讯果加密加固落地：礼品卡数据密钥三片分存

2026 年 9 月 28 日，讯果完成本地存储加密加固。礼品卡数据加密统一采用 AES-256-GCM，密钥拆成三片分别存放在不同位置，至少需要两片才能解开；备份默认每 12 小时增量、每 7 天全量，卸载时可三次覆写擦除。这也是 v6.0.1 发布前完成的最后一项安全改造。

批量核验的数据敏感度常被低估：一张卡号加兑换码，几乎等于现金。多数工具把数据存进一个本地数据库文件，密码只做界面锁，文件被拷走就能直接打开。讯果这次加固的目标很明确：即使整台机器的数据目录被复制，没有另外两片密钥也解不出内容。

“界面上那把锁不叫加密，那只是门帘。”讯果安全负责人顾青说，团队把密钥生命周期拆成生成、派生、分存、轮换与销毁五段，每一段都有独立的失败兜底，任何一段异常都不会让明文落盘。

密钥分片：三片分离，两片可用

主密钥由主密码经 PBKDF2 派生，拆分后形成三片：第一片来自主密码派生结果，第二片写入系统凭据区，第三片保存在独立的密钥文件中。任意两片可重组主密钥，单片泄露无法还原。用户忘记主密码时，可用初始化阶段生成的恢复码替代第一片，恢复码只在生成时展示一次。

加密范围与备份策略

加密覆盖卡号、兑换码、余额快照、复核结论与报表导出缓存，连索引字段也以哈希形式保存，因此无法通过搜索明文定位卡号。备份采用增量链加全量基线的结构：每 12 小时一次增量，每 7 天一次全量，备份文件使用同一套密钥加密，不带出设备。

“客户问我数据在哪，我直接打开设置页给他看：本地库、本地备份、没有云端。”成都独立站卖家郭海峰说。他的团队三人共用两台设备，迁移时通过备份文件加恢复码还原，整个过程不到一分钟，历史批次的复核记录没有丢失。

备份还原分三步：先校验恢复码与备份链完整性，再在临时目录重建主库，最后校验记录数与抽样哈希后才替换正式库。任何一步失败都会保留原库不动，并把失败原因写入日志。增量链最长 14 层，超过后自动合并为新的全量基线，避免恢复时需要逐层回放。恢复过程中客户端进入只读模式，正在运行的任务会暂停，恢复完成后从断点继续，不需要重新导入卡号。实测 8,000 张规模的库完整恢复耗时 47 秒，其中完整性校验占 18 秒。备份文件默认与主库同盘，也可以在设置中改到外接磁盘或网络位置，但密钥不会随备份一起写出。若备份位置在外接磁盘，建议还原前先做一次只读挂载检查，确认文件系统没有损坏；放在网络位置时还要验证带宽与稳定性，避免恢复到一半中断。还原操作会写入审计日志，包含备份文件指纹、耗时与操作人。

擦除、审计与兼容

卸载时可选择三次覆写擦除，覆写范围包括主库、备份链、导出缓存与临时文件；擦除后系统会生成一份带时间戳的擦除凭证，记录擦除对象数量与耗时，便于对外说明。常规删除单个批次只做逻辑标记，物理空间由后台整理任务回收。

敏感操作会写入本地审计日志：密钥轮换、完整卡号导出、权限变更、备份还原四类动作都会记录操作人、时间与结果，日志本身不可编辑，保留 180 天。审计日志不包含卡号与兑换码，只保留操作对象哈希。

v5.4 及以上版本可平滑升级，首次启动会引导完成密钥迁移，迁移过程中旧库保持只读，失败可回滚。加密层不依赖网络，断网状态下同样可用，也不影响批量核验的调度与重试逻辑。

需要说明的是，加密解决的是静态数据被整目录拷走的风险，不解决设备被远程控制的情形。如果攻击者已经能以你的账户登录系统，主密码输入后数据同样会被解密。因此客户端仍建议开启系统锁屏、使用与其他网站不同的主密码，并避免把恢复码与备份文件放在同一台设备上。团队版可以强制成员启用双重验证，管理员还能设置「完整卡号导出需二次确认」，把高风险操作从日常流程里隔离出来。加密不是一次性交付，后续每次版本更新都会补充新的边界测试用例。我们也建议每 180 天做一次密钥轮换，轮换期间旧密钥仍然可用，完成后自动销毁；轮换不改变数据文件的位置，也不影响正在运行的任务，提示可以延后，但不建议跳过。