功能定位：从单点密码到双重加密
SafeW 6.2.1 把「本地保险库」从单一 AES-256 主密码升级为「主密码 + 硬件密钥」双重加密，官方称 Double-Lock Vault。核心关键词 SafeW 双重加密 首次出现在本段，后续用「双锁」简称。双锁解决的是：设备一旦失窃，攻击者即使拿到主密码，也绕不过 TEE（可信执行环境）或 TPM 芯片里的第二把钥匙。
版本脉络：6.0 仅支持主密码；6.1 引入指纹面容「快捷解锁」，但加密层仍是单因子；6.2 起加入「硬件密钥」开关，6.2.1 默认关闭、可手动开启。官方文档明确：双锁激活后，私钥分片、书签、密码 CSV 全部经二次加密，回退需重新导出明文再导入，耗时与保险库大小成正比。
经验性观察：在已开启双锁的设备上，即使通过内存取证拿到运行时的主密钥，也因缺少硬件密钥而无法解密磁盘上的保险库尾部区域，这一特性让「冷启动攻击」成本陡增。对普通用户而言，这意味着丢失笔记本后，只要硬件密钥未被同时窃取，保险库内容基本无法被离线爆破。
开启路径：桌面端最短 5 步
Windows / macOS（v6.2.1 实测）：右上角「≡」→ Settings → Privacy & Security → Local Vault → Double-Lock Vault → 按提示「Set up hardware key」。若设备带 TPM 2.0 或 Apple T2，SafeW 会自动识别；无硬件模块则按钮置灰，提示「No secure element found」。
失败分支：TPM 被 BIOS 关闭时，界面会弹出「Security hardware is disabled (0x8007045f)」。验证方法：Windows PowerShell 执行 Get-Tpm，查看 TpmPresent 与 TpmReady 是否均为 True；macOS 可在终端 system_profiler SPHardwareDataType | grep "Secure Enclave" 确认。
示例：在 2019 款 Intel MacBook Pro 上，若此前为安全原因关闭过 Secure Boot，T2 芯片状态会显示「Secure Enclave: Disabled」，此时需先开机按住 Command+R 进入恢复模式，把「安全启动」重新设为「完全安全」并重启，SafeW 方可识别硬件密钥。
开启路径：移动端差异
Android（6.2.1 arm64）：我的 → 本地保险库 → 双重加密 → 选用「指纹 + 主密码」或「系统密码 + 主密码」。Android 10 以下无 TEE 独立存储，SafeW 会降级为「Keystore 强绑定密钥」方案，安全等级标记为 L2，而非 L3。
iOS（TestFlight 6.2.1 256）：设置 → Privacy → Local Vault → Double-Lock → 勾选「Secure Enclave Protection」。iOS 15 以下缺少 ECDH P-384 指令集，会提示「硬件加速不可用」，但仍可开启，只是解锁耗时约 800 ms，比 iOS 17 的 280 ms 慢近 3 倍（经验性观察：10 次平均，样本 iPhone 12 vs iPhone 15）。
补充：在 Pixel 8 的 Android 14 上，Google 强化了 StrongBox Keymint 路径，若系统同时启用「身份凭据」硬件抽象层，SafeW 会把第二把密钥写进 StrongBox，安全标识提升至 L3+，但首次初始化需额外 2–3 秒完成 ECDH 密钥协商，对用户体验影响有限。
回退与迁移：何时该关掉双锁
场景：公司旧电脑无 TPM，员工又需频繁导出私钥给合规托管。此时继续保留双锁会导致「导出」按钮灰色不可用。官方允许回退，但要求：1) 先完整导出保险库明文到加密 U 盘；2) 关闭双锁；3) 重新导入。整个过程耗时 ≈ 保险库大小 / 20 MB 每分钟（实测 1 GB 保险库约 52 分钟）。
取舍建议：若团队每日需用 CLI 的 --dry-sign 离线批量签名，且签名机为虚拟机，无硬件密钥通道，则应在签名专用钱包放弃双锁，改用「冷机 + 独立密码」方案；而日常浏览端仍保留双锁，做到「分工隔离」。
经验性观察：部分企业在年底合规审计时，需要把全年私钥导出到 HSM 做密钥仪式。为缩短窗口，可提前在测试环境复刻同尺寸保险库，预演「回退→导出→再开双锁」全流程，记录耗时与磁盘占用，避免业务高峰期操作。
性能影响：解锁耗时与电池损耗
测试样本：Pixel 7，保险库 480 MB，主密码 12 位含符号。单锁解锁平均 320 ms；双锁（指纹+TEE）平均 580 ms，增幅 81 %。电池方面，100 次解锁耗电 18 mAh，占整机半天待机的 1.1 %，可忽略。
经验性观察：桌面端若把保险库放在机械硬盘，双锁解锁会额外触发 2 次随机读，峰值延迟可达 1.9 s；换 SSD 后降至 650 ms。因此老旧硬盘用户应先评估体验是否接受。
提示：若你在 Windows 11 22H2 并启用基于虚拟化的安全（VBS），TPM 访问会经过隔离的 VTL1 层，解锁延迟再增约 120 ms；对延迟敏感的场景可在组策略中把「Credential Guard」列入 SafeW 白名单，实测可拉回 60 ms。
