SafeW如何为部门文件夹开启分级审批下载？
功能定位：为什么要在 SafeW 里做“分级审批下载”
SafeW 的「部门文件夹」本质上是基于去中心化身份（DID）钱包的加密容器，文件碎片加密后分散在 IPFS 与 TEE 节点。默认只要拥有目录 NFT 权限即可下载，但企业场景里“能看”≠“能拿走”，于是官方在 v7.4.1 把「分级审批下载」做成可插拔策略：文件仍端到端加密，解密私钥却被托管到 TEE 策略引擎，只有审批流全部通过才临时释放。
换句话说，它解决的是“零信任存储”最后一公里：即便员工钱包被盗，攻击者也拿不到原始文件；即便审批人串谋，TEE 也会在链上留下不可篡改的释放日志，方便事后审计。与同类网盘“先下载后审计”相比，SafeW 把风控前置到解密之前，带宽与合规成本更低。
先想清楚：哪些人、哪些文件真的需要审批
经验性观察：若把 100% 文件都放进审批，平均下载耗时增加 3–5 倍，高峰时段 TEE 节点 CPU 明显抬升。建议先用“决策树”过滤：
- 是否含个人敏感数据（PII）？→ 是，必须审批。
- 是否大于 50 MB 且对外共享？→ 是，建议审批。
- 是否仅内部模板、已脱敏？→ 否，可仅留审计日志，不阻断。
这样可把审批量压到 15% 以下，节点压力回到绿色区间。后续合规要求升级，再把“脱敏”标准收紧即可，无需改代码。
前置检查：版本、权限与网络端口
版本门槛
桌面端需 ≥ v7.4.1（菜单栏 SafeW → About 可见），移动端需 ≥ 7.4.1 build 200258；旧版无 TEE 策略引擎，开不了分级审批。
钱包与 NFT 权限
你至少要有该部门文件夹的「Admin NFT」或「Policy NFT」才能编辑策略；若只有「Access NFT」，只能触发下载申请，无法改规则。NFT 在钱包 → Collectibles 页签查看，图标为蓝色盾牌。
网络端口
TEE 策略引擎走 UDP 6771，若公司防火墙默认阻断，需让 IT 放行并打 DSCP 46，否则审批人会卡在“等待策略节点响应”。验证方法：控制台输入 sw-cli node ping --tee，返回 <200 ms 即正常。
三步打开分级审批下载（桌面端最短路径）
- 侧边栏 → Workspaces → 选中部门文件夹 → 右上角「⋮」→ Policy → Download Approval。
- 在「Approval Chain」页签，把默认的「No Approval」切换为「Tiered Approval」；此时会弹出 TEE 授权二维码，用 SafeW 移动端扫码签名，确认你是 Admin NFT 持有者。
- 按界面提示添加审批人：可搜钱包地址或 @safeid，顺序审批/并行审批二选一；设置「自动失效时间」建议 24 h，避免周末卡单。最后点击「Publish to TEE」，链上交易确认后即生效。
回退方案：同一入口随时可改回「No Approval」或「Audit Only」，但已发起的申请仍按旧策略走完，保证一致性。
移动端操作差异
Android / iOS 路径：底部导航「工作」→ 长按文件夹 → 政策 → 下载审批。因屏幕限制，审批人列表默认折叠，需点「+」展开；其余逻辑与桌面端一致。注意：若使用「Tap-2-Warp」 NFC 配对，请关闭「NFC 安全超时」实验开关，否则扫码后无法回跳。
审批人体验：如何不成为瓶颈
审批人会在 SafeW 内置聊天收到系统 Bot 消息，附带文件摘要、申请人 DID、风险评分。点「Approve」后需指纹/面容签名，整个流程约 10 秒。经验性观察：若审批人把通知权限关闭，平均卡单时长会放大到 6 倍；建议管理员统一在 MDM 里把 SafeW 通知设为高优先级。
例外名单：让高频但低敏文件跳过审批
在「Approval Chain」页最底部有「Exception Pattern」输入框，支持通配符。例如填入 *.pptx;template-* 即可让模板幻灯片直接下载，不触发审批。注意：例外条件优先于审批链，写错通配符可能导致敏感文件被放通，建议先在「Audit Only」模式跑 24 h，确认日志无误再切「Tiered」。
与第三方 Bot 的协同（最小权限原则）
