功能定位：为什么需要“离线挂载”
SafeW 的加密容器（Vault File，后缀 .safew）本质上是一个 dm-crypt/LUKS2 兼容的物理加密卷，设计初衷是让用户把大额私钥分片、合规审计日志或 NFT 元数据冷存到移动硬盘，实现“电脑不触网，数据仍可读”。离线挂载解决两大痛点：① 机场、会议等无网络场景下临时改文件；② 财务审计要求“原始容器只读打开，回写必须二次授权”。
与 Shadow Vault 的“链下签名+链上广播”不同，离线挂载完全脱离 SafeW 云节点，不生成任何网络日志，因此也不会触发 zk-储备证明。理解这一点，就能明白后续“只读模式”与“回写模式”的切换逻辑：前者仅供审计，后者才重新计算 Dilithium 签名并写入容器头。
前置条件与兼容性速览
| 项目 | 最低要求 | 备注 |
|---|---|---|
| SafeW 桌面端 | v6.3.1 及以上 | 需含“离线工具箱”模块 |
| 移动硬盘格式 | exFAT / APFS / ext4 | 单文件 ≥4 GB 需 exFAT |
| 系统权限 | macOS：Full Disk Access Win：管理员权限 | 否则只读锁定失败 |
经验性观察：FAT32 移动硬盘在回写时容易因“容器头备份扇区无法对齐”报错，建议提前格式化为 exFAT。
决策树：我该选哪种挂载模式？
1. 仅查阅审计日志 → 只读模式
不输入回写口令，容器头保持原始 HMAC，退出后硬盘可直接交给第三方审计。
2. 需要改文件且电脑永不联网 → 离线回写模式
需额外输入“容器回写口令”（与解锁口令分离），SafeW 会在本地重新计算 Dilithium 签名并写入容器头。
3. 后续还要在联网端继续用 → 禁止回写
一旦回写，容器 nonce 递增，联网端会因“nonce gap”拒绝签名，必须手动刷新链上状态才能恢复。
操作路径：桌面端最短入口
macOS（以 13.x 为例）
- 插入移动硬盘 → 打开 Finder → 确认 .safew 容器未自动挂载为磁盘镜像。
- 启动 SafeW → 右上角“工具”→“离线工具箱”→“挂载加密容器”。
- 在弹窗中选择“外部卷”→ 选中移动硬盘分区 → 勾选“只读排查”→ 输入解锁口令。
- 若需回写，单击“高级”→ 勾选“允许离线回写”→ 二次输入回写口令 → 确认 nonce 预警。
- 挂载成功后，容器会以“SafeW_Vault_xxx”卷标出现在 Finder 侧边栏，可直接拖拽修改文件。
Windows 11
- 插入硬盘 → 资源管理器 → 确保容器未被 BitLocker 占用。
- SafeW → 左上角汉堡菜单 →“工具”→“离线工具箱”→ 后续步骤与 macOS 相同。
- 若出现“无法独占磁盘”提示，打开 PowerShell（管理员）执行：
mountvol X: /p把占用盘符强行卸除，再重试。
移动端能否离线挂载？
截至当前的最新版本，SafeW iOS/Android 仅支持“只读预览”：通过 OTG 读移动硬盘内的 .safew 容器，可查看文本、审计日志，但无法回写。原因是移动端 Secure Enclave 暂不支持 Dilithium 离线签名，需等待官方后续开放 API。若确有移动场景改文件需求，可用“局域网 Airdrop 到笔记本 → 离线回写 → 再拷回硬盘”作为过渡方案。
只读排查：如何确认容器未被篡改
SafeW 在挂载瞬间会计算容器头 512 B 的 HMAC-SHA256，并与内置的“合规指纹库”比对。若出现“Header Hash Mismatch”弹窗，说明容器头曾被外部工具（如 cryptsetup）改写，可能违反审计轨迹。此时请：
- 立即拍照保存错误码，生成时间戳；
- 选择“取消挂载”，不要点“强制继续”；
- 在联网电脑打开 SafeW →“设置”→“合规”→“生成审计报告”，上传错误码，系统会返回该容器最近一次官方指纹记录，供第三方鉴证。
经验性观察：若错误码前四位为 0xA5B3，大概率是 nonce 被手动回滚，常见于“回写后又用旧备份覆盖”的操作误用。
文件回写：如何确保断电不损坏容器
SafeW 采用“双头交替 + 事务日志”机制：回写时先写副头，成功后再原子替换主头，即使断电，下次挂载会自动回滚到副头。但移动硬盘若自带省电休眠，可能在写入副头时掉电，导致副头 CRC 不完整。缓解措施：
