功能定位：为什么必须“再点一次”

在 SafeW 的零信任架构里，核心文件被定义为：浏览器内核、钱包主私钥分片、节点中继配置、AI 策略模型与 TEE 固件。任何一次写入磁盘，都会触发「单点落盘即扩散」风险。强制二次审批（Double-Approve Download，简称 DAD）把「下载」与「落地」拆成两步，运营者可在第二步插入人工复核或 AI 再评分，把勒索脚本、供应链污染、错误更新挡在落盘之前。

经验性观察：启用 DAD 后，内部红队投放的 12 个样本中，有 9 个在第二步被拦截，剩余 3 个因哈希已入库被链上防火墙补刀。可见流程拉长，但安全增益明显。

版本差异与迁移建议

v7.3 之前：只有「延迟下载」

老版本仅提供 30 秒延迟确认，无法指定审批人；一旦错过窗口，文件自动写入。升级后该选项被标记为「兼容模式」，默认关闭。

v7.4 之后：完整 DAD 工作流

新增「审批人组」「最小同意数」「例外白名单」三项设置，并支持在移动端推送加签通知。若你从 v7.3 直接升级，首次启动会弹出「迁移向导」，建议把旧「延迟下载」清单导入为「白名单-仅首次豁免」，避免业务中断。

开启路径：桌面端与移动端最短入口

桌面端（Windows / macOS / Linux）

右上角「≡」→「安全中心」→「核心文件保护」→「强制二次审批」。
勾选「启用 DAD」→ 选择「审批人组」（支持本地设备管理员或 SafeW ID）。
设定「最小同意数」（1–3）。
点击「保存」后，系统会提示「重启内核生效」；重启后策略写入 TEE，不可回滚到旧版。

移动端（Android / iOS）

底栏「钱包」→ 顶部「⚙️」→「隐私与安全」→「核心文件下载」→「强制二次审批」。
打开开关 → 选择审批方式：生物识别、SafeW ID 或「两者皆需」。
若选 SafeW ID，需先绑定 2FA，否则系统拒绝提交。
点「完成」后返回首页，下拉刷新策略即可。

提示：若你在公司 MDM 环境，路径可能被管理员隐藏，请联系 IT 在「组织策略」中把「AllowDAD」设为 true，否则界面不显示开关。

例外与取舍：什么时候放行

白名单三原则

哈希锁定：只允许指定 SHA-256 的文件通过，更新后需重新录入。
路径锁定：仅豁免「下载到加密容器」内的文件，落地到系统盘仍触发审批。
签名锁定：只信任 SafeW 官方证书或企业自建 CA，第三方插件一律走审批。

副作用与缓解

启用后，首次打开大型 DApp 时可能弹出 2–3 次审批（内核组件、Wasm 缓存、AI 模型）。经验性观察：在 M3 芯片 + 32 GB 内存环境，总耗时增加约 20 %；可把「最小同意数」临时设为 1，并开启「30 分钟内免重复」选项，以平衡体验。

与第三方 Bot 协同：权限最小化示例

若你使用 Slack 通知 Bot，只需给 Bot 分配「只读审批事件」Webhook，勿开放「文件写入」权限。SafeW 会在事件发生时推送 JSON 至指定端点，字段包含 file_hash、requester_id、size、risk_score，方便外部工单系统复用。

警告：任何第三方服务获得「审批通过」API 密钥后，即可代替你点「同意」。请把密钥托管在 HSM 或至少启用 IP 白名单。

故障排查：现象→原因→验证→处置

现象	可能原因	验证步骤	处置
审批通知未推送	节点被防火墙拦截 UDP 6771	在日志检索「QKY_QKD_UNREACHABLE」	放行 UDP 6771 并加 DSCP 46
移动端 Tap-2-Warp 无反应	iOS 18 默认 NFC 超时	实验室功能里关闭「NFC 安全超时」	重新贴合 3 秒
桌面端重启后策略丢失	TEE 写失败，回滚到旧快照	查看「安全中心-日志-TEE」出现 ROLLBACK	卸载后重装，确保磁盘剩余空间 >2 GB

适用 / 不适用场景清单

适用：多人共用运维账号、需 SOX/ISO27001 审计、核心私钥分片更新、节点配置热补丁。
不适用：个人冷备份笔记本、离线签名机、7×24 无人值守矿场（审批人不在线会导致更新失败）。

最佳实践 6 条

审批人组 ≥2 人，且分属不同物理位置，防止单点被胁迫。
每周把白名单导出为 CSV，Git 留痕，方便回滚。
开启「审批超时 24 h」兼顾跨国时差，超时自动拒绝。
对高优补丁使用「AI 策略引擎」预跑分，score <30 才进入人工通道，减少打扰。
在 CI 里调用 SafeW 哈希校验 API，确保构建产物与审批文件一致。
每季度执行一次「漂移热力图」审计，发现策略异常及时收紧。

FAQ：常见疑问一次说清

开启后还能用脚本自动更新节点吗？

可以，但脚本需调用审批 API 并携带 OAuth2 令牌，且令牌权限要预先在「组织策略」里勾选「允许自动化审批」。否则脚本会返回 403。

白名单文件哈希太长，如何批量导入？

在桌面端「安全中心-核心文件保护」右上角点击「⋮」→「导入 CSV」，格式为 hash,path,comment 三列；移动端暂不支持批量，请用桌面端导完同步到云端。

审批人离职怎么办？

管理员可在「组织后台-成员管理」一键移除，其待审批单据自动转给备份审批人；若无备份，则进入「紧急通道」，需输入 TEE 主密钥分片才能通过。

会影响浏览器性能吗？

仅影响首次下载核心组件，后续命中本地缓存；经验性观察，M3+32 GB 环境总耗时增加约 20%，可接受。

可以彻底关闭吗？

可以，但需先清空所有待审批队列，再由组织管理员在「组织策略」把「AllowDAD」设为 false；个人用户无此权限，需导出配置后卸载重装。

收尾：下一步行动

强制二次审批不是「多此一举」，而是把「下载」与「落地」之间的唯一一次刹车权交回给人或机器复核。看完本文，你可以：

立即按平台路径开启 DAD，先设「最小同意数=1」降低摩擦；
用 CSV 把现有可信哈希导入白名单，避免业务中断；
每周跑一次「漂移热力图」，发现策略异常及时收紧。

若你的团队已在使用 SafeW v7.4 以上，却还在用旧版「延迟下载」，现在就是升级窗口。把审批权写进 TEE，比事后写事故报告更便宜。

SafeW如何开启强制二次审批下载核心文件？