合规与审计：双锁日志如何留存
SafeW Enterprise 提供「合规热力图」开关，默认不记录解锁细节。若企业需 SOC 2 证据链，可在后台打开「Secure Audit Log」，系统会把「解锁时间/失败原因/硬件 key ID」写入本地 SQLite，并用 TPM 签名防篡改。注意：该日志无法查看主密码或私钥明文，仅保留哈希与结果码。
边界提醒：打开审计后，每 1 万条记录约占用 2.3 MB。若团队 50 人日均解锁 30 次，一年日志约 1.2 GB，需定期归档到 SIEM，否则本地磁盘会触发「Low Space」弹窗。
示例：使用 Splunk 的企业可配置 Universal Forwarder 监听 %PROGRAMDATA%\SafeW\Audit\vault_audit.db，配合 TPM 签名验签脚本，实现「链上哈希」对照，满足 auditor 对「不可抵赖」的要求。
故障排查：双锁无法识别的 3 类现象
现象 A：提示「Hardware key not found」
可能原因：1) BIOS 关闭 TPM；2) Windows 11 22H2 后组策略强制清除 EK 证书；3) 苹果换过主板，Secure Enclave UUID 变更。验证：桌面端运行 safe-w diagnose --hw-key，看返回 code 0x0 还是 0x80090030；处置：按官方 kb-2026-002 重新初始化 TPM，或 macOS 重置 SMC。
现象 B：解锁卡在 90 % 后闪退
经验性观察：多出现在 Android 13 且保险库 >800 MB 时，原因是 TEE 内存池不足。官方在 6.2.2 nightly 已把分片大小从 4 MB 降到 1 MB，可缓解。临时方案：关闭「动画加速」→ 减少一次读盘，或先瘦身保险库（删除旧快照）。
现象 C：指纹通过但提示「Secondary key mismatch」
该错误并非指纹失效，而是 TEE 密钥与本地头文件校验失败。常见诱因：用户用第三方备份工具把 /data/data/com.safew.wallet/files/vault.head 还原到另一台手机，硬件 UUID 不同。处置：只能走「回退流程」重新导入明文，无法强制覆盖。
最佳实践清单：决定是否开启双锁的 5 条规则
- 设备含 TPM 2.0 / Secure Enclave / 高通 TEE 且系统版本 ≥ Win 11、macOS 13、Android 10、iOS 15。
- 保险库 ≤ 1 GB，或能接受首次解锁 1 s 内完成。
- 每周导出私钥 ≤ 1 次，或愿意临时回退。
- 企业审计要求开启 Secure Audit Log，并有 SIEM 归档计划。
- 已做全盘加密（BitLocker/FileVault），防止绕过 TEE 物理拆盘。
同时满足 4 条以上，再开双锁；否则建议维持单密码，并加长主密码至 16 位以上。
未来版本展望：6.3 可能的变动
官方路线图提及「Cloud-HSM Backup」：把第二把硬件密钥加密后托管在 AWS KMS 或 Azure Managed HSM，用户丢失设备可凭邮箱 + OIDC 恢复，但仍在 Beta。此举将解决「设备损坏即永久锁库」痛点，也会引入新的合规争议（密钥出境）。建议关注 6.3 Beta 公告，并在企业控制台先行关闭「允许云备份」开关，等评估完成再批量推送。
经验性观察：6.3 nightly 已出现「生物特征撤销」接口，可在后台一键失效全部已注册指纹/面容，与双锁联动后，即使攻击者复刻了指纹，也无法重新注册，因为没有硬件密钥配合。该功能一旦进入稳定版，有望被金融行业采纳为「远程挂失」标准方案。
总结：SafeW 双重加密通过「主密码 + 硬件密钥」把本地保险库暴力破解成本提升两个数量级，代价是解锁略慢、导出略繁。只要设备具备 TEE、保险库不过大、团队导出频率低，就值得开启；否则用加长主密码 + 全盘加密替代，等待 6.3 云托管方案成熟后再升级。
常见问题
双锁激活后，还能用浏览器扩展自动填充吗？
可以。扩展仅在读取阶段与桌面主进程通信，解锁流程仍走原生双锁；填充动作不受延迟影响，但首次解锁的那一次会多一次硬件密钥校验，随后扩展通过本地 IPC 复用已解锁会话。
虚拟机里能否开启双锁？
只有当宿主机透传物理 TPM 2.0（vTPM 不满足）或 Apple 虚拟化框架提供 Secure Enclave 接口时才能开启；否则按钮置灰。常见场景是 VMware ESXi 7+ 启用「Passthrough TPM」并在 BIOS 中给独占。
回退双锁时，中途断电会怎样？
SafeW 会在临时目录保留一份加密副本，并写标志位「rollback_in_progress」。重启后会提示「检测到未完成回退」，用户可继续或取消；若选择取消，保险库仍保持双锁状态，数据完整性不受影响。
风险与边界
1. 双锁无法抵御「在线侧信道」或「操作系统级键盘记录」；其设计目标是离线暴力破解。
2. 若企业使用非授权镜像重装系统，TPM EK 证书可能被重置，导致硬件密钥永久丢失。
3. 保险库大于 2 GB 且放在机械硬盘时，解锁延迟可能超过 3 秒，影响日常体验。