时封的信任与技术边界

定时授权，不是无信任时间锁

• 文件在本机加密，数据密钥拆为接收方公钥保护的份额与服务端加密份额。服务按可信UTC时钟控制授权，开放前拒绝领取。
• 它不是密码学上保证任何人都不能提前解密的时间锁。发送方最初拥有明文；接收方若与被攻陷的服务端串通，可能提前重组密钥。
• 最多3次指在线领取授权。指定接收方首次取得份额后，若自行保留密钥材料即可再解密；已保存的明文可反复查看、复制。后续撤回或销毁不能收回已领取的材料。
• 实际截止取原截止与首次成功领取＋24小时中的较早者，后续领取不延长。前两次保留服务端份额，第3次原子清空；截止、撤回或封禁后不再授权。累计3次错误验证码清空剩余份额。
• 至少领取一次后，接收方可通过当前TOTP与独立警告确认主动销毁剩余授权，无需再输入口令。TOTP证明验证器持有者，不证明持有口令；销毁与领取共用累计错误上限。
• 到期即拒绝领取，闲置记录的物理清空由每60秒维护任务执行。清空当前行不删除数据库历史备份，也不删除接收方的明文或密钥副本。
• 页面不自动保存口令、私钥或数据密钥，内存清除是尽力而为；恶意浏览器扩展、终端控制、剪贴板、文件同步与备份不在此防护范围。
• 三年后的可领取依赖服务持续运行、数据库与主密钥备份、主密钥版本保留/轮换和正确时钟。停服或密钥丢失可能导致无法领取。
• 公开ID状态查询会产生可关联性；无发件人数字签名、企业账号审批或独立安全认证。公钥须带外核对，口令丢失无法找回。