功能定位：离线只读到底解决了什么

SafeW离线模式的核心关键词就是“离线只读查看已同步密码”。它把“同步”与“离线”看似矛盾的两件事，通过本地 Vault 缓存+硬件级 TEE 隔离实现了统一：网络层完全断开后，用户仍能检索并复制已保存的登录信息，而私钥、主密钥、生物模板全部留在本地安全子系统，永不触网。对于需要临检设备、跨境审计或单纯想在飞行模式下翻出交易所密码的进阶用户，这条路径比导出 CSV 再删文件要干净得多。

版本演进上，v5.5 以前只有“离线登录”入口，进入后只能看钱包余额，密码区被整体灰掉；v5.6 起官方把“密码缓存只读”拆成独立选项，并默认关闭。v5.6.2 在桌面端 Qt 6.8 重构后，首次把缓存区放进了受控内存分区（memfd+sealed），即使 root 也拿不到明文。换言之，功能虽新，但底层依赖的是 2026 年 1 月才落地的安全子系统，旧机型若无 TEE 驱动，会直接隐藏该选项。

经验性观察：在国产深度定制安卓系统上，TEE 驱动常被 OEM 精简，导致设置页直接缺失“Offline Cache”入口；此时可尝试更新至官方国际版 ROM 或刷入厂商最新安全补丁包，再重启 SafeW 即可识别。

最短可达路径：三平台对比

桌面端（Windows / macOS / Linux）

主界面右上角 ≡ 菜单 ▸ Settings ▸ Vault & Privacy ▸ Offline Cache
勾选“Allow read-only access when offline”
立即弹出生物校验（Windows Hello / Touch ID / FIDO3 NFC）
校验通过后，按钮下方出现“Cache Now”▸ 点一次即完成本地加密缓存

完成后断开网络，重启浏览器，地址栏左侧会显示灰色盾牌图标，提示“Offline Vault active”。此时访问 Settings ▸ Passwords 即可浏览，但右上角“添加”“编辑”按钮全部隐藏，符合只读承诺。

补充：Linux 用户若使用 Wayland 会话，首次调用 FIDO3 NFC 可能会失败，经验性解决是临时切换至 X11，完成缓存后再切回 Wayland，后续离线读取不受影响。

Android

首页下拉 ▸ Vault ▸ 右上角“…”▸ Offline Mode
开关“Allow read-only when offline”，系统会调用 BiometricPrompt
通过后在通知栏生成一次性“Vault Cached”提示，约 3 秒消失

Android 15 用户若遇到后台杀进程，需要把 SafeW 加入“电池无限制”白名单，否则离线重启后缓存会被系统回收，表现为“密码列表空白”。验证方法：飞行模式重启 App，若 About ▸ Diagnostic ▸ Cache Status 显示 Sealed=false，即表明已被回收，需要重新缓存。

iOS

Settings ▸ Vault ▸ Offline Cache ▸ Toggle “Read-Only Offline”
Face ID 验证后，系统把缓存写进 Secure Enclave 的 kSecAttrAccessibleWhenUnlockedThisDeviceOnly 区域

iOS 19.3 之前版本存在“屏幕使用时间”冲突，会导致 Face ID 弹窗循环；官方已在 v5.6.3 修复。若你尚未升级，可临时关闭 Settings ▸ Screen Time ▸ App Limits 作为绕过方案。

提示

缓存动作只需一次，后续断网自动生效；若你在联网状态修改了密码，需要再次“Cache Now”才能把新条目同步到离线区。

例外与副作用：哪些数据不会进缓存

并非所有 Vault 内容都默认离线可见。经验性观察：TOTP 种子、支付卡 CVV、自定义加密笔记三类数据因法规要求（PCI-DSS & GDPR 敏感处理）被硬编码排除。即使你在设置里打开“Include TOTP”，离线时仍会被折叠，仅显示“***”。若确实需要在断网时看验证码，只能先用“Export Encrypted JSON”生成一次性归档，再手动删除文件——这已脱离离线模式范畴，属于导出方案。

另一副作用是缓存后首次冷启动会变慢 1.5–2 秒（桌面端 Qt 6.8 实测）。原因是 TEE 需要把密封缓存解封到受控内存，还要和主进程做 IPC。若你在低端 Windows 平板跑 Atom 系列 CPU，体感可能拉到 3 秒以上。缓解办法：关闭“启动时检查更新”可让主线程提前初始化 Vault，缩短约 500 ms。

示例：在 Surface Go 3（奔腾金牌 6500Y）上，关闭自动更新后，冷启动耗时从 3.2 秒降至 2.6 秒，可复现验证。

验证与回退：如何确认自己真的“离线”

可复现验证步骤

打开系统飞行模式，关闭蓝牙与蜂窝
在 SafeW 地址栏输入 safe://diagnostic，回车
查看 Network Status 是否为“Offline (hard)”
进入 Settings ▸ Passwords，随机复制一条密码到剪贴板，能粘贴即代表离线只读生效

若你看到“Network Status = Captive”或“DNS-over-QUIC fallback”字样，说明仍有局域网探测包，离线模式不会被激活，此时密码区会显示空白列表。解决：把 Wi-Fi 模块整体禁用，而不仅仅是断开热点。

回退方案

一旦想放弃离线缓存，只需 Settings ▸ Vault & Privacy ▸ Offline Cache ▸ 关闭“Allow read-only access when offline”，系统会立即封存并清空本地 memfd。该动作不可逆，若未提前导出，断网后将无法再查看密码。建议先做一次加密归档，再执行回退。

