代币钱包调用合约授权，本质就是钱包发起approve函数链上交易，授予指定合约地址额度权限，让合约可以通过transferFrom代为划转对应代币，完成兑换、做市、借贷等DeFi操作，该权限不会自动过期，需要手动撤销才能失效。
日常使用中，钱包调用合约授权主要分为DApp页面触发与链上合约页面手动调用两种场景。在DApp交互场景下，连接钱包之后，当首次进行代币交易、添加流动性、质押挖矿时，页面会弹出授权请求，钱包会解析交易参数，展示被授权的合约地址、授权代币种类以及授权额度，用户核对信息后签名确认，广播交易上链，等待区块确认完成授权流程。这个过程会消耗链上gas手续费，授权交易和实际业务交易是两笔独立链上记录，很多新手会混淆两者，以为完成业务操作就等于完成授权，实际授权交易确认后，合约才拥有动用代币的资格。
手动调用合约授权一般用于提前预授权，比如抢新项目开盘、合约交互测试，需要在区块浏览器的合约交互页面，粘贴代币合约地址，切换到写入合约板块，连接钱包，找到approve方法，填入要授权的合约地址，再填写授权数值。这里要重点区分两种额度模式，一种是自定义限额，填入本次需要使用的代币数量；另一种是无限授权，填入uint256最大值，代表允许合约支取该代币全部余额。很多DApp会默认使用无限授权，以此减少用户反复授权的gas消耗，但也带来不小的安全隐患，即便断开DApp的钱包连接，链上授权权限依旧保留，不会自动清除。
执行授权操作的时候，币圈用户必须重点核对三处核心信息，第一是spender也就是被授权的合约地址，务必核对是否为项目官方公布的地址，避免被钓鱼页面引导授权给恶意合约地址；第二是确认授权的代币，防止误授权其他币种；第三就是授权额度，非必要场景尽量拒绝无限授权，只给到业务所需的限额。不少资产被盗事件，就是用户误签名恶意授权交易，恶意合约拿到权限之后，无需再次确认就可以把钱包内对应代币全部转出。就算是正规审计过的协议，如果合约出现漏洞、发生被黑客入侵，无限授权也会放大资产损失的风险。
完成授权之后，用户可以通过链上工具查询自己全部的授权记录，对于不再使用的合约地址，及时执行撤销授权操作。撤销同样是一笔链上交易，需要支付gas费用，把授权额度设置为0，即可收回合约的代币调用权限。很多新手会忽略授权管理，长期保留大量历史授权，无形中持续暴露资产风险，养成定期清理授权的习惯，是使用去中心化钱包必不可少的操作。
