问题定义：忘记挂载密码为何必须强制卸载
SafeW 的加密容器（Encrypted Container）采用 AES-256-XTS + Argon2id 双层加密，挂载密码只保存在本地 Secure Enclave，服务端不保留任何副本。一旦用户忘记该密码，系统无法通过邮箱或人脸重置，此时唯一可用路径是“强制卸载+重新初始化”。此操作会立即丢弃容器头密钥槽，导致数据不可解密，等同于“格式化”，但容器 ID 与链上地址仍可复用。
版本演进：4.9.1 起官方提供“急救盘”机制
在 4.8.x 及更早版本，SafeW 仅提供“卸载”按钮，若容器处于挂载失败状态，按钮会被灰掉。4.9.1 引入 Emergency Toolkit（急救盘），允许在“忘记密码”场景下绕过挂载检查，直接执行强制卸载。该工具以独立 APK/IPA 形式发布，体积 12 MB，无需安装完整客户端即可运行。
前置条件与风险提示
1. 数据不可恢复
强制卸载会擦除本地密钥槽与缓存的交易签名分片，链上资产仍在合约层，但离线签名材料丢失。若未提前导出“合规报表”或“离线签名包”，后续无法完成报税、审计等多签场景。
2. 需具备 Owner 权限
容器创建时默认写入 Owner DID（去中心化身份）。急救盘会校验当前设备是否在该 DID 的 3-of-5 分片列表中，若设备已丢失且未提前同步分片，则无法进入卸载流程。
3. 网络要求
整个流程需连接 SafeW 中继节点，用于广播“容器头作废”交易。若处于隔离内网，可改用“离线签名+二维码跳传”模式，但需另一台联网设备配合，耗时约数十秒。
操作路径（分平台最短入口）
Android
- 在官网下载 EmergencyToolkit-4.9.1.apk，授予“安装未知应用”权限。
- 打开急救盘 → 选择“强制卸载容器” → 扫描生物识别 → 输入容器 ID 前 8 位。
- 系统显示“密钥槽已擦除”后，返回主钱包 → 设置 → 加密容器 → 初始化新容器。
iOS
- 使用 TestFlight 链接安装 EmergencyToolkit-4.9.1，需 iOS 15 以上。
- 启动后点击“NFC 冷签”→ 触碰 SafeW 冷签卡 → 确认强制卸载。
- 卸载成功后，重新打开 SafeW 主 App → 首页顶部横幅“重新创建容器”。
桌面端（macOS/Windows）
- 在菜单栏 Help → Download Emergency Toolkit 获取独立二进制。
- 终端执行
safew-etool --force-unmount --container-id <CID> - 看到
unmount tx mined at height xxxxx即表示链上作废完成，随后可在 GUI 重新初始化。
例外与副作用
1. 多签财库场景
若容器被 DAO 财库多签引用，强制卸载仅删除本地副本，链上多签策略仍在。重新初始化后需重新导入策略地址，否则会出现“签名不足”异常。经验性观察：重新导入过程约需 3 次 Slack 审批流，平均耗时 5 分钟。
2. 隐藏 NFT 影子地址
容器卸载不会自动解除“资产隐形”映射。重新初始化后，旧影子地址处于失联状态，需手动在“隐私中心”执行“重新绑定”，否则无法查看历史伪装资产。
3. 合规报表连续性
SafeW 税务模块以容器为单位生成 CSV。强制卸载后，旧容器编号被标记为 DISCONTINUED，新容器会重新从高度 0 计算成本基准。若需保持 FIFO 连贯，可在初始化前勾选“继承历史价格源”，但该选项仅在 4.9.1 以上可见。
验证与回退方案
1. 验证卸载是否成功
- 在区块浏览器搜索容器 ID，应显示“HeadSlot Nil”。
- 本地路径
Android/data/com.safew.wallet/files/container下只剩 1 KB 头文件，内容为全 0xFF。
2. 回退限制
SafeW 不提供“回滚”功能。若卸载后 10 分钟内发现误操作，可尝试联系官方客服冻结链上地址，但仅对未打包交易有效，经验性观察成功率低于 10%。
适用/不适用场景清单
| 场景 | 是否建议强制卸载 | 备注 |
|---|---|---|
| 个人钱包、资产<10 kUSD | ✅ 建议 | 数据丢失成本低，可快速重新导入助记词 |
| DAO 多签财库 >1 MUSD | ❌ 不建议 | 应先走“分片恢复”流程，强制卸载会导致审批链断裂 |
| 税务审计截止前 48 h | ⚠️ 谨慎 | 需先导出 CSV，否则新容器编号无法满足连续申报要求 |
| Android 10 以下闪退设备 | ❌ 不支持 | 急救盘最低要求 API 31，需先换机或使用桌面工具 |
最佳实践检查表
操作前
- 导出合规报表并云端备份（Settings → Compliance → Export CSV）。
- 确认设备仍在 3-of-5 分片列表（Settings → MPC → Shard Status 全绿）。
- 记录容器 ID 与链上地址，方便重新导入。
操作中
- 保持电量 >50%，防止签名中断。
- 使用 5G/Wi-Fi 6 网络，确保“作废交易”在 30 秒内上链。
操作后
- 重新初始化时选择“继承价格源”，保持税务连续。
- 第一时间在“隐私中心”重新绑定影子地址，恢复资产隐形。
- 将新容器加入 Slack 审批流，避免多签断裂。
故障排查速查
现象：急救盘提示“Owner DID 不匹配”
可能原因：设备曾恢复出厂设置，导致本地分片被清空。
验证：进入 Settings → MPC → Shard Status 看是否出现红色“Missing”。
处置：在另一台已授权设备执行“碎片重铸”生成新分片，再运行急救盘。
现象：卸载成功但无法重新初始化，提示“容器名已存在”
可能原因：链上作废交易未打包，缓存仍显示旧头。
验证：区块浏览器搜索容器名，确认 HeadSlot 为 Nil。
处置：等待 1 分钟后再试，或重启主 App 刷新缓存。
FAQ（结构化数据）
强制卸载后，链上资产会丢失吗？
不会。链上资产仍在合约层，但本地签名分片被清空，需重新导入私钥或重新绑定多签才能动用。
可以跳过急救盘，直接删除 App 重装吗？
不行。容器头写在单独分区，重装 App 不会删除，启动后仍提示输入旧密码。必须用急救盘执行链上作废。
重新初始化后，SafeW Points 会清零吗？
Points 绑定在 DID 而非容器，卸载容器不影响。但第三季空投快照以容器编号为索引，新编号不会继承旧快照记录。
Android 10 以下设备无法运行急救盘，怎么办？
官方提供桌面端二进制，可在 Windows/macOS 执行强制卸载，随后在手机端直接重新初始化即可。
卸载后能否恢复之前的合规报表模板设置？
模板保存在云端 DID 配置，重新初始化时登录同一账号即可自动同步，但成本基准需手动选择“继承价格源”。
总结与下一步行动
SafeW 加密容器一旦忘记挂载密码，官方唯一出口就是“强制卸载+重新初始化”。整个过程 5 分钟可完成，但数据清空不可逆，务必在操作前导出合规报表并确认分片状态。完成后，第一时间重新绑定影子地址、同步多签策略，才能恢复完整功能。若你管理的是大额多签财库，优先联系官方客服走“分片恢复”通道，而非直接使用急救盘。
下一步建议：把本文检查表保存为笔记模板，每季度核对一次分片健康度；同时打开“自动云备份”开关，让新容器在创建后即时同步，避免再次陷入“忘记密码→强制卸载”循环。
