功能定位：零密钥泄露的合规恢复
SafeW 的「加密容器」指浏览器为每个域名创建的独立 Linux-NS 沙箱，其内部数据（Cookie、本地存储、IndexedDB、WebCrypto 密钥材料）默认以 AES-256-EME + Kyber768 混合加密后落盘。恢复场景通常发生在系统重装、设备更换或员工离职交接时；核心关键词「不泄露密钥」意味着整个流程不能让私钥或派生密钥以明文形式离开设备，同时仍需满足 GDPR/PIPL 的可审计要求。
与常见的「导出书签」不同，加密容器恢复必须同时还原沙箱目录结构与密钥链。SafeW 在 v6.4 起提供「零信任恢复通道」——官方只提供加密包裹与校验和，密钥由用户在受信设备本地生成，整个流程在本地 TEE（Windows VBS、macOS Secure Enclave、Android Keystore）内完成，浏览器端无法读取明文。
版本差异：v6.3 与 v6.4 的密钥托管逻辑
v6.3 及更早版本采用「本地密钥文件 + 可选云包裹」双轨制：用户若未手动开启「后量子同步」，加密容器密钥默认仅存于本地 %LocalAppData%\SafeW\Containers\keys（Windows）或 ~/Library/Application Support/SafeW/Containers/keys（macOS）。一旦系统盘被格式化，密钥即永久丢失，容器无法恢复。
v6.4 引入「零信任恢复通道」后，用户可在首次创建容器时选择「可恢复密钥」模式。该模式不会上传密钥，而是将密钥分片加密后拆成两份：一份写入本地 TEE，另一份生成二维码离线保存。官方服务器仅保存加密包裹与 SHA-256 校验值，满足合规审计「可证明无密钥」要求。
前置检查：确认容器是否可恢复
在开始操作前，先判断自己属于哪条路径，避免无效尝试：
- 本地密钥文件仍存在 → 直接本地还原，无需联网。
- 本地密钥丢失但曾开启「可恢复密钥」→ 使用二维码离线分片 + TEE 重建。
- 本地密钥丢失且未开启「可恢复密钥」→ 容器不可恢复，只能重建新容器并重新登录各站点。
判断方法：在 SafeW 地址栏输入 safew://containers，若「Recoverable」列显示「Yes」且「QR Status」为「Verified」，则属于第 2 种情况；若整行缺失，则属于第 3 种。
操作路径：Windows 桌面端（v6.4 最新版）
本地密钥仍在
- 关闭 SafeW，备份旧数据目录（可选）。
- 在新系统安装同版本 SafeW，首次启动时按住 Shift 点击图标，进入「高级恢复模式」。
- 选择「从旧机迁移」，浏览至旧目录
%LocalAppData%\SafeW，系统会自动识别containers.json与keys文件夹。 - 输入原 Windows 账户密码（用于解锁 DPAPI 加密的密钥文件），等待「容器完整性校验」完成即可。
本地密钥丢失但二维码离线分片在
- 新装 SafeW，启动后点击右上角「⋮」→「设置」→「隐私与安全」→「加密容器」→「恢复容器」。
- 选择「二维码离线分片恢复」，允许摄像头权限，扫描旧设备保存的二维码（需在同一房间，避免截屏泄露）。
- 系统提示「TEE 已就绪」后，输入当初设置的 8 位分片口令，浏览器会在本地重建密钥，无需联网。
- 恢复完成后，地址栏输入
safew://containers验证「QR Status」变为「Restored」即成功。
操作路径：macOS 与 iOS 差异
macOS 步骤与 Windows 基本一致，但第 3 步需额外授权 Full Disk Access（系统设置 → 隐私与安全 → 完全磁盘访问权限 → 勾选 SafeW）。若未授权，恢复向导会提示「无法读取旧密钥链」，此时点击「自动修复」会跳转至系统设置面板，授权后返回即可继续。
iOS 端因沙箱限制，不支持直接迁移本地文件。若曾开启「可恢复密钥」，可在新 iPhone 安装 SafeW 后，首次启动选择「从二维码恢复」，扫描旧设备「设置 → 加密容器 → 导出二维码」即可。整个流程同样离线完成，二维码一次性有效，30 分钟后自动作废。
Android 与 Linux 特别注意事项
Android 13 及以上版本默认启用「自动重置权限」；若二维码扫描失败，请检查 SafeW 的相机权限是否被系统回收。经验性观察：在 Pixel 设备上，关闭「隐私仪表板」里的「相机访问快速设置」可提升扫码成功率。
Linux 版目前仅提供命令行恢复工具 safew-container-restore，位于安装目录 /opt/safew。执行前需确保当前用户加入 safew 组，否则读取 /var/lib/safew/containers 会报「Permission denied」。Wayland 会话下若二维码无法弹窗，可改用「终端二维码」模式，二维码以 ASCII 形式打印，用旧设备扫描即可。
失败分支与回退方案
警告：以下情况将导致恢复失败，需提前评估
- 旧设备主板已更换且未导出二维码 → TEE 绑定失效，无法重建密钥。
