SafeW如何快速查看并导出两个月内的登录审计日志？

功能定位：为什么SafeW把“两个月”做成默认区间

SafeW 在 3.2.0 版本把“登录审计日志”从 30 天放宽到 60 天，并允许单账号每日免费导出 3 次。官方公告提到，这是为了回应 eIDAS 2.0 数字身份互认后，欧洲用户需要更长留痕周期以备抽查。对运营者而言，两个月刚好覆盖月结+次月审计窗口，不必再手动拼接两段 30 天报表。

注意，SafeW 的“登录”并非传统 privacy tool 拨号日志，而是包含：①客户端启动时零信任握手；②双跳节点切换；③ZT-LinkProof 文件分享时写入区块链的哈希校验。三者统一写入同一张审计表，因此导出文件体积可能陡增。经验性观察：日活 50 设备的环境，60 天 CSV 约 18–22 MB。

前置检查：确认账号权限与客户端版本

账号侧

只有“拥有者”与“审计员”角色可导出全账号日志；普通成员只能拉取本人记录。路径：Web 控制台→右上角头像→Organization Roles，若未出现“Auditor”，需让拥有者在 Members 页勾选“Grant Auditor”。变更实时生效，不额外计费。

客户端侧

桌面端需 ≥3.2.0，移动端 ≥3.2.0（build 号因商店而异）。若版本过低，导出按钮呈灰色，悬停提示“Update required”。回退方案：暂时用 Web 控制台完成导出，不影响节点连接。

最短可达路径（分平台）

Web 控制台（全平台通用）

1. 登录 https://safew.com → 左侧导航“Audit & Logs”；
2. 时间组件点“Last 60 days”，系统自动把起止写成当日 0 点-60 天前 0 点；
3. 事件类型保持默认“All Login Events”，也可单选“ZT-LinkProof”以缩小体积；
4. 点击右上角“Export CSV”，二次确认后浏览器下载，文件名格式：safew-audit-{orgID}-20260314-20250114.csv。

Windows/macOS 桌面端

1. 主界面→右上角“⚙” Settings → Account → Audit Logs；
2. 同样选“Last 60 days”，但桌面端额外提供“Compress with ZIP”开关，可节省约 55 % 体积；
3. 导出完成后，客户端弹出系统文件管理器并高亮文件，方便直接附加到邮件。

Android/iOS 移动端

移动端出于存储限制，仅支持“近 7 天”本地缓存。若需 60 天，必须跳转到 Web 控制台（内置浏览器会继承登录态）。路径：Profile → Security → View Full Logs → “Open in Browser”，后续步骤与 Web 端一致。

例外与取舍：哪些记录不会被导出

① 节点间心跳包：双跳架构中，中继节点每 30 秒互 ping 一次，但心跳不含用户 ID，审计表不收录；② AI 恶意域名拦截日志：本地模型拦截的 URL 仅写入设备端 SQLite，不上云，因此无法集中导出；③ 已手动删除的 ZT-LinkProof 哈希：区块链一旦写入即不可删，但控制台允许“隐藏”，隐藏后导出将缺失对应行，CSV 里显示 hash=<redacted>。

验证与回退：如何确认文件完整性

行数对账

导出后，先用 Excel 或 Numbers 打开，末尾查看“Total Rows”提示。再回控制台 Audit 页，右上角“Rows”小字应与 CSV 一致（±1 行，因 CSV 含表头）。若差距 >5，说明导出被截断，常见原因是网络中断；重新导出即可，SafeW 对同一时间段重复导出不计次。

哈希校验

CSV 最后一列“zt_link_proof_tx”存放交易哈希，可去 Etherscan 或官方推荐的 L2 区块浏览器搜索。若返回 404，有两种可能：① 哈希被隐藏；② 区块链浏览器尚未同步（经验性观察：平均滞后 90–120 秒）。等待 10 分钟后再次刷新即可。

性能副作用：导出时是否影响节点速度

SafeW 官方文档声明，导出任务在“边缘 API 节点”完成，不与用户流量共用通道。经验性观察：100 设备账号在高峰时段导出，节点延迟未见明显抖动；但若同时触发 50 个以上设备密钥轮换，CPU 占用会短时升高，可能让 VoIP 通话出现 <1 % 丢包。缓解：把大导出放在本地时间凌晨，或分两次 30 天导出。

与第三方 SIEM 对接：如何把 CSV 喂给 Splunk/Graylog

SafeW CSV 采用 UTF-8+BOM，首行字段名含空格，需先清洗。Splunk 建议 props.conf 添加：

[safew_audit]
FIELD_NAMES=Event ID,Timestamp (UTC),User ID,Node Location,IP Address,Event Type,zt_link_proof_tx
TIMESTAMP_FIELDS=Timestamp (UTC)
TIME_FORMAT=%Y-%m-%d %H:%M:%S

Graylog 则在上传时勾选“CSV with header”，并手动把“Timestamp (UTC)”设为 Message Time。注意：IP Address 列是双跳出口 IP，非用户真实地址，若要做地理位置聚合，需把“Node Location”列一起带入。

适用/不适用场景清单

场景	是否推荐	原因与替代
GDPR 合规留存	✅ 强烈推荐	60 天窗口+区块链哈希，满足数据完整性要求
实时入侵检测	❌ 不适用	日志延迟 T+1 分钟，需调用 SafeW Events API 做流式推送
设备级故障排查	⚠️ 部分适用	只能看到登录与 ZT 事件，无法查看节点间心跳，需结合客户端本地 log
月度财务对账（按流量）	❌ 不适用	审计日志不含字节计数，需去 Billing→Usage Report 单独导出

故障排查：最常见三类报错

导出按钮灰色，悬停提示“Quota Exceeded”

原因：单账号当日已导出 3 次。处置：①等 UTC 零点后刷新；②临时把账号升级至“团队版”，配额提高到 30 次/日，用完可降回。

CSV 下载到 37 % 卡住

原因：公司代理屏蔽了“edgesheets.safew.com”域名。处置：把该域名加入代理白名单，或切到手机热点重新导出；任务支持断点续传，不会重复计次。

解压 ZIP 时报“Headers Error”

原因：macOS 旧版 Archive Utility 对 >4 GB ZIP 兼容性差。处置：用开源工具 The Unarchiver，或在 Windows 端重新导出并关闭“Compress with ZIP”。

最佳实践速查表

• 每月 1 号 UTC 凌晨导出上月 60 天，文件命名加入“YYYYMM”，方便 Splunk 自动识别。
• 若账号下 >200 设备，建议分两次 30 天导出，降低单文件体积，避免 Excel 1048576 行上限。
• 导出前先关闭“Allow Redaction”，防止哈希被隐藏导致合规缺口。
• 把 CSV 连同哈希校验截图一起存入公司 Git LFS，满足“不可篡改”审计要求。
• 团队版到期降回个人版前，先确认当日已用导出次数 <3，否则降回瞬间会触发“Quota Exceeded”。

FAQ（结构化数据）

收尾：下一步行动

登录 SafeW Web 控制台，按文内路径做一次 60 天导出，亲自验证行数与哈希；随后把 CSV 喂进你最熟悉的 SIEM，建立每日增量监控。若设备规模超过 200 台，先评估是否需要团队版，避免导出配额成为瓶颈。最后，记得在季度审计前再检查“Allow Redaction”开关，确保所有哈希可见，合规不留死角。