功能定位：为什么必须先开 2FA 才能挂容器
在 SafeW 4.9.1 的“加密容器”模块里，强制双因子认证是挂载的前置闸口。官方 release note 写道：只要容器曾写入“合规标签”（RegTag），节点在 /dev/safew-crypt 层就会校验 2FA 状态位；未通过则直接返回 OP_NOT_AUTH，不再走后续解密流程。换句话说，2FA 不仅是“多一道验证码”，而是把 TOTP 密钥当作容器主密钥的加密因子之一；关闭 2FA 即等同于销毁一半密钥，容器永久无法解开——这是与早期 4.7 版“可选 2FA”最大的差异。
对普通用户，这避免了“手机丢失→助记词泄露→容器被离线爆破”的连锁风险；对 DAO 财库，则满足 “操作人与保管人分离” 的审计条款。代价是：每次挂载都要带一次动态码，脚本自动化会中断。后文会给出“合规但可无人值守”的折中办法。
前置检查：版本、链与芯片级兼容性
最低版本与升级通道
截至当前的最新版本 4.9.1（2026-03-28 发布）首次把 2FA 强制策略写进加密容器头。若你仍在 4.8.6，挂载旧容器不会强制要求 2FA，但一旦用 4.9.1 打开并写入新数据，容器头会被自动升级，降级后就会出现“需要修复头”提示。官方提供 4.8.6 降级包，但仅回退程序，不回退容器头；所以降级后仍需 2FA。经验性观察：在 Android 10 以下设备，4.9.1 会因加密库缺失而闪退，官方给出的缓解方案是停留在 4.8.6 且勿触碰容器升级，但这就无法使用后续功能。是否升级，先看手机系统。
芯片与安全模块
SafeW 的加密容器支持两种私钥派生路径：TEE 安全芯片 与 软件沙盒。iPhone 6s 以上、Android 带 StrongBox 的机型（如 Pixel 6 起）会自动走 TEE；老机型则退到软件派生。强制 2FA 后，TEE 路径会把 TOTP 共享密钥也写进安全芯片，即使 Root/越狱也读不出；软件派生则存在 /data/data/com.safew.wallet/files，有被提取风险。若你的设备无 TEE，建议只存≤1 kUSD 等值资产，或改用硬件冷签模块（NFC 版）。
操作路径：分平台最短入口
iOS（iPhone 11 以上，iOS 19.3 示例）
- 打开 SafeW → 底部栏【我】→ 顶部头像进入【安全中心】。
- 在“加密容器”卡片点【立即开启】，若看不到卡片，先返回首页下拉刷新一次。
- 系统弹出“强制开启 2FA”提示 → 选【立即绑定】。
- 按引导扫码或手动输入 TOTP 密钥；务必抄写 16 位备份码。
- 返回“加密容器”→【创建容器】→ 选链（ETH/OP/BASE 等）→ 设容量（50 MB 起）。
- 输入容器别名后，界面会再次要求输入 6 位 TOTP 码；验证通过即后台开始初始化，耗时约 30–60 秒。
- 初始化完成 → 自动进入“已挂载”状态，此时可像普通钱包一样收付款；容器图标带绿色锁角标。
若你在第 4 步点击【稍后再说】，下次再进“加密容器”仍会回到本流程，无法跳过。
Android（原生系统 13 以上，Pixel 7 示例）
路径与 iOS 基本一致，差异只有两点：1) 若系统已 Root，会在第 3 步弹出红色警告，提示“软件派生模式存在风险”，可强制继续；2) 第 6 步初始化时，通知栏会常驻“SafeW CryptInit”前台服务，请勿划掉，否则创建失败需删除残余文件重新来。
桌面端（macOS 14 芯片版）
桌面版 4.9.1 暂不支持创建容器，只能挂载已有容器。打开【设置→安全→加密容器】→【挂载】，输入本地路径或扫码云碎片二维码，随后弹出 TOTP 输入框；验证通过后容器以只读方式挂到 /Volumes/SafeWCrypt-UUID。如需写入，请回手机端操作。
分支场景：已有容器但从未开 2FA
4.9.1 升级后，第一次打开旧版本容器会弹“是否升级头结构”。
选“升级”：立即触发强制 2FA 绑定，流程同上；升级后旧版本客户端无法写入。
选“跳过”：容器保持只读，可查看余额、导出报表，但无法写入；下次打开继续询问。
若你既想写数据又不想开 2FA，唯一办法是：把资产全部转出 → 删除容器 → 用 4.8.6 重建 → 再转回。但 4.8.6 已关闭节点同步通道，需要自搭本地节点，技术门槛高，一般用户不建议。
自动化与豁免：DAO 脚本怎样“无人值守”
