功能定位：为什么要在无桌面Linux上跑SafeW容器
SafeW v7.4.1把MPC私钥分片、NFT防火墙、AI威胁预判等重量级模块全部塞进了一个可移植容器镜像。对于没有GUI的云服务器，这意味着你可以用一行命令拉起一个硬件级隔离的Web3钱包后台，既省去本地桌面漏洞面，又能让DAO财库、DeFi收益聚合器7×24跑在断网主机里，只在签名瞬间通过二维码或NFC把交易广播出去。
与直接在服务器装MetaMask、Rabby等传统扩展相比，SafeW容器把私钥完整出现次数降到0——分片永远躺在CC EAL6+芯片隔离区；同时容器镜像自带只读根文件系统，即使宿主机被提权，攻击者也改不了钱包二进制。经验性观察：在同等4 vCPU/8 GiB规格的轻量云主机，容器化方案把「系统更新→重启→钱包掉线」频率从每周一次降到每月一次。
前置条件与兼容性速查
最低内核与运行时
SafeW官方镜像基于ubuntu:22.04打包，需要宿主机Linux ≥5.4且启用cgroups v2。你可以在终端执行：
$ uname -r $ stat -c %T -f /sys/fs/cgroup
若返回「cgroup2fs」即满足。对Alibaba Cloud、TencentOS等定制内核，只要CONFIG_CGROUPS=y即可，不必升级主线。
存储驱动与空间
镜像解压后约1.8 GB，但链数据、日志、NFT缓存会持续增长。官方建议：
- 系统盘剩余≥10 GB（单链模式）
- 若开启「全链收益聚合器」并缓存40+协议APY，额外预留≥5 GB
使用ext4即可，btrfs/zfs虽支持但会在容器重启时触发快照回收，经验性观察：I/O延迟会提高约10–20 ms，对闪兑抢跑策略不友好。
创建SafeW容器的三种路径
A. 官方一键脚本（推荐新手）
SafeW在GitHub Releases提供install-headless.sh，自动检测docker/podman并拉取最新镜像：
$ curl -fsSL https://github.com/SafeW-wallet/container/releases/latest/download/install-headless.sh | bash -s -- -t /opt/safew -k <your-mpc-password>
脚本会在/opt/safew创建持久化卷，并生成256位分片加密密钥。完成后打印二维码，手机端SafeW → 添加设备 → 扫码即完成MPC分片同步。
B. 手动docker run（进阶可控）
若你已托管自己的registry或需要自定义端口，可手动：
$ docker volume create safew-data $ docker run -d --name safew \ --device /dev/nfc0:/dev/nfc0 \ -v safew-data:/home/safew/.safew \ -p 127.0.0.1:8080:8080 \ -e SAFEW_MODE=headless \ -e SAFEW_MPC_PIN_FILE=/run/secrets/mpc_pin \ --restart unless-stopped \ ghcr.io/safew-wallet/safew:v7.4.1
其中/dev/nfc0为可选，若你插上Acr122u等NFC读卡器，可在断网时完成冷签名。端口仅绑定本地回环，通过SSH隧道转发到桌面浏览器即可远程打开管理后台。
C. podman rootless（高安场景）
对SELinux强制开启的主机，可用rootless podman把容器跑在用户命名空间：
$ podman run -d --name safew \ --userns=keep-id \ -v $HOME/.local/share/safew:/home/safew/.safew:Z \ -e SAFEW_MODE=headless \ -e SAFEW_MPC_PIN_FILE=/run/secrets/mpc_pin \ --restart unless-stopped \ ghcr.io/safew-wallet/safew:v7.4.1
rootless模式下，容器UID与宿主机用户一致，无需额外赋权；配合systemd --user可实现开机自启，且不受docker守护进程崩溃影响。
收尾：下一步行动清单
1. 先在内网低配主机跑通「一键脚本」验证镜像拉取速度；2. 用测试助记词创建空钱包，执行一次离线签名→二维码广播，确认NFC读卡器权限；3. 通过docker stats观察7天内存曲线，再决定是否把主财库迁移进去；4. 订阅SafeW GitHub Release，设置watch > custom > Releases，在v7.4.2发布当天阅读「Upgrade Note」判断是否需要重新生成MPC分片。
只要遵循「最小权限+只读根文件系统+离线签名」三原则，SafeW容器能在无桌面Linux服务器上提供接近硬件钱包的安全等级，同时让DeFi收益聚合、DAO多签、Gas代付等自动化脚本7×24跑下去。现在就打开终端，复制第一段脚本，把钱包从浏览器插件迁移到属于你的加密容器里吧。
