做Web3 DApp开发的朋友，大概率都走过从「写个HelloWorld合约」到「真要上线才发现全是坑」的过程。照着教程写个存证合约很简单，真要做一个能用的DApp，从合约逻辑、安全漏洞、前端钱包交互、事件监听到链上部署、gas优化，每个环节都能踩出一堆坑。合约写得不对，轻则部署费爆炸，重则被重入攻击直接转走资金；前端交互没做对，用户签名乱弹、状态不同步，体验差到没人用；部署流程不对，上线了出问题连回滚都难。前两年做供应链存证DApp的时候，最开始就是照着教程搭了个简易版本，结果测试的时候踩了大大小小十几个坑：重入漏洞、整数溢出、事件监听丢失、MetaMask链ID不匹配、gas估算不准导致交易失败……前后重构了两次合约，改了三版前端，才稳定上线。踩的坑多了也总结出了一套从合约编写、前端交互到测试部署的标准化流程。今天就把完整的开发流程、核心代码、安全要点和现场踩过的坑全部分享出来，都是实打实上线跑过的实战经验。一、先理清楚：DApp和传统Web应用到底不一样很多人做DApp还是用传统后端的思路，最后做出来不伦不类。DApp的核心是「去中心化可信」，没有中心化的服务端数据库，业务逻辑跑在智能合约里，数据存在链上，前端直接通过钱包和链交互，身份认证靠钱包签名，所有交易可追溯、不可篡改。完整的DApp分层架构如下：