SafeW如何为子账号隐藏指定文件夹？

功能定位：为什么要在浏览器层隐藏文件夹

SafeW Enterprise Browser 把“文件夹可见性”纳入零信任最小权限模型，核心关键词“子账号隐藏指定文件夹”首次出现。与传统 NAS 或 Windows ACL 不同，SafeW 的策略在浏览器内核生效，文件实际仍保存在企业沙盒容器，但子账号在标签页、文件树、下载列表三层界面均无法感知被隐藏对象，从而满足外包、并购、药政审阅等“看不到即合规”场景。

2026.2 版将“文件夹可见性”从原先仅支持“个人标签页”扩展到“企业标签页+VDI-Lite 目录”，并新增区块链时间戳记录每一次 hide/show 事件，方便 7 年可追溯审计。该功能与 SafeW-LLM 本地 DLP 无冲突，但互斥于“共享协作空间”——若父目录被设为协作空间，则子目录不可单独隐藏，需先降级为普通目录。

前置条件与版本边界

1. 控制台版本 ≥ 26.2.1031，浏览器客户端 ≥ 26.2.1031（Win/macOS/Linux），移动端暂不支持隐藏策略，仅只读。
2. 子账号必须处于“零信任会话”模式，且角色权限≤Editor；Admin 角色默认绕过隐藏策略，无法复现效果。
3. 被隐藏文件夹不得包含正在运行的 VDI-Lite 实例，否则系统会拒绝策略下发并回滚。

操作路径（分平台最短入口）

桌面端 Win/macOS

1. 管理员登录 SafeW Console →「企业应用商店」→ 选择目标应用 →「文件策略」→「可见性」。
2. 点击「新增规则」→ 作用域选「子账号」→ 输入 UID 或角色组 → 在「路径掩码」栏填写绝对路径，如 /finance/forecast/q1。
3. 「可见性」开关置为「隐藏」→ 下方「审计级别」选「完全录像」→ 保存并推送。客户端在 10 s 内自动热更新，无需重启浏览器。

Web 控制台（跨平台）

若在外出差，管理员可直接通过 https://console.safew.io 完成上述步骤，与桌面端逻辑一致；区别是 Web 端在保存时会二次弹窗要求国密 key 签名，防止越权。

移动端（Android/iOS）

移动端仅支持查看策略，不提供编辑入口。路径：App →「设置」→「企业策略」→「文件可见性」，可检索已被隐藏的目录列表，但无法新增或解除。

回退与分支方案

若策略误下发，可在「规则列表」点击「回滚」→ 选择「仅回滚隐藏」或「回滚全部策略」。系统会生成一条负向指令，客户端在 5 s 内生效；若子账号处于离线，待其下次握手时补发。经验性观察：回滚后目录会恢复到上一次“可见”状态，但不会自动恢复已被手动删除的本地缓存。

常见副作用与缓解

与第三方 Bot 的协同最小化原则

经验性观察：部分企业使用“第三方归档机器人”定期扫描目录并生成 PDF 报告。若机器人使用服务账号（SA）且角色≥Viewer，隐藏策略对其无效。遵循最小权限，应：
1. 为机器人单独创建「只读-除外」角色，在「可见性策略」里把 SA 的 UID 加入「例外名单」；
2. 机器人如需访问隐藏目录，仅开放读取，不授予下载原始文件权限；
3. 机器人导出报告后，立即调用 SafeW API /v2/session/expire 吊销其会话，防止长期凭证泄露。

验证与观测方法

1. 在子账号浏览器地址栏输入 safew://policy/audit，若返回「hidden_paths": ["/finance/forecast/q1"] 且状态 200，即代表策略已生效。
2. 控制台 →「日志检索」→ 关键词填 policy_hide，时间窗口选“最近 30 min”，可观测到每条 hide/show 事件对应的 UID、设备指纹、区块链哈希。
3. 使用「会话录像」回放：搜索文件名前缀，若子账号在文件树中未展开即被屏蔽，录像右侧事件轴会出现「FolderMask」标记，方便审计员秒级定位。

适用/不适用场景清单

• 适用：外包项目、药政审阅、金融尽调、芯片 IP 库——人数 10–1000，生命周期≤12 个月，合规要求≥7 年留存。
• 不适用：长期跨部门协作目录、已被标记为「共享协作空间」的父目录、需要全文搜索的公共知识库——隐藏会导致搜索碎片，反而降低效率。

最佳实践速查表

1. 先评估目录是否已加入「共享协作空间」；若是，先降级。
2. 对子账号使用角色组而非单个 UID，方便后续批量调整。
3. 隐藏策略与 DLP 加密可叠加，但回滚时分两步走，避免“空壳目录”误会。
4. 机器人账号一定放入例外名单，但记得限时吊销。
5. 每季度复查「policy_hide」日志，若连续 90 天无命中，可考虑删除规则，降低策略膨胀。

故障排查 3 步法

现象：子账号仍能看到目录

可能原因①客户端版本低于 26.2.1031；②管理员误把 UID 填成邮箱前缀；③目录正被 VDI-Lite 占用。验证：在控制台「实时会话」查看客户端版本号，确认路径无拼写空格；再检查「边缘节点」→「活动实例」是否为空。处置：升级客户��、修正 UID、关闭 VDI-Lite 后重试。

现象：策略下发延迟超过 60 s

检查是否开启「Safemap 众包节点」且共享比例≥50%，临时把比例降至 20% 或绑定静态节点即可恢复。

现象：回滚后目录空白

说明目录同时被 DLP 加密，需到「数据防护」→「密级管理」解除加密，再手动刷新客户端缓存。

版本差异与迁移建议

2025 旧版仅支持“个人标签页”隐藏，且无区块链时间戳；升级到 26.2.1031 后，旧规则自动转换为「混合标签页」模式，但审计级别默认「仅记录」，若需「完全录像」须手动批量编辑一次。迁移窗口建议在维护日凌晨操作，避免高峰会话中断。

未来趋势与官方路线

SafeW 官方博客 2026-02-13 披露，将在 2026.Q3 引入「量子安全隐藏」试点，使用 ML-KEM 算法对策略本身再做一次密钥封装，防止长期量子破解。同时计划开放「隐藏策略 API」给第三方 SIEM，方便企业把 hide/show 事件与 SoC 剧本联动。对合规团队而言，可提前在测试域体验，但生产环境需等待正式 GA 并拿到国密双证后再批量部署。

结论

SafeW 通过把“子账号隐藏指定文件夹”下沉到浏览器内核，实现了零信任最小权限的“最后一厘米”控制。管理员只需在控制台完成三条规则，即可在 10 s 内对全球 42 国节点同步生效，同时获得区块链审计与 7 年可追溯录像。正确区分“共享协作空间”与“普通目录”、合理设置机器人例外、定期复查策略膨胀，是落地过程中避免副作用的三大关键。随着 2026 年量子安全与 API 开放的到来，隐藏策略将与 SoC 剧本深度联动，成为企业合规留存的新基线。