token proporcionadas por el usuario.
• Firma las CPIs de bóveda PDA con new_with_signer. La falta de semillas es el principal fallo en las transferencias de bóveda.
• Usa token_interface al aceptar Token-2022. La restricción clásica del programa Token rechaza las acuñaciones con extensiones.
• Rechaza transferencias/acuñaciones de cantidad cero. Desperdicia CU y confunde los análisis.

C - Clientes y Operaciones

• Convierte las cantidades de la interfaz de usuario con matemáticas BigInt/string. Nunca float * 1e6 para cantidades de pago en producción.
• Lee los decimales desde el RPC de acuñación, no desde constantes. Las aplicaciones multi-token necesitan decimales por acuñación.
• Financia las ATAs de destinatario (--fund-recipient o creación idempotente). Las transferencias fallan sin la cuenta de token de destino.
• Reutiliza la ATA de WSOL para traders activos. Evita la rotación repetida de alquiler de envoltura.
• Muestra cantidades brutas y de interfaz de usuario en herramientas de administración. Ayuda a depurar incidentes de decimales.
• Revoca las aprobaciones de delegados obsoletas después de los swaps DeFi. Reduce el riesgo de drenaje de billetera.

Preguntas frecuentes

Relacionado

• Conceptos básicos de SPL Token - resumen de la sección
• Autoridades - detalles de revocación
• SPL Token en Programas - patrones de CPI

Versiones de la pila: Esta página fue escrita para Agave 4.1.1, Solana CLI 3.0.10, Anchor 0.32.1, anchor-lang 0.32.1, Rust 1.91.1, @solana/kit 7.0.0, Surfpool 0.12.0, y LiteSVM 0.6.x.