若公司已有工单系统，可通过 SafeW 提供的「Webhook Out」把审批事件推送到内部 API，但切记只开「只读」Key；Webhook 地址需加白，且关闭「文件内容」字段，避免二次泄露。SafeW 官方未提供 Slack/飞书一键 Bot，任何声称“官方集成”的第三方插件请谨慎授权。
故障排查：审批单卡在“等待 TEE 释放”
现象
申请人界面一直转圈，日志显示
TEE_KEY_RELEASE_TIMEOUT。可能原因与验证
- UDP 6771 被防火墙拦截 → 在审批人电脑抓包，看是否有 outbound UDP 6771。
- 审批人钱包离线 → 让其在「设置→节点状态」确认 Relay 延迟 <500 ms。
- TEE 策略节点版本不一致 → 管理员运行
sw-cli policy tee-version，若返回多版本号，需等官方灰度完成。处置
按顺序放行端口、重连钱包、等待灰度；仍失败，可在「帮助→诊断包」导出日志，发工单至 SafeW 企业支持，通常 2 小时内人工释放。
故障排查：审批单卡在“等待 TEE 释放”
性能与成本：审批链对下载速度的影响
经验性结论：在 100 MB 文件、三节点并行审批、TEE 位于香港-ZX 节点的测试条件下，平均增加 8–12 秒首包延迟，但后续下载速度不变；若审批人分布在欧美，延迟可能放大到 20 秒。可通过「并行审批」+「例外名单」把体感延迟压到 5 秒内，基本与二次确认短信同级。
合规与审计：如何向第三方证明“文件没外泄”
TEE 释放日志默认写入 SafeW 链，交易哈希可在「Workspace → Audit → Download Log」导出 CSV，字段含：文件 CID、申请人 DID、审批人签名、释放时间戳、TEE 节点公钥。该 CSV 含链上哈希，任何篡改都会导致校验失败，可直接提交给审计机构。
适用/不适用场景清单
| 场景 | 建议 | 理由 |
|---|---|---|
| 10 人小团队、无敏感数据 | Audit Only | 审批链 ROI 过低 |
| 外包设计稿 >50 MB | Tiered Approval | 防止高价值素材外泄 |
| 月度财报 PPT | Tiered + Exception | 模板可直通，终版需审批 |
| ISO 27001 审查 | 必须 Tiered | 审计员要看到链上证据 |
最佳实践速查表
- 先开「Audit Only」跑 24 h，确认例外规则不漏敏。
- 审批人数量 ≤3，顺序审批即可；>3 用并行，否则延迟指数级上升。
- 自动失效时间 ≤48 h，避免周末卡单；节假日提前调长。
- 每月导出链上 CSV，和内部 IAM 日志交叉比对，发现异常 DID 及时冻结。
- 任何策略变更先在测试文件夹灰度，观察 2 天无 Error 再推生产。
FAQ（常见问题）
1. 审批人钱包丢失，文件永远拿不到了吗？
不会。Admin NFT 持有者可进 Policy → Emergency Override，用新的 DID 替换旧审批人，链上记录仍会保留旧签名，只是后续审批由新钱包接管。
2. 中国区用户延迟高，有加速方案吗？
手动锁定 Hong Kong-ZX 节点，并把 MTU 改为 1320 可避免分片；若仍高于 100 ms，建议用并行审批+例外名单，把需要审批的量压到 10% 以下，体感差距就不明显。
3. 可以只对子目录开审批，而根目录直通吗？
可以。SafeW 的策略是向下继承的，子目录可单独设「Tiered」而父目录保持「No Approval」，系统会取最近祖先目录的策略，互不冲突。
4. 审批通过后，下载有没有水印或溯源？
目前 SafeW 只在链上记录“谁何时拿到密钥”，不在文件内嵌水印。若需要视觉溯源，可在下载完成后用外部工具加动态水印，再分发给最终用户。
5. 升级 v7.4.1 后旧审批策略还在吗？
在。升级过程会快照旧策略至 TEE 兼容格式，但建议管理员点一下「Policy → Validate」，系统会提示是否需补签量子密钥，确认后即完成迁移。
收尾：下一步行动建议
分级审批下载不是“开了就高枕无忧”，而是一套持续运营的零信任机制：先用 Audit Only 做基线，再逐步收紧；每季度复盘例外名单，把不再敏感的文件及时放出；最后把链上 CSV 纳入公司整体合规报告，形成闭环。按本文路径操作，大约 30 分钟即可让部门文件夹拥有企业级防泄能力，而日常下载体验只增加一次指纹确认，对协作流程几乎无感。现在就打开 SafeW，从最小范围的测试文件夹开始吧。
