如何正确实现合约授权让Dapp操作用户持有的自定义Token？

ERC20标准中approve方法的逻辑是给指定地址分配调用者自身的Token操作额度，即谁调用approve，就是谁把自己名下的Token授权给其他地址使用。你之前让MyDapp合约主动发起approve请求，本质上是给MyDapp合约自己持有的Token做授权，和用户持有的Token完全无关，所以授权不会生效。

• 第一步：前端引导用户通过自己的钱包直接调用MyToken合约的approve方法，入参spender填MyDapp的合约地址，amount填需要的授权额度（可以是单次转账额度，也可以填type(uint256).max设置最大额度避免重复授权）。这一步的调用方是用户本人的钱包地址，相当于用户主动授权MyDapp合约操作自己的Token。
• 第二步：授权交易确认后，前端再调用MyDapp合约的转账业务方法，在MyDapp的转账逻辑内调用MyToken的transferFrom方法，入参from填发起转账的用户地址，to填收款方地址，amount填实际转账额度即可完成转账。

• 所有用户资产的授权操作必须由用户本人地址主动发起，不能通过合约在链上代用户调用，这是ERC20、ERC721等资产标准的基础安全设计，避免合约恶意盗取用户资产。
• 你接触到的NFT游戏要求的前置授权，也是引导用户自己调用NFT合约的setApprovalForAll方法给游戏合约授权，并非游戏合约主动给用户做授权。
• 可以在触发授权前先调用MyToken的allowance方法，查询用户已给MyDapp的授权额度，额度足够的情况下无需重复发起授权请求，优化用户体验。

内容的提问来源于stack exchange，提问作者Happy Rayos