开篇：我帮新手查bug时发现的“共性陷阱”
上周帮一个刚入门的开发者排查NFT合约的bug，他的合约逻辑很简单：用户支付ETH mint NFT，合约自动给团队地址分10%的手续费。但上线后发现，用户mint成功了，团队地址却一分钱没收到——排查后发现，问题出在一行“不起眼”的代码：调用transfer给团队转账时，没检查返回值，而团队地址是个合约，transfer其实失败了，但合约没处理，直接继续执行了。
这让我想起刚学Solidity时踩的坑：总盯着“重入、溢出”这些“大漏洞”，却栽在“没检查返回值、用timestamp当随机数”这些看似简单的问题上。后来做审计发现，80%的新手合约漏洞都不是高深技术问题，而是对Solidity细节的疏忽。
这篇文章就拆解3个“不起眼但致命”的漏洞，每个都附“新手错误代码+黑客利用方式+修复方案”，帮你避开这些“一看就懂，一写就错”的陷阱。
一、外部调用返回值未检查：“转账失败了，但合约以为成功了”
新手最常犯的错误之一：调用外部合约（如ERC20转账、ETH转账）时，不检查返回值，导致“操作失败但合约继续执行”，最终资产账目混乱。
1.1 漏洞原理：不是所有失败都会revert
Solidity中，外部调用的失败有两种形式：
- 硬失败：直接revert（如ERC20的transfer在余额不足时r
