SafeW如何关闭离职员工已发出的文件邀请链接？
功能定位：为什么“关闭已发出链接”是合规刚需
在 SafeW 的“零知识”架构里，文件邀请链接一旦发出，默认即具备跨设备、跨网络、无日志追踪的扩散能力。对企业而言，离职员工若仍持有有效链接，等同于把保险箱钥匙留在前同事抽屉。传统做法需要改密码、删文件，而 SafeW 提供的是“链级回收”——让链接本身失效，文件哈希、版本号、协作备注全部保留，满足审计“可回溯但不可再访问”的刚性要求。
经验性观察：2026 年 Q1 后，企业面板新增「Invite Token Lifecycle」看板，可按“员工 DID+时间窗口”批量检索，已发出的邀请链接会显示剩余有效次数与最后访问 IP 所属 ASN，方便法务快速判断“是否已发生实际泄露”。
前置条件与版本前提
1. 管理员账号需开通「Enterprise Console」模块（路径：Settings > Organization > License Type > Enterprise）。
2. 离职员工账号状态必须为「Deactivated」或「Suspended」，否则系统拒绝回收并提示“Owner still active”。
3. 客户端版本：截至当前最新桌面 v7.4.1 / 移动端 7.4.1 build 20260228。
操作路径：三平台最短入口
桌面端（Windows/macOS/Linux）
- 打开 SafeW 浏览器，地址栏输入
safe://console并回车。 - 左侧导航选择「File Relay」→「Invite Links」。
- 在「Owner」筛选框输入员工 DID（形如
did:safew:0xabc…），点击「Apply」。 - 勾选需要回收的链接（支持 Shift 连选），点击右上角「Revoke」。
- 系统弹出量子签名确认窗，管理员用指纹/TEE 私钥完成二次签名，即完成回收。
Android
- 启动 SafeW，点击底栏「钱包」图标，向右滑进入「企业空间」。
- 顶部 Tab 切换到「控制台」→「文件邀请」。
- 点击右上角漏斗图标，选择「Former Members」视图。
- 长按任意链接，底部出现「批量回收」按钮，后续步骤与桌面端一致。
iOS
- 由于 iOS 沙盒限制，控制台以「轻量模式」嵌入「设置」页：Settings > SafeW Pro > Enterprise Console。
- 后续筛选、回收交互与 Android 相同，但量子签名需借助「Secure Enclave 面容」完成，耗时约 1.5 秒。
回收后的可见性：谁能看到什么？
回收瞬间，SafeW 边缘节点广播一条 Token-Revoke 交易，写入内置轻链（基于 Tendermint，仅企业节点可见）。这意味着：
- 原链接 404，任何访客打开均显示「Invite no longer valid」。
- 文件本体仍存在于 IPFS 加密桶，但解密密钥被重新封装，旧密钥片段失效。
- 审计日志自动生成 CSV，字段包括 revokedBy、revokedAt、ipfsCID、formerKeyHash，可直接用于 ISO27001 证据包。
常见分支：当链接已被二次转发
SafeW 允许接收者再次生成“子邀请”，但子邀请必须满足 nDepth ≤ 2 且 ttl ≤ 48h。若离职员工的链接已被二次转发，管理员回收时系统会提示「Detected 3 child invites」。此时有两种策略：
A. 级联回收（默认）
一键回收母链接及全部子链接，适用于高敏感文件。
B. 保留子链接
仅回收母链接，子链接继续有效，适用于合作方已基于子链接完成交付、不想中断业务流程的场景。需手动勾选「Keep grandchildren」。
回退方案：误回收如何补救
SafeW 不提供“撤销回收”按钮，但允许管理员在 24 h 内重新生成同名链接（相同 CID、相同路径），新生成的 inviteToken 会写入新密钥，旧访问记录清零。操作：Invite Links >「Revoked」标签页 > 选中记录 >「Re-create」。
与第三方 DLP 的协同
若企业已部署 Symantec、Microsoft Purview 等 DLP，SafeW 提供「Webhook Revoke」端点：POST https://api.safew.io/v1/enterprise/hooks/revoke，JSON 体仅需 { "did": "...", "reason": "DLP_POLICY_VIOLATION" }。DLP 触发后即可自动调用，无需人工登录控制台。
故障排查：回收失败常见原因
| 报错提示 | 根因 | 验证步骤 | 处置 |
|---|---|---|---|
| QUANTUM_SIG_FAILED | TEE 环境未就绪 | Settings > Security > TEE Status 是否「Ready」 | 重启 SafeW，或更新 TPM 驱动 |
| OWNER_STILL_ACTIVE | 员工状态未设为离职 | Members > 检查「Status」列 | 先执行 Deactivate，再回收 |
| IPFS_GATEWAY_502 | 边缘节点过载 | curl -I https://ipfs.safew.io 是否 502 | 切换至 Hong Kong-ZX 节点，重试 |
适用/不适用场景清单
- 适用：员工离职、外包结束、合作方合同到期、DLP 告警、密钥轮换周期到达。
- 不适用：文件已使用「Public Gateway」功能（此时 CID 公开，无法回收）、链接已写入区块链存证合约（需通过合约治理投票才能冻结）。
最佳实践 5 条速查表
- 员工提出离职申请当天，即将其状态改为「Suspended」，触发自动回收倒计时 24 h。
- 每月初运行「Orphaned Invites」报告，批量回收超过 30 天未访问的链接，降低攻击面。
- 对高敏文件一律开启「No-Reinvite」标志，禁止二次转发。
- 将回收日志自动推送至 SIEM，字段
revokedAt作为合规时间戳。 - 回收后 2 小时内，用「Re-create」功能生成新链接并分发给接替人，确保业务连续。
FAQ（结构化数据）
回收链接后，对方本地已下载的文件会被强制删除吗？
不会。SafeW 仅让链接失效，已落盘文件不受控。若需远程擦除，须预先启用「TEE-Secure Viewer」模式，该模式把文件解密到内存，不落盘。
可以一次性回收整个部门的链接吗？
可以。在「Invite Links」界面选择「Bulk by Department」，系统会列出该部门 DID 列表，确认后批量回收。注意：此操作需量子签名，耗时与链接数量成正比。
回收操作是否计入 API 速率限制？
回收接口独立于常规 API 配额，官方文档注明「Revoke API 无速率限制」，但单请求最大 1000 条链接。超限需分批发起。
总结与下一步行动
关闭离职员工已发出的文件邀请链接，是 SafeW 企业控制台中最低成本、最高收益的“事后止血”动作。它串联身份状态、量子签名、IPFS 密钥重新封装与审计日志四大模块，一次性解决“文件还在、链接失效”的合规痛点。建议你立刻完成两件事：一、在控制台运行「Orphaned Invites」报告；二、将本文“最佳实践 5 条速查表”粘贴到内部 Wiki，并设定每月 1 号自动提醒。把“链接泄露”从应急救火变成例行巡检，才算真正把 SafeW 的零知识能力用到极致。
