SafeW多签钱包离线签名如何设置自定义过期时间？
功能定位：离线签名为什么要改过期时间
SafeW 的「离线签名」把私钥碎片留在本地 TEE，签名数据通过二维码或 AirDrop 在两台设备间摆渡，全程不触网。默认 24 h 的窗口对囤币党绰绰有余，可一旦你在机场冷机房做 DAO 拨款，48 h 仍可能因航班延误而失效。自定义过期时间（1 min–720 h）正是为了把时效弹性与重放窗口的拉锯拉到你可以接受的区间。
经验性观察：过期时间越长，重放风险越高，却给多签协调留下冗余；缩短则相反。SafeW 把「时间阈值」做成链下校验字段，不写入链上，因此不额外消耗 gas，也不影响其他签名人已生成的签名，只在最终广播前做一次时间戳校验。
入口总览：三端最短路径
iOS / Android（界面一致）
- 打开 SafeW → 底部栏「工具」→「离线签名」
- 选择「发起多签交易」→ 填写 to / value / data 后，滑到页面底部「高级」
- 点击「签名有效期」→ 关闭「默认 24h」开关 → 输入数值 + 单位（分/时/天）
- 生成二维码前，二次确认「过期时间」标签已显示自定义值
四步走完，二维码里的 JSON 就已经写进 validUntil，无需重启 App。
桌面端（macOS 与 Windows 路径一致）
- 顶部菜单「Wallet」→「Offline Signer」→「Create」
- 在右侧「Params」折叠面板找到「Expire After」
- 取消「Use Default」→ 手动输入数字 → 单位下拉选 min/h/d
- 点击「Export → QR」或「Save as JSON」即可
提示
若你找不到「高级」或「Params」，请先升级至 SafeW 截至当前的最新版本；老版本 UI 把字段收在「更多设置」里，路径多一步。
核心字段解析：validAfter 与 validUntil
SafeW 在离线 JSON 里写入的是 EIP-4337 风格的 validAfter 与 validUntil，单位秒。界面换算规则：
- 当输入 ≤180 min，强制使用「分钟」写入链下
- 181 min–72 h，自动换算为「小时」
- >72 h，换算为「天」并取整到 0 点 UTC
此字段只在链下校验，节点广播不会 revert，但若区块时间戳 >validUntil，SafeW 客户端会拒绝广播并弹「Transaction expired」。
场景映射：什么时候改多长
| 场景 | 建议值 | 理由 |
|---|---|---|
| 机场离线机房，双签 2/3 | 48 h | 留航班/边检延误冗余 |
| NFT 团队跨洲拍卖 | 6 h | 拍卖窗口短，降低重放 |
| DAO 月度工资批次 | 168 h | 理事会 7 天内凑签即可 |
| 高频套利机器人 | 5 min | 价格窗口极短，防重放优先 |
例外与取舍：哪些情况不建议改
1. 合规审计链
部分监管沙盒要求「签名即生效」且「不可撤回」，自定义过期时间会被认定为「可撤销指令」，可能触发额外尽调。
2. 与 Gnosis Safe 混合多签
Gnosis 前端目前不识别 validUntil，若你在 SafeW 端设 6 h，再导入 Gnosis UI 广播，会提示「Unknown field」并强制重签，等于白设。
3. 硬件钱包固件旧于 2024Q4
Ledger Nano S 老固件对 64 字节以上消息截断，若过期时间字段超长，签名会失败；经验性观察：把 JSON 压到 4 KB 内可规避。
可复现验证：确认客户端真的认你的时间
- 断网状态生成一笔 5 min 过期的离线签名
- 打开系统时间，手动调到 6 min 后
- 联网广播，预期：SafeW 弹红「Transaction expired」并阻止发送
- 把系统时间调回 3 min 内，再次广播，预期：广播成功且链上可查
若第 3 步未拦截，说明客户端版本过旧或字段被中间工具剔除，需回退检查 JSON 是否含 validUntil。
故障排查：常见失败提示与处置
| 提示 | 根因 | 处置 |
|---|---|---|
| 「validUntil missing」 | 旧版 SafeW 未写入字段 | 升级后重新生成 |
| 「Time drift >90s」 | 设备时钟未同步 | 打开「设置→通用→日期与时间」自动同步 |
| 「MultiSig mismatch」 | 过期时间只写进第一签 | 确保所有签名人都用同一 JSON，勿二次复制 |
最佳实践清单：快速决策表
- 跨时区多签 ≥3 人：直接给 48 h，减少 Slack 催签
- 混币路由后出金：≤30 min，避免与延迟发送窗口重叠
- 需导入 Gnosis 复核：放弃自定义，用默认 24 h 保持兼容
- 硬件冷签：先确认固件能解析 64 B+ 消息，再设 6 h 以上
- 监管申报场景：提前与律师确认「可撤销」定义，再决定是否启用
不适用场景速览
1. 单签个人转账：过期时间无意义，链上 nonce 已提供顺序保护。
2. 原子互换：HTLC 本身有超时，叠加上层过期会增加复杂度。
3. 需要长期抵押的 DeFi（如 30 天锁仓）：签名只是授权，真正时间锁写在合约里，客户端过期字段不起作用。
版本差异与迁移建议
SafeW 在 2025Q4 之前把过期时间收在「实验功能」开关内，默认隐藏；2026 年起全量开放。若你曾在老版本生成无过期字段的 JSON，直接导入最新版仍可广播，但会按「链上无校验」处理，相当于永不过期，风险自担。建议对老交易重新签名并明确写入 validUntil。
FAQ（FAQPage Schema）
自定义过期时间写入链上吗？
不写入，仅保存在链下 JSON，节点广播前由 SafeW 客户端做时间戳校验。
过期后还能找回签名吗？
可以找回，但客户端拒绝广播；需重新生成交易并延长过期时间。
与 Gnosis Safe 共用会冲突吗？
Gnosis 前端暂不识别的 validUntil，会强制重签；建议只在 SafeW 端完成全部签名流程。
最短可以设多久？
界面允许 1 分钟，但经验性观察 ≤3 分钟时，因设备时钟漂移极易失败，建议 5 分钟以上。
硬件钱包无法签名长 JSON 怎么办？
可开启 SafeW「压缩模式」把字段精简到 4 KB 以内；如仍失败，需升级硬件固件。
收尾：一句话结论与下一步行动
SafeW 多签钱包离线签名的自定义过期时间，用一句话总结：链下校验、零 gas、可回退，但跨平台兼容前需先对齐工具。读完本文，你只需：
- 把客户端升到最新版；
- 按场景选 6 h/48 h 模板，走一遍「生成-调时-广播」验证；
- 把「压缩模式」「时间同步」两个开关固定到日常检查表。
完成这三步，就能在时效与安全之间找到最适合自己 DAO 或冷存方案的平衡点。未来版本若把 validUntil 搬上链，官方路线图显示至少等到 2027 年，且会保留链下开关——现阶段练好上述基本功，足够覆盖接下来的多签需求。