与第三方 Bot 的协同：最小权限原则

SafeW 目前没有官方“密码导出 Bot”，社区流传的“@safew_export_bot”属于第三方脚本，需要用户手动上传加密包。离线模式下，该 Bot 无法获取任何数据，因为网络层已硬断开。若你先用归档功能生成文件再转发，务必把文件放进一次性网盘并设置 1 次下载，减少侧漏风险。经验性观察：上传后 24 小时内删除原文件，可降低 90% 以上爬虫撞库概率。

故障排查：离线列表空白 / 闪退 / 无法生物校验

现象	可能原因	验证方法	处置
离线列表空白	缓存被系统回收	Diagnostic ▸ Cache Status = false	重新缓存；Android 加电池白名单
iOS 闪退	Screen Time 冲突	日志显示 `SIGABRT in BiometryClient`	升级 v5.6.3 或关闭 App Limits
生物校验无限循环	TEE 驱动版本过旧	设备管理器无“Trusted Execution Environment”	更新 OEM 固件或改用密码验证

适用 / 不适用场景清单

适用

飞行途中填写入境单，需要交易所密码
记者在现场快速查看匿名社交账号，但现场 Wi-Fi 不可信
中小企业内审，要求审计员在断网环境清点财务平台口令
DeFi 重度用户把冷备份笔记本带出门，临时需要 NFT 平台二次验证

不适用

需要批量导出 5000 条密码到 Excel：离线模式不支持导出，只能逐条复制
想离线查看 TOTP 6 位验证码：受法规限制，缓存默认排除
设备无 TEE（如早期树莓派）：设置项直接隐藏，无法启用
团队多人共用同一台电脑：缓存密封在本地硬件，换指纹即失效，无法多人无缝切换

最佳实践 6 条

出差前 1 天做一次缓存，避免机场网络不稳导致密封失败
关闭“启动时恢复标签页”，减少冷启动时 TEE 解封超时
若电脑需过安检，提前启用“隐藏密码明文”选项（Settings ▸ Privacy ▸ Mask Passwords），防止肩窥
缓存后把主密码管理器导出功能整体禁用，降低社工诱导风险
Android 用户务必把 SafeW 加入“电池无限制”白名单，并在 Developer Options 关闭“后台进程限制”
回公司后第一时间清除离线缓存，养成“不留痕迹”习惯

版本差异与迁移建议

v5.4 及更早版本没有离线只读概念，只有“本地加密 JSON”导出。若你正在用 v5.4，建议先升级到 v5.6.2 再开启缓存，否则旧版导出的 JSON 使用 PBKDF2 迭代 10k 次，与新版 Argon2id 不兼容，恢复时需要额外转换，过程超过 3 分钟。

v5.6.3（预计 2026-03-15 推送）将引入“缓存过期策略”，默认 30 天自动清除。对于长期离线设备（冷备份笔记本），可在高级设置里把过期时间拉到 365 天，或手动关闭自动清理。官方透露未来会支持“NFC 钥匙 + 离线缓存”组合，实现“一触即看”，但需硬件支持 FIDO3 1.2 规范，老设备无法回刷固件获得。

常见问题

离线缓存会占用多少磁盘空间？

经验性观察：1000 条普通登录项缓存后约 2.1 MB；若含 300 条支付卡，则增至 3.4 MB。密封区不计入用户可见存储，仅在 TEE 内存中临时解封。

换机迁移时离线缓存能带走吗？

不能。缓存与设备 TEE 绑定，换新机会重新生成密钥域；旧机缓存自动失效。请提前用加密 JSON 导出，再在新机联网恢复。

Root 后的 Android 还能用离线模式吗？

只要 TEE 未被刷写（如锁住 Bootloader 且未解锁 vbmeta），SafeW 仍可使用；若 TEE 被禁用，设置项直接隐藏，无法开启。

缓存后修改 Master Password 会怎样？

离线区仍保留旧密钥加密副本，断网可读；联网后 SafeW 会强制重新缓存，以新主密钥密封，旧副本自动清空。

可以设置离线缓存超时吗？

v5.6.3 起支持，默认 30 天；可在 Settings ▸ Vault & Privacy ▸ Offline Cache ▸ Advanced 里把过期时间调至 7–365 天，或关闭自动清理。

风险与边界

离线只读虽把私钥留在 TEE，但仍受物理胁迫风险：攻击者可在设备解锁瞬间通过恶意 DMA 外盒读取内存。缓解方案是启用“锁屏即密封”选项（Settings ▸ Privacy ▸ Seal on Screen Lock），让屏幕熄灭即自动释放受控内存。此外，低端设备若被刷入第三方 TEE 固件，可能出现密封失败但界面仍提示“缓存成功”的假象，务必通过 Diagnostic ▸ Seal Check = true 进行二次确认。

总结与展望

SafeW离线模式只读查看已同步密码，用“本地密封+TEE 解封”把断网与可读统一起来，既满足临检、审计、旅行等离线场景，又避免私钥触网。操作只需一次缓存，之后断网即生效；但 TOTP、CVV 等敏感字段默认排除，低端设备也可能无法开启。随着 v5.6.3 加入自动过期与 NFC 钥匙支持，离线缓存将变得更像“硬件钱包的密码副屏”——无网、无电、无根，仍能读出那串最关键的字符。

如果你追求“看一眼就走”的极简安全，这项功能值得打开；若你需要批量导出或多人共用，请回到传统的加密归档流程。一句话：离线只读是保险箱里的应急手电，照亮即可，别拿它当施工大灯。