token-integration-analyzer
作者 trailofbitstoken-integration-analyzer 是一個用於 token 實作與 token 整合的安全審查技能。它會檢查 ERC20/ERC721 的一致性、異常 token 模式、擁有者權限、稀缺性，以及非標準 token 處理，適用於 Security Audit 工作流程。使用 token-integration-analyzer 指南，可以減少臆測，並評估相容性風險。
這個技能評分 83/100，代表它是一個相當扎實的目錄候選：它提供明確的使用觸發條件、具體的 token 分析流程，以及可重複使用的報告格式，能比通用提示詞更有效地降低臆測。對於目錄使用者來說，如果需要結構化的 ERC20/ERC721 整合審查或異常 token 風險分析，這款技能值得安裝；不過，部分流程細節仍較需要從文件中推敲，而非透過腳本自動化完成。
- 操作範圍明確：直接聚焦於 token 實作、token 整合、鏈上稀缺性分析，以及 20 多種異常 token 模式。
- 觸發判斷與結構都不錯：frontmatter 說明與多階段工作流程，讓 agent 很容易判斷何時該使用這個技能。
- 產出內容實用：評估分類與報告範本能為審查提供具體的輸出結構。
- 未包含安裝指令或輔助腳本，因此執行仍取決於 agent 是否確實依照書面流程操作。
- 這個 repository 以文件為主，且看起來依賴人工分析步驟，遇到複雜案件時可能會影響速度與一致性。
token-integration-analyzer 技能總覽
token-integration-analyzer 的用途
token-integration-analyzer 是一個專注於代幣程式碼與代幣對接協定的安全審查技能。它可以幫你判斷某個代幣是否真的符合 ERC20 或 ERC721 的行為，協定是否能安全處理奇怪或非標準的代幣，以及所有者權限、稀缺性或升級路徑是否藏有風險。
適合誰使用
如果你在審查代幣發行、DeFi 整合、金庫、橋接、交易市場，或任何接受第三方代幣的系統，就應該使用 token-integration-analyzer skill。對於做 token-integration-analyzer for Security Audit 工作流程的團隊尤其有用，因為這時代幣行為本身就是威脅模型的一部分，而不只是應用邏輯。
為什麼它不一樣
這個 skill 不是一個通用的「幫我分析 Solidity repo」提示詞。它是圍繞代幣整合檢查清單、奇怪代幣模式涵蓋範圍與情境探索所設計的。也就是說，當你需要的是關於相容性與邊界情況的決策等級輸出，而不只是表面的標準符合檢查時，token-integration-analyzer 的安裝與使用最有價值。
如何使用 token-integration-analyzer skill
安裝並找到正確的檔案
在進行 token-integration-analyzer install 時，先使用 trailofbits/skills 裡的 skill 路徑，接著從 SKILL.md 開始。下一步閱讀 resources/ASSESSMENT_CATEGORIES.md，了解檢查分類，並閱讀 resources/REPORT_TEMPLATES.md，掌握預期的輸出格式。這兩個檔案是最快理解這個 skill 會要求哪些證據的方式。
把模糊目標轉成可用提示詞
好的 token-integration-analyzer usage 會從明確目標開始：
- 「檢查這個 ERC20 是否有非標準的轉帳行為與所有者控制權限。」
- 「評估我們的借貸協定是否能安全處理 fee-on-transfer 與 rebasing 代幣。」
- 「檢查這個 NFT 合約的 ERC721 相容性、approval 處理，以及 mint/burn 邊界情況。」
請一併提供鏈別、合約類型、部署階段，以及任何已知的特殊行為。如果你知道這個代幣是可升級、會 rebasing、fee-on-transfer、可暫停，或是基於 proxy，請在一開始就說明。這些資訊對分析路徑的影響，往往比寬泛的安全背景更大。
取得最佳結果的建議工作流程
- 先說明你要分析的是代幣實作，還是代幣整合。
- 提供相關原始檔、已部署地址，或 repo 路徑。
- 要求以檢查清單形式審查，並附上精簡的風險摘要。
- 特別要求注意異常行為，例如稅費、rebase、黑名單、flash minting，或自訂 approval。
這個 skill 最適合用來把行為對應到具體風險，而不是只叫它「找問題」。
先讀哪些內容
先從 SKILL.md 開始，再用上面提到的兩個 resources 檔案理解分類與報告格式。如果你的 repo 有 Solidity，先檢查代幣合約、整合點、繼承樹，以及任何 proxy 或 admin 模組，再做完整審查。對於 token-integration-analyzer guide 類型的工作流程，這個順序可以降低過早的過度自信，也讓輸出更容易驗證。
token-integration-analyzer skill 常見問答
這個只適合代幣合約嗎？
不是。token-integration-analyzer skill 同時涵蓋代幣實作，以及整合代幣的協定。這個區分很重要：即使某個代幣本身完全符合規格，對 vault、AMM 或 bridge 來說仍可能很危險，只要協定假設它一定遵守標準 ERC 行為。
我一定要是 Solidity 專家嗎？
不需要，但輸入越好，結果越準。初學者只要能說出合約名稱、代幣類型與預期行為，也能使用。如果你連代幣的特殊機制都無法用一句話講清楚，這個 skill 可能會漏掉你真正關心的關鍵風險。
為什麼不直接用一般提示詞？
一般提示詞常常會漏掉奇怪代幣的邊界情況、所有者權限的影響，以及標準相容與安全整合之間的差異。當你要的是結構化分析與可重複的審查流程，而不是一次性的回答時，這個 skill 會更有用。
什麼情況下不適合用？
如果你的工作與代幣行為無關，或你只需要高層級的產品摘要，就可以先不要用它。當你無法提供足夠的原始碼情境或部署細節，無法區分標準 ERC 行為與自訂邏輯時，它也不是很好的選擇。
如何改進 token-integration-analyzer skill
給 skill 明確的代幣行為
品質提升最大的一步，就是把非標準機制直接點名。請說明代幣是否有費用、rebase、黑名單規則、鑄造控制、可暫停、hooks、wrapper 邏輯，或 proxy 升級。對 token-integration-analyzer 而言，這些細節比空泛的「審計這個代幣」更有行動性。
明確要求你要的輸出
如果你要的是安全審查，就要求檢查清單加上風險排序。如果你要的是整合建議，就要求列出預期失敗模式與不支援的代幣類別。如果你要的是發行準備度，就要求給出 yes/no 建議，以及最重要的阻擋因素。
留意常見失敗模式
最常見的錯誤是對環境描述得不夠具體：代幣標準、鏈別、proxy 模式與整合面都沒講清楚。另一個錯誤是只問「有沒有 bug」，但真正的問題其實是相容性。代幣即使通過基本 ERC 檢查，仍可能在下游系統中破壞帳務、提款或定價邏輯。
用具體的追問資料反覆迭代
如果第一次結果不完整，就補上看起來有風險的精確函式、檔案或地址，然後帶著這些證據重新執行 token-integration-analyzer usage 提示詞。好的追問會像這樣：「請聚焦 Token.sol 裡的 transfer、fee exemptions 與 admin mint 路徑；這個協定假設 transferFrom 會回傳 true，而且從不會 revert。」