SafeW 提供了“只读 API 密钥”+ 白名单地址机制，可用于拉取余额、生成报表，但任何写入类操作都必须带 TOTP。经验性观察：部分 DAO 用“时间偏移批量码”方案——把未来 10 组 TOTP 码一次性生成并写入 CI 环境变量，配合 --totp-window=10 参数让服务器在 300 秒窗口内自动选码。此做法把动态码变成了“静态密钥”，虽可行，却违背了 2FA 的“一次性”原意；若服务器被入侵，十组码全部失效且容器会被锁。官方 FAQ 明确：因滥用批量码导致资产损失，不予理赔。结论：写入操作必须人工点确认，DAO 可采用“Slack + 移动推送”两步审批，把最终 TOTP 输入环节留给值班人员。
常见故障与回退方案
| 现象 | 最可能原因 | 验证方法 | 处置 |
|---|---|---|---|
| 挂载时提示“TOTP 校验失败（-16）” | 系统时间偏差 > 30 秒 | 对比 time.is | 校准后重试；若仍失败，用备份码一次性解锁，再到设置里重新绑定 |
| 容器图标灰色，提示“等待碎片” | MPC 云端分片未同步 | 设置→安全中心→碎片状态，看是否有红色叹号 | 点“碎片重铸”，人脸通过后 90 秒恢复；期间勿杀进程 |
| iOS 小组件显示“--” | 隐私屏开启，组件被系统屏蔽 | 锁屏再解锁，组件仍无数字 | 关闭隐私屏或升级至 iOS 19.3 以上 |
性能与费用：挂载一次到底花多少
容器挂载本身不消耗链上 gas，但会调用 MPC 节点做 3-of-5 签名握手，节点返回结果需付“计算点数”。截至当前的最新版本，官方每月送 5 000 点，普通挂载一次扣 200 点，日挂 5 次以内基本白嫖。若点数用尽，可用 SafeW Points 兑换（1 000 点≈ 0.8 USDC），或在“设置→节点”里切到自建中继（需抵押 300 USDC 到合约，门槛高）。经验性观察：ETH 主网高峰时，节点握手往返约 1.2 秒；OP、Base 等 L2 可压到 0.4 秒，差异主要来自网络而不是 TOTP 验证。
不适用场景清单
- Android 10 以下且无 TEE：无法保证 TOTP 密钥安全，不建议存高价值资产。
- 需 7×24 脚本高频写入：每 30 秒一次的量化对冲场景会被 TOTP 阻断。
- 团队分布在强时区隔离：若值班人员无法覆盖 24h，一旦容器需紧急转出，会卡在 TOTP。
- 合规要求“双人双钥”：SafeW 目前只支持单组 TOTP，不能拆成两人各持一半。
最佳实践 6 条（检查表可直接打印）
- 升级前先在测试机创建空容器，验证 TOTP 与备份码可用，再迁移主资产。
- 把 16 位备份码写在实体密码管理器，切勿放同一手机的备忘录。
- 每月手动校准系统时间，避免累积误差导致 TOTP 失败。
- 容器容量宁大勿小：扩容需重新加密整盘，50 MB→100 MB 约耗时 8 分钟。
- DAO 财库用“只读 API+白名单”做报表，写入操作留给值班硬件钱包，减少批量码滥用。
- 计划换机时，先在旧机执行“导出碎片二维码”，新机扫码后确认挂载成功，再抹掉旧机。
FAQ（必须使用 FAQPage Schema）
关闭 2FA 后容器还能打开吗？
不能。容器头已把 TOTP 密钥作为加密因子，关闭即等同于销毁一半私钥，只能走备份码一次性解锁并重新绑定。
iOS 越狱后还能用加密容器吗？
可以，但会退到软件派生模式，TOTP 密钥存在沙盒，风险大增；官方建议资产≤1 kUSD，或改用 NFC 冷签模块。
桌面端何时支持创建容器？
官方 GitHub issue 回复：因 TEE 接口差异，桌面版短期内只提供只读挂载；写入需回移动版，暂无时间表。
节点计算点数用完会怎样？
挂载请求直接返回“Quota exceeded”，容器保持未挂载状态；资产安全不受影响，充值或等下月重置后即可恢复。
可以同时绑定 Google Authenticator 和 Authy 吗？
可以，扫码时两个 App 都扫同一二维码即可；双方独立计时，任意一个码都能通过，但备份码只有一组，请妥善保存。
收尾：下一步该做什么
读完本文，你已了解 SafeW 强制双因子认证后再挂载加密容器的完整闭环：版本差异、平台入口、故障回退、自动化限制与费用模型。现在可以：
- 在测试机按检查表走一遍全流程，确认备份码可用；
- 把主资产分批转入，先小额再大额，观察节点点数消耗；
- 若团队需要 24h 覆盖，安排值班表并禁用批量码，确保任何写入都有人工 TOTP。
加密容器+强制 2FA 是 SafeW 在 4.9.1 对“无私钥”理念的再次加固：把“Something you have”扩展到“Something you have + Something you dynamically generate”。只要按本文步骤校准时间、保存备份码、定期重铸碎片，就能在移动端获得接近硬件钱包的隔离等级，同时保留多链闪兑与合规报表的便利。祝你挂载顺利，资产管理更安全。