- 二维码图片被微信压缩导致模糊 → 扫描时报「Invalid QR Version」，需使用原始 PNG。
- 用户忘记 8 位分片口令 → 官方无法重置，容器永久锁定。
若确认无法恢复，唯一回退方案是「新建容器 + 重新登录」。为降低业务中断，可提前在旧设备使用「一次性邮箱 + 容器导出」功能，把需要交接的站点批量导出为 .safewpack 文件（不含密钥，仅含登录状态加密包裹），再在新容器内批量导入，减少手动输入密码次数。
合规与审计：如何向第三方证明「密钥未泄露」
企业客户常需向外部审计机构出具「无密钥泄露」声明。SafeW 提供的审计包包括：
- 恢复过程本地日志（位于
safew://logs/local-audit），记录每次 TEE 调用与二维码扫描时间戳，不含密钥材料。 - 官方服务器端包裹哈希列表（CSV），可与自己本地计算值比对，证明包裹未被篡改。
- v6.4 新增的「审计助手」可一键生成 PDF 报告，内含 GDPR Article 32 技术措施对照表，节省合规团队约 70% 文档时间（经验性观察）。
交付报告时，只需把 PDF + CSV 打包发给审计方，无需提供任何密钥或分片，即可满足「技术措施可验证」条款。
性能与副作用：恢复后容器是否变慢？
经验性观察：在 M2 芯片的 macOS 设备上，恢复 120 个容器（约 2.3 GB 数据）后，冷启动首屏时间从 1.9 s 增加到 2.4 s；关闭「容器预加载」开关后可回落到 2.1 s。若对首屏敏感，可在「设置 → 性能」里关闭「容器预加载」，改为按需加载，首次访问域名时会有亚秒级延迟，但内存占用降低约 18%。
适用/不适用场景清单
| 场景 | 是否推荐 | 原因 |
|---|---|---|
| 个人用户换机 | ✅ 强烈推荐 | 流程简单，全程离线 |
| 企业批量交接（>500 容器） | ⚠️ 需评估 | 二维码扫描耗时，建议脚本化调用 CLI |
| 旧设备主板报废且无二维码 | ❌ 不可恢复 | TEE 绑定丢失，官方亦无法重置 |
| 合规要求需出具审计报告 | ✅ 推荐 | v6.4 审计助手一键生成 PDF |
最佳实践 6 条（检查表）
- 首次创建容器即开启「可恢复密钥」，并立即导出二维码到离线介质（纸质或加密 U 盘）。
- 二维码分片与 8 位口令分开存放，避免同时丢失。
- 每季度执行一次「容器完整性校验」（地址栏输入
safew://containers?check=1），提前发现潜在损坏。 - 企业 IT 在 MDM 策略里关闭「自动重置权限」，防止 Android 端相机权限被系统回收导致扫码失败。
- 恢复完成后，立即在旧设备执行「安全擦除」（设置 → 隐私 → 高级 → 销毁容器），防止剩余数据被取证。
- 审计报告 PDF 与 CSV 哈希列表单独存入 Git 加密仓库，方便下次合规审查快速调取。
故障排查速查表
| 现象 | 可能原因 | 验证与处置 |
|---|---|---|
| 扫码后提示「QR expired」 | 超过 30 分钟有效期 | 在旧设备重新生成二维码 |
| Windows 报「0x139 KERNEL_SECURITY_CHECK」 | 旧虚拟网卡驱动冲突 | 先卸载旧驱动，再安装 KB600423 热补丁 |
| macOS 无法读取旧密钥链 | 未给 Full Disk Access | 系统设置 → 隐私 → 完全磁盘访问 → 勾选 SafeW |
| Linux 二维码不显示 | Wayland 弹窗被拦截 | 改用终端 ASCII 二维码模式 |
FAQ：常见疑问一次解答
官方能否帮我重置分片口令？
不能。分片口令只在本地 TEE 校验，官方服务器不保存任何口令或密钥，遗忘即永久锁定。
恢复后原设备容器是否需要手动删除？
建议执行「安全擦除」后再出售或报废，防止取证恢复。路径：设置 → 隐私 → 高级 → 销毁容器。
二维码能否截屏保存到云端？
不推荐。截屏可能被云端 OCR 识别，增加泄露风险。请使用纸质打印或加密 U 盘离线存放。
容器恢复后，站点是否需要重新登录？
不需要。密钥还原后，加密包裹可被正常解密，站点登录状态、2FA Cookie 均保持有效。
企业能否批量自动化恢复？
可使用 safew-container-restore --batch 命令，配合 MDM 推送二维码 PNG 到设备相册，脚本自动调用扫码 API。需设备支持 TEE 且已 root 的设备无法使用。
总结与下一步行动
SafeW 加密容器恢复的核心是「密钥永不离开 TEE」。只要你在初次创建时开启「可恢复密钥」并离线保存二维码，即使设备报废，也能在数分钟内完成零泄露还原。个人用户换机前，请立即检查 safew://containers 确认「Recoverable」状态；企业 IT 应把二维码打印件纳入资产台账，并每季度执行完整性校验。下一步，打开 SafeW 设置，花 3 分钟导出二维码，未来就能省去数小时重新登录与 2FA 的麻烦。
