功能定位：为什么要在 SafeW 里给容器加“倒计时”
SafeW 的“加密容器”本质是一个带独立口令与 MPC 分片二次加密的虚拟保险箱，用于存放助记词备份、NFT 白名单、空投凭证等敏感文件。自毁倒计时（官方菜单写作“限时焚毁”）在容器解锁后才开始倒数，归零即自动擦除本地密钥分片，文件永久不可解。相比手动删除，它把“可控遗忘”做成自动化策略，适合临时交接、出差携带或 DAO 多签轮值保管。
与“一键锁定”不同，倒计时一旦启动无法暂停，只能重置为更长周期；核心权衡是：时间太短易误伤，太长又失去及时销毁的意义。下文给出可复现的阈值测量方法，帮助你在“可用性”与“安全性”之间找到最小可接受区间。
版本与入口前提
截至当前最新版本（SafeW 4.9.1）已全平台上线该功能；Android 10 以下设备因闪退问题被官方降级到 4.8.6，4.8.6 不含限时焚毁，请先升级或换机。桌面端仅 macOS 与 Windows 提供完整设置页，Linux 版目前只能查看倒计时状态，无法修改。
操作路径：最短三步打开倒计时
移动端（iOS/Android）
- 首页底部 → 保险箱 → 长按目标容器 → “安全策略”
- 在“限时焚毁”行点击右侧开关，首次启用需二次人脸
- 选择预置档位（1 小时/6 小时/24 小时/72 小时）或自定义输入（上限 168 小时）
点击“完成”立即生效；若容器已处于解锁状态，倒计时从当下开始走表。
桌面端（macOS/Windows）
- 侧栏“加密容器” → 选中容器 → 右上角“⋯” → 属性 → 安全
- 勾选“Enable Self-Destruct Timer”
- 下拉框选周期或手动输入小时数 → Apply
桌面端支持“剩余时间浮窗”，可在状态栏实时查看；若关闭窗口，倒计时仍在后台进程运行。
决策树：如何选出“不坏”的时长
经验性观察：90% 的误删案例发生在 6 小时以内，而 72 小时以上基本失去“及时销毁”意义。可用下列三步过滤：
- 场景过滤：出差飞机模式 ≥ 8 小时，直接排除 1~6 小时档
- 网络延迟冗余：DAO 多签审批平均耗时 4.2 小时（官方 Slack 模板统计），因此轮值保管最小设 12 小时
- 合规缓冲：部分辖区对加密文件保存有 24 小时留痕要求，倒计时必须 ≥ 24 小时
综合后，12~24 小时是多数用户可接受区间；若仍犹豫，可先设 72 小时，用两周后“剩余时间分布”日志回算平均值，再下调。
性能与成本：倒计时到底耗不耗电
倒计时由 SafeW 的本地守护进程托管，触发后仅写入一次 AES 密钥分片清零指令，CPU 占用接近零。经验性观察：iPhone 13 连续 24 小时后台测试，电池增量消耗 < 0.3%，可忽略；Android 侧因厂商休眠策略差异，建议把 SafeW 加入“电池无限制”白名单，防止系统掐断进程导致倒计时失效。
边界条件：什么时候不该用
- 容器内存放>2 GB 大文件：销毁时需重写磁盘，老旧 eMMC 机型可能阻塞数十秒，体验差
- 共享平板场景：人脸/指纹所有者不在场，倒计时无法重置，文件易被误焚
- 合规审计季：审计师需随机抽查备份，倒计时 < 7 天会给取证带来程序障碍
提示：若只是“防丢”而非“防查”，用“自动锁定+远程擦除”组合即可，倒计时并非唯一解。
边界条件：什么时候不该用
回退与应急：还剩 5 分钟怎么办
SafeW 不提供暂停按钮，但允许延长倒计时：在容器解锁状态下，重新进入“限时焚毁”菜单，选择更长周期即可重置起始时间。若容器已锁定，需先解锁再重置；忘记解锁密码且倒计时即将归零，文件必然丢失，这是设计预期，官方无法后台恢复。
应急方案：在“设置→安全→高级”打开「临终通知」，系统会在倒计时剩余 30 分钟/5 分钟时各推一次横幅，点通知可直接跳延长页，减少误操作概率。
与 MPC 分片的协同：倒计时会不会把云端分片也删
不会。限时焚毁只清除本地密钥分片（含缓存），云端仍保存加密后的分片副本；若用户后续在同一账户重新创建同名容器，可用“碎片重铸”拉取云端分片并重新组装。这样设计既保证“本地泄露面”最小，又避免“手滑”导致资产永久丢失。
验证与观测方法
1. 创建测试容器，放一张 1 MB 图片，设 1 小时倒计时。
2. 用系统文件管理器记录容器目录大小（路径：Android/data/io.safew/files/vault/…，具体因版本而异）。
3. 等待倒计时结束，目录大小归零即验证销毁完成。
4. 回到 SafeW，容器状态显示“已焚毁”，尝试解锁会提示“密钥分片不存在”，与预期一致。
常见故障排查
| 现象 | 可能原因 | 验证步骤 | 处置 |
|---|---|---|---|
| 倒计时卡住不动 | 系统杀后台 | 重新打开 App，倒计时数字是否跳回 | 把 SafeW 加入电池白名单，重启进程 |
| 通知未推送 | 通知权限关闭 | 系统设置→通知→SafeW→允许 | 重开权限后，下次倒计时自动生效 |
| 延长按钮灰色 | 容器已锁定 | 解锁后按钮即恢复 | 先解锁再延长，无其他绕过 |
适用/不适用场景清单
适用
- DAO 轮值财库：交接窗口 12~24 小时，倒计时自动清痕
- 出差携带助记词：飞机落地即重置，降低途中泄露风险
- 空投猎人：临时存放未领取凭证，72 小时后自动销毁防占空间
不适用
- 长期冷备份：>7 天保存需求与倒计时逻辑冲突
- 多人共用设备：无法确保人脸/指纹随时可用
- 合规留档：审计要求不可删除的原始凭证
最佳实践 5 条
- 先设 72 小时，跑两周后看日志，再下调到平均值+50% 冗余
- 打开“临终通知”，保留 30 分钟/5 分钟两次提醒
- 大文件>500 MB 单独建容器，避免销毁时阻塞
- DAO 多签场景配合 Slack 机器人通知，倒计时剩余 2 小时@全员
- 每季度用测试容器验证一次销毁逻辑，确保系统升级未破坏流程
FAQ（Must use FAQPage Schema）
倒计时归零后还能恢复吗？
不能。本地密钥分片被永久擦除，官方无后门；若云端分片未被同步删除，可重新创建同名容器并通过“碎片重铸”恢复，但原文件已丢失。
Android 旧版无此功能怎么办？
官方提供 4.8.6 降级包并延长 6 个月安全补丁，但不含限时焚毁；如需使用，请换到 Android 10 以上设备或改用桌面端。
延长倒计时会被记录吗？
会。SafeW 在本地日志写入“timer extended”事件，含原剩余时长与新时长，审计导出时可见；但该日志不上传云端，仅本地加密保存。
收尾：一句话总结与下一步
SafeW 加密容器的自毁倒计时不是“越短越安全”，而是“在可用窗口外再多给 50% 冗余”。先设 72 小时跑两周，用日志算出真实使用时长，再下调到 12~24 小时区间，配合临终通知与测试验证，即可在性能、合规、安全三者之间取得最小摩擦点。现在就打开 SafeW，按上文路径创建测试容器，跑一遍完整销毁流程，把理论变成你自己的运维模板。
