安全来自明确的解锁边界

加密的数据密钥由客户端管理

保险库条目使用认证加密保护，随机数据密钥通过口令、恢复等对应的密钥槽包裹。服务端不保存供客服重新发送的恢复密钥明文。

如果忘记口令又失去全部有效恢复途径，就可能无法从仅存的密文重新取得认证资料。

可信设备密钥有边界

浏览器中的可信设备密钥以不可导出形式保存为目标，但这不是专用硬件保护的承诺，也无法保证丢失的设备被远程彻底擦除。

注册新可信设备前，应确认该浏览器只有本人控制并有可靠的设备锁。登录系统账户与浏览器配置文件也应由本人管理，避免共用会话残留。

锁定与内存风险不能混为一谈

主动锁定、超时、长时间后台运行、退出登录、撤销授权等操作会清理应用层的已解密引用和敏感任务。

浏览器运行时和垃圾回收机制不能证明物理内存中所有历史字节都已立即清零，安全使用仍需要信任本机环境。

安全术语不等于绝对保证

保管库的数据加密密钥通过多种解锁材料保护，运营方不应把可直接读取的恢复密钥寄回给用户。这样的安排降低了服务器掌握秘密的必要性，同时也意味着用户一旦失去所有解锁材料可能无法恢复。

浏览器“不可导出密钥”是一项接口层属性，不表示每台手机都采用了同一个硬件安全模块。不同浏览器和真实设备的行为仍须在专项验收中证明。

应用锁定有助于停止敏感操作与释放解密引用，但 JavaScript 无法证明物理内存的全部旧字节已被彻底清零。使用共享设备时仍需要本地系统层面的安全措施。