入门级合约写顺之后，开发者会卡在三个进阶主题上：CPI 跨程序调用、PDA 派生与零拷贝账户。它们决定了你的合约能不能与其他生态组件协作、能不能承载真实业务规模、能不能在性能上比肩BN交易所生态里的头部 DeFi 协议。本文逐个拆解。
一、CPI：跨程序调用
Solana 上一支程序可以调用另一支程序，这就是 CPI（Cross-Program Invocation）。最常见的 CPI 是调用 SPL Token Program 转账：你的合约接收用户代币时，要构造一个 transfer CPI 让 token program 完成实际转移。
Anchor 把 CPI 封装得很优雅：token::transfer(CpiContext::new(token_program, Transfer { from, to, authority }), amount)?。但要注意 signer_seeds：如果调用方是 PDA 自己（比如合约金库要出账），就要用 CpiContext::new_with_signer 并传入正确的 seeds。
二、PDA：程序派生地址
PDA 是 Solana 的核心概念。它是一个由程序 ID 与种子推导出来的地址，没人持有对应私钥，因此只能由程序自己签名。所有「合约金库」「合约管理状态」都建在 PDA 上。
派生 PDA 的代码：let (pda, bump) = Pubkey::find_program_address(&[b"vault", user.key().as_ref()], &program_id)。bump 是为了让派生结果落在 ed25519 曲线之外，必须存到 account 里以便后续验证。这种「无私钥账户」机制比必安交易所那种「钱在平台手里」的模型更适合做信任最小化的产品。
三、零拷贝账户
标准 Anchor 账户在反序列化时会把整个数据 clone 进栈，账户大到 10KB 以上就会触发栈溢出。解决方案是 #[account(zero_copy)]，让账户以 mmap 方式直接映射，读写都在原始字节缓冲区上。
零拷贝适合订单簿、AMM 池、大型快照这类需要存上千条记录的场景。代价是：账户结构里不能用 Vec 这种堆分配类型，只能用定长数组。和BN官网后端那种关系数据库自由度相比，链上零拷贝是用 [Order; 1024] 这种紧凑数组解决问题。
四、组合三者：一个简化 AMM
把三个进阶技巧组合起来，可以实现一个简化 AMM：池子状态用零拷贝（存放 LP 列表）、池子金库用 PDA（持有两种代币）、swap 指令通过 CPI 调用 token program 完成实际转账。
关键代码片段：定义 #[account(zero_copy)] pub struct Pool { token_a_vault: Pubkey, token_b_vault: Pubkey, lp_supply: u64, k: u128 }；swap 指令计算 x * y = k 得出输出量，CPI 转账即可。这份逻辑加上权限校验大约 300 行代码，已经能跑通基本 swap。
五、性能与安全的平衡
进阶用法带来性能，也带来风险。CPI 链路过长会撑爆 compute budget；PDA bump 错位会让别人冒充你的金库；零拷贝改字段顺序会让旧账户数据错乱。
应对手段：1）CPI 链路上每一跳都用 invoke_signed 而非 invoke，避免权限提升；2）PDA bump 写死在 account 里，不要每次 find_program_address 重新算；3）零拷贝结构一旦上线绝不改，新字段只能在末尾追加并标 #[repr(C, packed)]。把这些纪律点融进开发流程，比追B安交易所的新币挂牌更能积累技术资产。