Secure Cadence 发布的突破性更新以及分析工具

本文翻译自 Flow 论坛，原文链接

关键日期

• Testnet部署： 6 月 8 日：我们将在提前一周将这些更改发布到 Testnet，以便开发人员可以测试这些更改

• Mainnet部署： 6 月 15 日

请注意，两次 sporks 之间的时间比平常长。 在此期间，Testnet 和 Mainnet 将运行两个不同的、不兼容的 Cadence 版本。

你需要做什么

• Flow 核心贡献者创建了一个工具，你可以使用它来发现破坏性的变化 （文末有工具的安装与使用说明）
• 使用包含 Secure Cadence 更改的最新 Emulator 版本在本地测试您的合约：
• 6 月 9 日之后，在 Testnet 上测试端到端的更改时，保持本地构建就绪
• Mainnet 部署后，网络将 对所有已部署的合约 无许可。如果您已经确定了任何影响，那么您将需要升级这些合约（您将能够自己进行升级，而无需 Flow 核心团队的任何批准或审查）。

破坏性改变

引用一个可选值现在会生成一个可选类型的引用

💡 可以通过静态代码分析工具识别。

• 更改说明：

let x: Int? = 1
let y = &x as &Int? // y 是 (&Int)? 可选类型

let dict: {String: Int} = {}
let s = &dict[""] as &Int? // s 现在是可选 (&Int)? 类型
let z = &dict[""] as &Int // 这里会有类型错误

// 原有的代码
 pub fun borrowNFT(id: UInt64): &NonFungibleToken.NFT {
        return &self.ownedNFTs[id] as &NonFungibleToken.NFT
    }

pub fun borrowNFT(id: UInt64): &NonFungibleToken.NFT {
    	return (&self.ownedNFTs[id] as &NonFungibleToken.NFT?)!
	}

pub fun borrowNFT(id: UInt64): &NonFungibleToken.NFT? {
    	return &self.ownedNFTs[id] as &NonFungibleToken.NFT?
    }

• https://github.com/onflow/cadence/pull/1303 1

容器类型字段的改变现在仅限于其自身的作用域

💡  可以通过静态代码分析工具识别。

pub struct Foo {
        pub let y: [Int]
        init() {
            self.y = [3]
        }
    }
    pub fun main() {
        let foo = Foo()
        foo.y.append(1) // 无效的赋值函数, 字段 `y` 不能在 `Foo` 之外被修改
    }

    pub struct Foo {
        pub let y: [Int]
        init() {
            self.y = [3]
        }
    	  pub fun appendToArray(_ x: Int) {
    				self.y.append(x)
        }
    }
    pub fun main() {
        let foo = Foo()
        foo.appendToArray(1) // 可以修改
    }

• https://github.com/onflow/cadence/pull/1267

load, copy 和 borrow 函数现在执行强制转换

⚠️ 无法通过静态代码分析工具识别。

• https://github.com/onflow/cadence/pull/1286 1

参数列表中缺少逗号现在将报错

💡 可以通过静态代码分析工具识别。

fun test(a: Int  b: String) {}
    //             ^ `a` 和 `b` 参数之间缺少逗号

• https://github.com/onflow/cadence/pull/1073

地址的字符串表示将会被零填充

⚠️ 无法通过静态代码分析工具识别。

 let address: Address = 0x1
    address.toString() // 结果会变成 "0x0000000000000001"

• https://github.com/onflow/cadence/pull/1214

类型检查器现在推断出表达式的 通用超级类型

💡  可以通过静态代码分析工具识别。

 var x = [1, 6, 35]            // x 是类型 [Int]

 var y = [1, "hello", true]    // y 是类型 [AnyStruct]

var x = [1 as UInt8, 6, 35]

var x = [1, 6, 35] as [UInt8]

or

var x: [UInt8] = [1, 6, 35]

• https://github.com/onflow/cadence/pull/1027

数字超类型上的算术、比较和位运算现在无效

💡  可以通过静态代码分析工具识别。

let x: Integer = 3 as Int8
let y: Integer = 4 as Int8

let z: Integer = x + y     // 这会导致一个静态类型的检查错误

let x: Integer = 3 as Int8
let y: Integer = 4 as Int8

let z: Integer = (x as! Int8) + (y as! Int8)   // 在运算之前转换成指定的类型

• https://github.com/onflow/cadence/pull/1360

字符值的表示是固定的

⚠️ 无法通过静态代码分析工具识别。

let a: Character = "ü"
let b: Character = "\\u{FC}"
let c: Character = "\\u{75}\\u{308}"
let d: Character = "y"

let type = a.getType()
// 现在会返回 Type<Character>() 来替代之前不正确的 Type<String>()

• 更新说明： Character值可以使用转换为字符串 toString()方法；由于某些操作产生Character 值而不是字符串而可能出现的任何类型错误，都可以通过对相关的Character 调用此方法来解决。

• https://github.com/onflow/cadence/pull/1392

静态检查工具使用指引

安装

• 使用包含 Secure Cadence 更改的最新 Emulator 版本测试您的合约:
• 在 Linux 和 macOS:

sh -ci "$(curl -fsSL <https://storage.googleapis.com/flow-cli/install-cadence-analyzer.sh>)"

• 在 Windows, 使用 PowerShell:

iex "& { $(irm '<https://storage.googleapis.com/flow-cli/install-cadence-analyzer.ps1>') }"

使用

分析账户中的合同

cadence-analyzer -network mainnet -address 0x1654653399040a61

只运行一些分析程序

cadence-analyzer -help

cadence-analyzer -network mainnet -address 0x1654653399040a61 \\
    -analyze reference-to-optional \\
    -analyze external-mutation

批量分析 CSV 文件中的合约

cadence-analyzer -csv contracts.csv

• Header: address,name,code

• Columns:
• address: 合约的地址, e.g. 0x1
• name: 合约名称, e.g. Test
• code: 合约代码, e.g. pub contract Test {}