怎么在SafeW多签钱包里自定义离线签名二维码的字段与格式？
功能定位：离线签名二维码到底在解决什么
在 SafeW 的 MPC+TSS 架构里，离线签名二维码是“离线端”与“在线端”之间唯一的数据通道。它把待签名哈希、链 ID、账户路径、nonce 等打包成可扫描的图形，既避免 USB 插拔带来的恶意固件风险，也省去手动输入长串十六进制。2026 年 Q1 版本后，官方把二维码字段从固定 6 项扩展到可选 12 项，允许高级用户按需裁剪，从而在低分辨率旧手机与航空级二维码扫描枪之间取得平衡。
自定义字段的核心价值是“让二维码在物理世界里更小、更快、更耐脏”。示例：DAO 财资场景里，理事会常在无网络会议室用 7 英寸电子墨水屏轮流扫码；若保留全部字段，二维码密度超过 Version 25，扫描失败率会跳到经验性观察的 18% 左右。把“tokenSymbol”“memo”等可选字段剔除后，版本号可压到 15，失败率回到 3% 以内。
版本差异：2025 旧模板 vs 2026 可配置模板
截至当前的最新版本（SafeW 10.12.x），二维码模板已拆成系统默认、链级默认、单钱包自定义三层。2025 及之前的老客户端只有“系统默认”，字段顺序写死在本地 TEE，升级后不会自动迁移，需要手动“导入旧模板→另存为新模板”才能编辑；否则你会发现设置页里“自定义格式”按钮是灰色。
迁移提示：进入“设置-离线签名-模板管理”，点击右上角“⋮”→“导入 2025 旧模板”，系统会生成一个带“_legacy”后缀的副本，此后才可增删字段。
操作路径：Android、iOS、桌面端最短入口
Android / iOS
- 打开 SafeW，主页下拉进入“财资中心”。
- 点击顶部卡片“离线签名”→“二维码模板”。
- 选择目标钱包（若使用多钱包模式），点“新建模板”。
- 在“字段池”里拖拽所需条目到右侧“已选列表”，可上下排序。
- 打开“容错开关”（默认开启），设定纠错等级 M（15%）。
- 点击“预览二维码”，用另一台离线设备试扫，确认无误后“保存并启用”。
macOS / Windows 桌面端
- 路径：菜单栏“Tools”→“OfflineSigner”→“QR Composer”。
- 桌面端额外提供“JSON 视图”，可直接粘贴字段配置，适合批量生成后通过内网下发。
字段清单与取舍逻辑
SafeW 把字段分为核心、推荐、可选三级。核心字段缺失会导致离线端无法重建交易；推荐字段缺失会触发二次确认；可选字段只影响可读性。
| 字段名 | 级别 | 体积(字节) | 剔除风险 |
|---|---|---|---|
| chainId | 核心 | ~6 | 无法重建交易 |
| nonce | 核心 | ~8 | 同上 |
| dataHash | 核心 | ~66 | 同上 |
| fromPath | 推荐 | ~20 | 需手动确认路径 |
| tokenSymbol | 可选 | ~10 | 仅影响肉眼核对 |
| memo | 可选 | ≤50 | 同上 |
经验性观察：若目标设备是 300 dpi 激光打印机，可把 Version 控制在 20 以内；若是 4 寸墨水屏，建议 Version ≤15，否则在光照不足时容易扫不出。
兼容性表：哪些链必须带哪些字段
并非所有链都遵循同一套字段。SafeW 在模板层做了“链级黑名单”：若你删除某字段后保存，系统会弹窗阻止。以下列出常见链的硬性要求：
- BTC 原生：必须带 inputIndex 与 scriptType，否则离线端无法构建见证脚本。
- TON：必须带 workchain，否则地址校验失败。
- SUI：必须带 gasPrice 与 gasBudget，链上拒绝零费交易。
- Monad / Berachain 等并行 EVM：需额外带 maxFeePerGas 与 maxPriorityFee，否则会被视为 Legacy 类型，节点直接丢弃。
风险控制：字段裁剪后的回退方案
