如何在不影响运行前提下更新硬编码外部地址的线上smart contract并迁移

核心约束前置 #

整个方案的两个不可突破的边界：

• 绝不修改当前线上运行合约的任何链上逻辑、存储状态，从根源上避免打断现有正常执行的定期打款、用户交互流程
• 地址列表的更新全流程可审计、权限可控，避免后续再出现硬编码无法灵活调整的问题

具体落地步骤 #

• 保留旧合约的完全只读运行状态：不对现有跑通的合约做任何可写操作，哪怕合约内置了可升级权限，也要在整个迁移窗口期冻结所有升级入口，让旧合约按照原本的硬编码地址、打款规则，逐步消化掉链上已经存在的存量任务，不接入任何新的业务请求。
• 开发适配可配置地址列表的新合约版本：把原硬编码的外部合约地址，从写死的常量改成链上可维护的存储结构，比如用mapping(address => bool)维护外部合约白名单，配套多签权限控制的地址增删接口，保证后续地址调整不需要再走全量合约迁移；新合约的核心打款规则、余额计算逻辑和旧合约1:1对齐，从逻辑层面减少迁移后的行为偏差。
• 搭建双轨并行的无中断过渡层：
  • 新合约上线后，所有新发起的用户存入、定期打款任务全部路由到新合约执行，旧合约仅负责处理已经在链上触发的历史存量流程，不承接任何新的业务调用
  • 按批次同步旧合约的存量状态：在不锁仓、不打断旧合约执行的前提下，只读拉取旧合约的待处理任务、用户余额数据，同步到新合约的对应存储中，等跑完2-3个完整的业务周期（比如全量执行完一轮定期打款）、核对所有数据无偏差后，再做存量资金的单向划转
• 地址列表更新的安全校验流程：所有要新增进新合约列表的外部地址，必须经过链上代码验证、交互逻辑校验、多签复核三个环节，确认地址不存在恶意逻辑后再写入存储，避免误操作造成资金损失。

无管理权限场景的兜底方案 #

如果旧合约没有任何管理权限入口、无法主动阻断新业务接入：

• 直接在业务触发的前端、后端层做请求重定向，把原本指向旧合约的所有调用请求全部切到新合约地址，旧合约因为收不到新的触发指令，只会继续按原有规则跑完链上已经存在的定时任务，全程不需要修改旧合约的任何链上字节
• 等旧合约把所有存量任务执行完毕、链上剩余资金全部按原规则打款完成、无待处理余额后，直接下线旧合约的业务入口，用户侧全程无感知，也不会打断旧合约本身的正常运行。

内容的提问来源于stack exchange，提问作者1977