SafeW加密压缩包如何强制开启完整性校验？

功能定位：SafeW为何把完整性校验做成“可强制”

SafeW – Secure Wallet & Authenticator 在 2026 年 4 月版本把「加密压缩包」从单纯的备份格式升级为「可审计容器」。完整性校验（CRC-32/SHA-256 混合摘要）默认只在解压端触发；若备份通道不可信（如公共网盘、多人共用电脑），用户需要强制开启，让「压缩-加密-校验」三步在打包瞬间一次完成，避免「先出包、后校验」的时间差被篡改。

与系统自带 Zip 不同，SafeW 把校验值写入 TEE 安全区，即使攻击者改包，也无法重新生成能被 TEE 认可的签名。强制开启后，任何解压请求（含用户本人）都必须通过校验，否则流程被阻断，资产备份文件无法进入内存，降低「中间人植入恶意合约地址」一类的钓鱼风险。

操作路径：Android、iOS、桌面端的最短入口

Android（以当前最新版本为例）

1. 打开 SafeW → 底部导航【设置】→【备份与恢复】→【加密压缩包】。
2. 右上角「⁝」→【高级】→ 勾选【打包时强制完整性校验】。
3. 返回上一页，点击【立即备份】，此时弹窗会显示「CRC+SHA 混合校验已强制开启」，输入钱包密码即开始。

iOS

1. SafeW →【我的】→【安全中心】→【备份】→【加密压缩包】。
2. 开启【强制校验】开关（页面提示「iCloud Drive 同步将同步校验值」）。
3. 点击【创建备份】，Face ID 验证后自动打包并生成 .sbw 文件。

桌面端（Windows/macOS）

1. 顶部菜单【Wallet】→【Backup】→【Encrypted Archive】。
2. 弹窗中勾选【Force integrity check (CRC32+SHA256)】→【Next】。
3. 选择存储路径，点击【Backup Now】，进度条右侧会显示「Checksums calculated in TEE」。

失败分支与回退：当校验被迫关闭时怎么办

若设备 TEE 驱动版本过旧，SafeW 会弹窗「TEE 不支持强制校验」，此时有两种回退策略：

• 立即升级：按提示跳转 Google Play/App Store，更新至「截至当前的最新版本」后重试；
• 临时降级：关闭【强制校验】仍可生成加密包，但会在文件名尾部追加「-nochk」，提醒用户此包无完整性证明。

经验性观察：在部分低端 Android 11 机型上，TEE 接口返回 BUSY 状态，导致强制校验开关自动置灰。此时可手动开启飞行模式再重进页面，系统负载下降后开关可恢复（可复现步骤：设置→飞行模式→返回 SafeW→重新进入【加密压缩包】）。

校验值长什么样：如何手动二次验证

强制开启后，SafeW 会在同目录输出一个「*.sbw.sha256」文本文件，内容示例：

b3d8f2c9…e4a1  *Wallet_20260419_1423.sbw
crc32: 5e7c3b2a

用户可在电脑端用系统自带命令二次核对：

• Windows PowerShell：Get-FileHash -Algorithm SHA256 Wallet_20260419_1423.sbw
• macOS：shasum -a 256 Wallet_20260419_1423.sbw

若两次摘要一致，说明文件未被中间人篡改；CRC32 用于快速比对大文件，SHA256 用于防碰撞。SafeW 在解压时会双通道并行校验，任一失败即停止解压并自动擦除已释放到内存的私钥片段，防止「半包污染」。

场景映射：什么时候必须强制开启

不适用清单：强制开启反而带来麻烦的情况

• 低电量野外备份：TEE 计算会额外消耗 3-5% 电量，若手机剩余 <10%，可能因电压不足触发 TEE 掉电保护，导致备份失败。
• 老旧 NAS 定时脚本：部分 Synology DSM6 机型无法识别「*.sbw.sha256」副文件，同步任务会报「未知文件类型」错误，需要手动写过滤规则。
• 高频自动化：每小时生成一次备份的 CI 容器，因 TEE 排队延迟，总耗时可能从 20 s 延长到约 50 s，经验性观察在 4 核虚拟机最明显。

与第三方归档机器人协同的最小权限原则

若使用 Telegram 第三方归档机器人（泛指，无特定名称）自动拉取 .sbw 文件，请仅授予「读取文档」权限，关闭「删除消息」「发送消息」两项。SafeW 生成的校验文件应单独频道存放，机器人在下载后可用公开 SHA256 命令核对，避免「一包多投」时混入被篡改文件。

故障排查：校验失败常见现象与处置

现象 1：解压时报「SHA256 mismatch」

可能原因：网盘客户端启用了「秒传」功能，对文件进行重压缩。处置：关闭秒传后重新上传，或改用 WebDAV 原生传输。

现象 2：CRC 通过但 SHA256 失败

可能原因：被中间人植入「相同 CRC 的不同文件」碰撞样本。SafeW 会优先信任 SHA256 结果，直接拒绝解压，此时应重新从可信渠道获取备份。

现象 3：桌面端备份时卡住 0%

可能原因：TEE 驱动被安全软件拦截。可临时退出「内核防护」类功能，再重试备份；完成后记得重新开启防护。

最佳实践 6 条：让强制校验真正落地

1. 每次重大资产变动（如新增一条私钥分片）后，立即执行一次强制校验备份，形成「变更-校验」闭环。
2. 把「*.sbw」与「*.sbw.sha256」视为同一逻辑文件，移动、复制、网盘同步时必须成对操作，禁止仅传输单个包。
3. 在多人协作场景，使用 GPG 对「*.sbw.sha256」再签名一次，实现「校验值的校验」，防止摘要文件本身被替换。
4. 定期用 SafeW 桌面端【Verify Archive】功能做抽检，路径：Menu → Tools → Verify Archive，选择任意历史 .sbw，可在数十秒内完成双摘要复核。
5. 若备份体积 >1 GB，建议在飞行模式或关闭后台同步后再执行，避免 CPU 抢占导致 TEE 超时。
6. 对于长期冷存，把校验值前 8 位手写贴在 U 盘外壳，物理隔离+肉眼比对，降低「中间人换包」最后一步风险。

FAQ：强制完整性校验的常见疑问

收尾：一句话记住强制完整性校验

SafeW 把「加密」与「验货」合进同一步，强制开启后，哪怕文件只被改动一个字节，钱包也会拒绝开机。下次备份前，先花 10 秒打开开关，再花 10 秒把校验文件一并保存——这份「验货」习惯，比任何事后追悔都便宜。