适用范围：先区分代币真假与授权风险
围绕tp钱包假代币授权有哪些风险检查要点，需要先明确：以下解释适用于ERC-20及相关扩展，不代表对TP钱包特定版本、其他代币标准或某个项目的核验结论。代币身份是否可信，与一次授权开放了哪些权限，是需要分别检查的问题。
检查代币身份和实际授权对象
以太坊开发者文档介绍，ERC-20通过统一接口提供余额查询、转账及第三方额度授权等功能。这些接口描述的是代币如何交互，不是项目真实性认证。
因此，名称、简称和显示余额不能单独证明代币身份。检查时应区分所在网络、代币合约地址与spender，即被授权花费代币的地址。前者确定涉及哪项资产，后者确定谁获得权限；不能只凭页面上的名称判断授权内容。
检查额度及权限边界
授权通常是在某个代币合约中，为指定地址设置可代为支出的额度。按标准机制，对一种代币的授权不会自动变成对钱包内所有资产的授权。因此，不能仅因出现陌生代币，就断定其他资产已被授权。
真正需要核对的是请求实际指向的代币和额度，是否与页面声称的用途一致。OpenZeppelin文档说明，其ERC-20实现将最大整数额度视为无限授权，支出时不递减该额度。不能把这种实现细节无条件套用于所有代币，但大额度授权意味着更大的可支出范围。
检查签名是否具有授权含义
OpenZeppelin还提供ERC20Permit扩展，支持通过签名完成授权。因此，没有立即发送普通授权交易或支付网络费用，不能单独证明请求没有授权效果。涉及此类扩展时，需要辨认签名关联的代币、被授权方和额度；无法理解其权限含义时，不宜仅依据按钮上的“验证”等文字确认。
常见问题：断开连接是否等于撤销
断开网站连接不能据此认定链上额度已经归零。复核普通ERC-20授权时，应关注对应网络和代币合约中，所有者对指定spender的当前allowance，而不只查看网站连接状态或曾经出现过的授权记录。
将普通授权额度设为零，可取消该地址后续基于这笔额度的支出权限，但不能追回已经转出的代币。直接修改既有非零额度还存在交易排序风险，OpenZeppelin文档提示可先归零再设置新额度；归零交易生效前，旧额度仍可能被使用。