1. 关闭硬盘休眠
macOS：终端执行 sudo pmset -a disksleep 0；Windows：在“电源管理”把 USB 选择性暂停设为禁用。
2. 使用 Y 型双 USB 线供电
经验性观察：2.5 英寸机械盘在回写大文件时电压跌落概率明显降低。
3. 回写后手动校验
挂载完毕 →“工具”→“校验容器”→ 勾选“深度校验 1 % 抽样”，数十秒内可完成，确认无 CRC 告警再退出。
与第三方归档机器人的协同边界
部分团队用“第三方归档机器人”自动把 .safew 容器搬到异地硬盘。SafeW 官方并未开放 API 给任何机器人写入容器头，因此机器人只能做“文件级复制”。若机器人误改时间戳，会导致“Header Hash Mismatch”。最佳实践：
- 让机器人复制完毕后再生成一份 SHA-256 文件清单（*.sha256），与容器同目录存放；
- 在 SafeW 挂载前，先用“校验外部指纹”功能比对 *.sha256，通过后再挂载；
- 若机器人必须加密传输，请使用 7-Zip AES-256 压缩，外层密码与容器口令分离，降低单点泄漏风险。
故障排查：从现象到处置
| 现象 | 可能原因 | 验证步骤 | 处置 |
|---|---|---|---|
| 挂载按钮灰色 | 移动硬盘被系统独占 | 资源管理器能否访问？ | Win 用 mountvol /p；mac 用 diskutil unmount |
| 提示“Nonce gap” | 容器被离线回写过 | 联网端查看 vault nonce | 离线端手动刷新链上状态再签名 |
| 回写后文件消失 | 未正确卸载卷 | 重新挂载看事务日志 | 用“副头还原”功能恢复至回写前快照 |
适用 / 不适用场景清单
适用
- 年度财务审计：会计师只读查看 USDC 发放记录，无需触碰私钥；
- DAO 多签出差：三名成员各带一份离线容器，现场修改预算 CSV，回写后统一 nonce；
- 个人冷备份：把 NFT 元数据放容器，20 年后仍可离线挂载，不受软件源失效影响。
不适用
- 高频热钱包：每次转账都离线挂载再回写，操作链过长，容易因 nonce gap 导致交易卡住；
- 多人实时协作：容器级锁同一时刻只能单写，无法像 Google Docs 并行编辑；
- ≤4 GB 小文件：大材小用，且容器头开销占比过高，建议直接用 age 加密。
最佳实践 6 条速查表
- 回写前必关硬盘休眠，用双 USB 供电。
- 回写后必做 1 % 深度校验，确认 CRC 无红字。
- 第三方复制机器人务必同时生成 *.sha256 清单。
- 若后续要在联网端继续用，回写后第一时间刷新链上 nonce。
- 移动端只能只读，改文件请走“局域网中转”方案。
- 出现 Header Hash Mismatch，先拍照留证，再点“取消”，切勿强制继续。
FAQ（使用 FAQPage Schema）
移动硬盘格式化成 APFS 后，Windows 无法挂载怎么办？
SafeW 桌面端自身不依赖文件系统驱动，但 Windows 需先识别分区。可先在 macOS 把容器文件拷到 exFAT 分区，或 Windows 安装开源 APFS 驱动（请自行评估合规风险）。
回写时断电，容器打不开了，还能救吗？
SafeW 采用双头机制，挂载时会自动检测主头 CRC 失败并提示“是否用副头还原”。选择“是”即可回到最近一次成功回写点；若副头也损坏，需使用备份的 *.safew.bak 手工恢复。
可以把容器直接放在 NAS 上离线挂载吗？
NAS 若通过 SMB/NFS 挂载到本地，SafeW 会识别为网络卷，强制禁用回写模式，只能只读。若确有需求，请把 NAS 卷映射为 iSCSI 块设备，系统层识别为本地磁盘后可正常回写。
收尾：下一步行动
离线挂载移动硬盘的核心价值，是在零网络痕迹的前提下完成合规审计与文件回写。读完本文，你应已能：
- 根据场景快速选择只读或回写模式；
- 在 macOS/Windows 上用最短路径完成挂载；
- 通过双头校验与深度抽样，确保断电也不损坏容器；
- 把第三方机器人纳入流程，同时守住指纹一致性。
下一步，建议你立即找一块闲置移动硬盘，创建一个 8 GB 的测试容器，按本文步骤做一次完整回写并断电模拟，验证副头还原是否成功。只有亲手跑通，才能在真正审计或出差时，把“离线挂载”变成可复现的合规资产。
