SafeW加密压缩包如何设置只读权限防止被修改？

功能定位：为什么SafeW要给压缩包加“只读锁”

SafeW – Secure Wallet & Authenticator 在 2026 年 4 月版本中，把「加密压缩包只读权限」做成独立开关，解决的是私钥备份在群聊或云盘被二次传播后，被意外修改或植入木马的痛点。与早期「导出后自行加锁」不同，官方现在把「压缩-加密-只读」三步合并成一次签名流程，私钥分片一旦写入 ZIP，就用 TEE 内公钥加盖时间戳，任何后续改动都会破坏签名，钱包在导入时直接拒绝。也就是说，SafeW加密压缩包如何设置只读权限防止被修改，本质是「把私钥变成只读固件」，而非简单地把文件属性改成只读。

版本演进：从“隐藏后缀”到“TEE 时间戳”

2025Q4 及更早版本仅提供「.safew 隐藏后缀 + 本地加密」；2026Q1 引入 MPC 门限后，备份包可被 3/5 好友联合解密，但文件仍可被改后缀重打包。2026 年 4 月更新（截至当前的最新版本）新增「只读权限」复选框，官方更新日志描述为「Add read-only timestamp in TEE, any tamper will fail import」。经验性观察：同一备份包在开启前后，导入耗时差异肉眼不可感知，但用十六进制编辑器改动 1 Byte 后再导入，桌面端会弹「Signature mismatch」并拒绝加载，移动端直接静默失败、回退到钱包首页。

最短可达路径（分平台）

Android

1. 打开 SafeW → 首页右上角「⚙️」→ 安全中心 → 私钥备份 → 生成加密压缩包。
2. 在「高级选项」折叠面板，勾选「只读权限（TEE 时间戳）」。
3. 选择保存路径（默认 Download/SafeW/），点击「生成」。
4. 系统会要求一次生物识别，完成后出现「只读锁定成功」绿色角标。

iOS

1. 首页 → 我的 → 安全中心 → 私钥备份 → 生成加密压缩包。
2. 同一折叠面板，开关名称相同；iOS 17 以上会调用 Secure Enclave 签名。
3. 生成后自动弹出「文件」App，用户可另存到 iCloud Drive；此时若用 macOS 预览包内文件，系统会提示「只读」。

桌面端（macOS/Windows）

1. 左上角「钱包」→ 备份 → 导出加密压缩包。
2. 勾选「只读权限」→ 选择目录 → 输入钱包密码。
3. 桌面端额外提供「同时生成校验文件 .sig」选项，方便第三方脚本批量验签。

失败分支与回退方案

若 TEE 空间不足（老旧机型），SafeW 会弹「安全环境初始化失败」并自动回退到「普通加密包」；此时用户可选择：①清理 TEE 缓存（路径：安全中心 → 更多 → 重置 TEE 缓存）；②换用 NFC 冷签模式，让离线手机承担签名任务。经验性观察：清理缓存后需重新绑定指纹，整个过程约 30 秒，不会删除链上资产。

例外与取舍：什么时候不该开只读？

• 需要二次追加分片：若你计划把好友从 3/5 改成 5/7，再导出增量分片，旧包必须保持「可追加」状态；开只读后，整个包被视为「终版」，无法增量更新。
• 合规审计要求明文修改：部分基金审计要求内部风控在备份包附加「审计批注.txt」；只读锁死后，任何附加文件都会破坏签名，导致审计方无法直接打包。
• 云盘同步版本链：坚果云、OneDrive 的历史版本功能依赖文件大小变化；只读包被替换后，云盘会保留多版本，但 SafeW 只认最新签名，可能混淆恢复路径。

验证与观测方法

官方提供命令行验签脚本（开源地址在 GitHub SafeW-Labs/verify-pkg），用法：

python verify_pkg.py --pkg mywallet.safew --sig mywallet.sig

返回「TEE timestamp valid」即通过；若被改动，返回「Chunk hash mismatch」。普通用户也可直接在 SafeW 内导入，观察是否出现「签名无效」红条，无需命令行。

与第三方归档机器人的协同

经验性观察：Telegram 第三方归档机器人（非官方）在 2026 年 3 月更新后，已支持识别 *.safew 扩展名，默认把文件标记为「不可压缩」。若你开启只读权限后上传，机器人会保留原文件，不做二次压缩，签名得以保持。反之，若关闭只读，机器人可能尝试「再打包」导致签名破坏。建议：上传前用验签脚本确认，再提交给机器人归档。

故障排查速查表

现象	可能原因	验证步骤	处置
导入时提示「包已损坏」	签名区被改动	验签脚本返回 mismatch	重新下载原始包，或从好友处分片恢复
生成按钮灰色	TEE 空间不足	安全中心 → TEE 状态	清理 TEE 缓存或换 NFC 冷签
桌面端 .sig 文件缺失	导出时未勾选	查看导出目录	重新导出并勾选「同时生成校验文件」

适用/不适用场景清单

适用：①个人冷备份长期封存；②DAO 国库多签一次性归档；③OTC 大额 USDT 转账前，把收币地址包发给对手方做「只读」留痕。不适用：①需要频繁追加好友分片的热备份；②审计要求附加说明的基金备份；③云盘历史版本对比实验。

最佳实践 5 条

1. 每次重大资产变动后，重新生成只读包，旧包保留 30 天再删除，防止「覆盖窗口」丢失。
2. 把 .sig 校验文件与 .safew 包放在不同云厂商，降低同时被篡改概率。
3. 用 NFC 冷签生成只读包时，关闭在线手机 Wi-Fi，确保签名过程无网络。
4. 给文件命名加入区块高度（如 safew_18880000.safew），方便日后快速定位链上状态。
5. 定期用脚本批量验签，加入 cron/计划任务，失败立刻邮件告警。

FAQ（Must use FAQ Schema）

收尾：下一步行动

SafeW加密压缩包如何设置只读权限防止被修改，核心就是「导出时勾一个框，再用脚本验一次签」。今天就把旧备份重新导出，开启 TEE 时间戳，顺手把 .sig 文件丢到另一台云盘。30 天后回来检查 cron 邮件，如果零告警，你的私钥就真正进入「只读保险箱」。