功能定位：为什么 SafeW 要管密码
SafeW 的核心关键词是「零信任链路证明」，但企业管理员普遍反馈：再强的隧道也扛不住员工用 123456 登录后台。于是官方在 3.2.0 把「弱密码检测」下沉到个人版，与原有的「一次性邮箱」「指纹随机化」并列在「隐私工具箱」里。它的边界很明确：只扫描本地浏览器已保存的表单密码与 SafeW 内置钥匙串，不碰第三方独立密码库。
经验性观察：在 50 人小型跨境团队试用两周后，管理员日均收到「密码过期提醒」邮件从 37 封降到 6 封，可见主要价值是提前消灭「弱密码→被撞库→攻击者进隧道」的连锁风险。
前置条件与版本要求
1. 客户端 ≥ 3.2.0（菜单「关于」里可查看）。
2. 已开启「隐私工具箱」实验功能：桌面端路径「设置→实验室→Privacy Toolbox 开关」；移动端路径「我的→设置→实验室→隐私工具箱」。若找不到，说明账号区域暂未灰度，可手动提交工单申请。
3. 本地需留 200 MB 以上磁盘缓存，用于下载弱口令字典与量子随机数种子包；低于此值会提示「空间不足」而跳过扫描。
一键批量扫描：三步路径与平台差异
桌面端（Win / macOS / Linux）
- 主界面左侧边栏点「隐私工具箱」→「密码体检」。
- 选择扫描范围：浏览器密码（Chrome、Edge、Firefox）或 SafeW 钥匙串，可多选。
- 点击「开始扫描」，数十秒内返回风险列表，按「弱」「重复」「过期」三列排序。
若扫描按钮灰色，先确认本地浏览器已关闭「安全浏览-仅密码加密」选项，否则 SafeW 无法读取加密字段。
移动端（Android / iOS）
- 底栏「工具」→「密码体检」。
- 系统会弹出「自动填充服务」授权，需手动把 SafeW 临时设为默认，扫描完可立即切回原来服务，不影响日常体验。
- 结果页默认折叠「重复密码」组，可点右上角「展开全部」。
提示：iOS 17 以上若开启「iCloud 钥匙串端到端加密」，SafeW 只能拿到哈希值，无法判断强弱，会提示「受系统保护，跳过」。此时建议用桌面端补充扫描。
批量修改：自动生成高强度密码
在结果页顶部勾选「全选弱密码」→ 右下角「批量替换」。SafeW 提供三种策略：a. 量子随机 24 位混合；b. 易读串+符号（可发音）；c. 自定义模板。策略 a 默认启用 ChaCha20-PQ 随机流，经验性观察：生成 100 条耗时 < 3 秒，CPU 占用峰值 8% 左右（M2 Pro 芯片）。
替换前会强制本地备份一份 CSV 到「下载/SafeW_PasswordBackup」；若后续发现网站兼容问题，可「一键回滚」把旧密码写回浏览器。
例外与取舍：哪些账号不该批量改
- 金融类站点（银行、交易所）：SafeW 会自动打标「高价值资产」，默认不勾选，防止新密码因「同步延迟」导致被锁。
- 企业 SSO（如 SAML 2.0）：若公司强制要求 12 位以下且需含组织前缀，批量模板可能冲突，建议用「例外名单」跳过。
- 共享账号（团队 Netflix）：多人共用的明文密码，若一人修改其他人掉线，需提前沟通。
警告：部分老旧路由器后台仅接受 15 位字母数字，量子随机 24 位会导致无法登录。替换前请把这类地址加入「长度白名单」。
跨端同步与冲突解决
SafeW 的密码变更通过「零知识加密包」同步到云端，版本号采用向量时钟，若同一账号在两台设备同时修改，会以「后写入」为准并保留前版本快照 30 天。你可以在「设置→同步→冲突日志」里手动挑回任一版本。
