功能定位：为什么要在右键菜单里“挂”一个加密容器？
SafeW 的加密容器（Shadow Vault）本质是一个离线分片包，只有凑齐 3/5 MPC 份额才能解密。日常冷存场景下，用户最频繁的动作是“选中→解锁→查看余额→重新上锁”。如果每次都要先启动 SafeW 桌面端、再点 Vault、再选分区，不但步骤多，还容易在忙乱中漏掉“重新上锁”这一关键动作，留下长时间明文挂载的审计隐患。把“快速挂载”直接写进 Windows 右键菜单，相当于给容器加了一个“一键点火”按钮：点一次就完成 MPC 份额拉取、签名、挂载三个动作，同时自动在后台写一条留痕日志，方便事后合规审计。
与同类方案相比，SafeW 没有把私钥碎片留在注册表或临时文件，而是借助 Windows 证书存储区（CurrentUser\My）保存一份经 Dilithium 加密的“本地分片”。右键菜单只负责调起 safew-cli.exe 并传入容器路径，实际解密仍在 SafeW 安全沙箱里完成，降低了第三方外壳程序截获密钥的风险。
兼容性前置检查：版本、权限与链
截至当前的最新版本（SafeW 6.3.1）已把「右键快速挂载」做成可选组件，但默认不勾选。桌面端需满足：
- Windows 10 21H2 及以上，或 Windows 11 任意正式通道版本；
- 已启用 VBS（基于虚拟化的安全）且驱动签名强制未关闭，否则 Dilithium 签名模块会拒绝加载；
- 安装时选择“本地管理员”模式，以便写入 HKEY_CLASSES_ROOT\*\shell 注册表项。
若公司电脑由 IT 统一管控，无本地管理员权限，可改用 HKCU 级菜单（仅对当前用户生效），但需接受“每次换机都要重新配置”这一额外步骤。
决策树：什么时候值得开右键菜单？
经验性观察表明，若每日解锁容器 ≥3 次、且团队 ≥5 人共用同一审计通道，右键菜单可把平均解锁时间从 42 秒降到 10 秒以内；若一周只解锁一次，则收益有限，反而增加误触概率。以下三条规则可帮助快速判断：
- 规则一：容器里放的是“流动性资金”还是“长期冷存”？——冷存不建议开右键，避免手滑。
- 规则二：电脑是否多人共用？——共用机务必开“挂载后 15 分钟自动卸载”策略，否则不要集成右键。
- 规则三：公司合规是否要求“每次挂载必须双人审计”？——如是，请关闭右键菜单，改用 SafeW 网页端多签流程。
操作路径：桌面端图形向导
步骤 1 启用组件
1. 打开 SafeW 桌面端 → 右上角「⋮」→ 设置 → 组件管理 → 勾选「Explorer 右键扩展（Windows）」。
2. 安装过程会弹出 UAC，请选择“是”，允许写入注册表。
步骤 2 绑定容器
1. 回到首页 → Shadow Vault → 选中目标容器 →「⋮」→「注册到右键菜单」。
2. 在弹出窗口里填写“菜单显示名称”，默认是"SafeW 快速挂载"，可改成"公司金库"等合规名。
3. 选择挂载模式：
- 只读（推荐审计岗）：解密后驱动器为只读，任何写入都会被重定向到临时目录，卸载即清空；
- 读写（财务岗）：可正常写入，但会在后台实时同步到审计日志。
步骤 3 验证日志
完成绑定后，首次右键菜单会触发一次“测试挂载”。成功状态下，资源管理器会多出一个盘符（默认 X:），同时 SafeW 日志页出现一行绿色记录：
Event=QuickMount, Result=Success, MountID={UUID}, Policy=ReadOnly, User=DOMAIN\uid
若出现红色警告“MPC 份额不足”，请检查手机端是否在线、iCloud 分片是否被关闭。
无管理员权限时的 HKCU 方案
若电脑被 IT 剥夺本地管理员，可改用单用户注册表路径：
HKEY_CURRENT_USER\Software\Classes\*\shell\SafewMount\command
默认值填写：
"C:\Program Files\SafeW\safew-cli.exe" vault-mount -i "%1" -ro
注意：
- %1 由 Explorer 自动替换为被点击的文件路径；
- -ro 代表只读，若需读写请改为 -rw；
- 升级 SafeW 后路径可能变化，需同步更新注册表。