一旦二维码字段过少，离线端会弹红字“Missing Critical Field”。此时有三种回退路线：
- 模板回滚：扫描失败界面左滑→“回滚到上一版本”，系统会临时使用上次成功的模板，仅对当前交易生效。
- 字段补全：在线端重新进入“二维码预览”→“补全缺失字段”，把推荐字段一次性加回，再生成新码。
- 手动输入：离线端点击“手动输入缺失值”，输入 nonce 与链 ID，即可继续签名，但此方式跳过二维码校验，需理事会二次口头确认。
在 DAO 财资场景里，建议把“模板回滚”权限只给财务官角色，防止普通成员误操作把关键字段永久删除。
与第三方协同：如何在不泄露私钥的前提下共享模板
SafeW 的模板文件是纯描述性 JSON，不含任何私钥分片。你可以通过“加密分享”把模板发给其他多签成员，流程如下：
- 在模板列表左滑→“分享”→“仅模板”（不要选“含交易历史”）。
- 系统会生成一个 AES-256-GCM 的加密链接，有效期 24 h，支持设置提取密码。
- 对方导入后，仍需手动校验“链级黑名单”是否匹配其客户端版本，否则会在首次签名时弹警告。
故障排查：二维码扫不出/字段乱码/模板损坏
现象：扫描后停在“解析中”超过 5 秒
可能原因：二维码 Version 太高，相机微距失真。
验证：把打印纸往后移 20 cm，若能在 1 秒内完成，则属密度过高。
处置：回到模板→把纠错等级从 H 降到 M，或删除可选字段“memo”。
现象：字段出现中文乱码
可能原因：导出模板时使用了 UTF-8 with BOM，部分墨水屏阅读器把 BOM 当字符渲染。
验证：用 VS Code 打开模板文件，看首行是否有多余“”。
处置：重新保存为 UTF-8（无 BOM）再分享。
现象：模板列表显示“损坏”
可能原因：手动编辑 JSON 时漏掉链级必填字段。
验证：把文件拖入 SafeW 桌面端→“模板诊断”，会标红缺失键。
处置：按提示补键后保存，重新导入即可恢复。
适用/不适用场景清单
| 场景 | 推荐字段数 | 不适用理由 |
|---|---|---|
| DAO 多签 10 万美元以上 | ≥10 项（含 memo） | 审计需要完整上下文 |
| 个人冷存囤币 | 6 项核心即可 | 减少扫码时间 |
| NFT 批量挂单 | 8 项（加 tokenSymbol） | 方便肉眼核对资产 |
| 空投猎人高速交互 | 不适用自定义 | 频繁换链，模板维护成本高 |
最佳实践 6 条
- 先选“链级默认”做基准，再微调，不要从空白模板开始。
- 每删减一个字段，都在“预览”里用最低分辨率设备试扫一次。
- 把模板命名成“链+用途+版本号”格式，如“ETH_DAO_v2”，方便多人协作。
- 打开“链级校验”开关，防止误删关键字段。
- 定期用桌面端“模板诊断”功能做体检，尤其在升级主版本后。
- 对 100 万美元以上转账，保留“memo”字段，方便后期对账。
FAQ
二维码字段顺序会影响签名吗？
不会。SafeW 离线端按字段名解析，顺序只影响二维码密度，不影响哈希重建。
可以彻底关闭纠错等级吗？
不能。系统最低允许纠错等级 L（7%），关闭后若二维码污损将无法解析，属于安全红线。
模板分享链接过期怎么办？
可重新进入模板列表→左滑“再次分享”，系统会生成新链接，旧链接立即失效。
为什么 iOS 端缺少“JSON 视图”？
苹果 App Store 审核指南限制钱包类应用在移动端暴露可执行脚本输入框，故仅桌面端开放。
自定义模板是否影响 AI 行为防火墙？
不影响。防火墙在在线端运行，依据链上数据与合约字节码判断，与二维码字段无关。
收尾：下一步行动建议
自定义离线签名二维码不是“越精简越好”，而是在可读、可扫、可审计之间找到平衡点。读完本文，你可以：
- 立即打开 SafeW，把正在使用的模板升级到“链级默认”副本；
- 用最低分辨率设备做一次扫码压力测试，记录失败距离；
- 把模板命名规范化并上传到 DAO 的加密共享盘，让多签伙伴同步版本。
完成这三步，你的多签流程就能在安全、效率、合规三条线上同时得分，后续只需跟随版本更新定期体检即可。