经验性观察：在 200 M 带宽下，100 条密码同步完成大约需要 7–9 秒；若提示「同步卡住 99%」，多半是本地时间偏差 > 30 秒，校准系统时钟即可。
与第三方密码管理器协同
SafeW 目前未开放导入到 1Password、Bitwarden 的自动 API。折中方案：批量替换后导出 CSV → 在 1Password 桌面版「文件→导入→CSV」完成合并，再把重复项用官方去重工具清理。注意 CSV 内含明文，操作完务必「安全擦除」：Windows 用户可用 cipher /w，macOS 用户可用 srm。
故障排查：常见卡点与验证方法
| 现象 | 可能原因 | 验证步骤 | 处置 |
|---|---|---|---|
| 扫描结果 0 条 | 浏览器已开启「仅加密」 | 浏览器设置里搜索「加密密码」 | 临时关闭再扫描 |
| 提示「字典下载失败」 | 磁盘剩余 < 200 MB | 查看系统存储 | 清理缓存重试 |
| 批量替换后网站无法登录 | 站点限制特殊符号 | 手动复制密码到记事本观察 | 回滚或改用易读模板 |
适用 / 不适用场景清单
适用：个人用户浏览器密码 > 50 条；小团队 SaaS 账号分散在各员工浏览器；需要 GDPR 审计留痕，能导出 CSV 做证据。
不适用：已统一使用企业级密码库（如 CyberArk���；所有站点强制 SMS 二步验证且密码一月一换；合规要求「密码不得离开 HSM」。
最佳实践 6 条速查表
- 每月固定一天「密码体检日」，结合员工日历提醒。
- 扫描前先把金融、路由器、SSO 域名写进例外名单，减少误改。
- 批量替换后 24 h 内安排同事随机抽 5 个账号登录验证，确认无锁定。
- 备份 CSV 用 7-Zip 加密压缩，密码长度 ≥ 16 位，存独立网盘。
- 打开「同步冲突邮件提醒」，第一时间处理向量时钟分叉。
- 若公司后续引入 SSO，逐步把 SafeW 钥匙串密码迁移到 IdP，降低多头维护成本。
版本差异与迁移建议
3.1.x 仅支持单条手动修改，无量子随机模板；若你仍在 3.1.8，可先导出浏览器密码为 CSV，升级到 3.2.0 后再用「导入→扫描」一次性完成。官方确认 3.2.1 将新增「企业例外策略 JSON 下发」，届时管理员可统一维护白名单，无需员工手动填写。
FAQ：你必须知道的 5 个问题
1. 批量替换后原来的密码还能找回吗？
可以。SafeW 会在本地生成带时间戳的 CSV 备份，并支持 30 天内一键回滚到浏览器。
2. 量子随机模板是否兼容所有网站？
24 位混合符号兼容性约 95%；对老旧系统或路由器后台，建议改用易读模板并缩短长度。
3. 扫描会把我密码上传到云端吗？
不会。判断强弱使用的字典与算法均在本地完成，零知识架构保证明文永不离开设备。
4. 为什么 iOS 扫描结果比桌面端少？
iCloud 钥匙串若开启端到端加密，SafeW 只能读取哈希，系统会跳过这些条目，属于平台限制。
5. 可以设置定时自动再次扫描吗？
截至当前版本尚未提供计划任务，需手动触发；官方工单回复已在评估「自动体检」功能，未确认上线日期。
总结与下一步行动
SafeW 的批量弱密码检测把「零信任」理念从隧道延伸到入口凭证，操作只需「扫描→勾选→替换」三步，却能显著降低被撞库后横向移动的风险。若你代表团队，建议本周就安排一次「密码体检日」：先备份、再例外、后批量，24 小时内完成验证；个人用户可把每月第一个周一设为提醒，循环执行。等 3.2.1 发布企业白名单 JSON 后，再把策略下沉到全员，即可在合规与效率之间取得平衡。