与第三方归档机器人的协同
部分团队使用自研归档机器人，每日凌晨把容器复制到 NAS 做冷备份。右键菜单挂载时，会占用容器文件句柄，导致 02:00 的复制任务失败。SafeW 提供“/auto-close=900”参数，让驱动器在空闲 900 秒后自动卸载，释放句柄。示例命令：
safew-cli.exe vault-mount -i "%1" -ro -auto-close=900
经验性观察：把自动关闭时间设在 15~20 分钟，可在白天工作流与夜间备份之间取得平衡；若低于 5 分钟，会导致频繁卸载，重新挂载时 MPC 网络握手耗时占比升高，用户体验反而下降。
故障排查：右键菜单消失或报红
现象 1：升级 SafeW 后菜单消失
原因：安装包默认会清理旧版注册表项，但未自动回写。处置：重新执行「设置 → 组件管理 → 先取消勾选→确定→再勾选→确定」，即可重写注册表。
现象 2：点击菜单后报错 0x80070005
原因：本地分片文件被 IT 强制加 EFS 加密，safew-cli 无法读取。验证：在命令行执行
cipher /c "%USERPROFILE%\SafeW\shards\local.shard"
若返回“Encrypt/Decrypt 属性 已加密”，即确认。处置：联系 IT 把 .shard 文件加入 EFS 例外，或把容器迁移到非 EFS 分区。
现象 3：挂载成功但盘符空白
原因：资源管理器缓存未刷新。处置：按 F5 或执行
taskkill /f /im explorer.exe && start explorer.exe
即可强制重载。
边界与副作用：何时不该用？
1. 容器体积 >500 GB 且机械硬盘：右键挂载后，Windows 需花数十秒建立 MFT 索引，期间若用户误以为失败而反复点击，会触发多条 MPC 签名请求，浪费 nonce。建议改用计划任务挂载，避开高峰。
2. 合规要求“双人双机”：右键菜单默认调用本机分片，无法跨机拉取同事份额，违背多签原意。此时应禁用右键，回归网页端流程。
3. 电脑装有“驱动级”杀毒：部分国产杀软会钩住 CreateFileW，导致 safew-cli 读取容器时被拦截，表现为“0xC00000B4 设备未就绪”。可把 SafeW 安装目录加入杀软信任区，或改用只读模式降低触发概率。
最佳实践清单（可打印）
启用前
- 确认本地已打开 VBS，且 Dilithium 模块加载成功；
- 容器已做“基础备份”，防止挂载失败导致误删；
- IT 已授权写入注册表或同意使用 HKCU 方案。
启用后
- 每周抽查一次事件日志，看是否有非工作时间挂载；
- 设置 -auto-close=900，避免过夜挂载；
- 升级 SafeW 后，第一时间检查右键是否失效。
FAQ（结构化数据）
右键菜单支持同时绑定几个容器？
目前上限 5 个，超过需手动改注册表，且菜单长度会折行，建议用文件夹级菜单分组。
挂载后能否改盘符？
可在 safew-cli 后加 -drive=Y: 参数，但若 Y: 被占用会自动顺延后一位，重启后失效，需重新指定。
MPC 份额过期怎么办？
手机端分片默认 365 天有效期，到期前 30 天会推送通知；若已过期，需用剩余 4 份重新生成新分片，再注册右键。
右键菜单会被组策略清空吗？
若 IT 启用“禁止用户修改文件关联”策略，HKLM 项会被刷新；此时改用 HKCU 即可绕过，但需用户级登录脚本重写。
如何彻底卸载右键菜单？
在 SafeW 设置取消勾选组件即可自动清表；若手动改写过注册表，需自行删除 HKCU\Software\Classes\*\shell\SafewMount 整支。
收尾：下一步行动
右键菜单不是“装了就更安全”，而是“在合规框架内让高频动作更快”。若读完本文你符合“日解锁 ≥3 次、容器 ≤500 GB、已开 VBS”这三条，不妨花 5 分钟按图形向导走一遍；配置完立即做一次“测试挂载+日志导出”，用 Excel 简单筛选确认事件字段齐全，再让同事也跑一遍，就能在下一轮内部审计里交出一份“快速挂载操作可追溯”的满意答卷。若发现场景不符，果断关掉组件，把精力留给多签流程——SafeW 的 MPC+账户抽象双引擎，才是资产安全真正的底牌。
