服务器保存的是附件密文，但你点击“下载”后，客户端必须在本机解密，才能交给浏览器保存或打开。从这一刻开始，下载目录中的文件不再受到 Vault 加密保护，需要按照普通敏感文件处理。
Blob 地址不是一次新的网络下载
详情页预览或下载时，浏览器可能生成 blob:https://... 地址。它指向当前页面在本机内存中创建的临时对象，不是公网 URL，也不会让第三方服务器重新获取附件。页面关闭或应用释放对象后，这个地址会失效。
Blob 生命周期影响浏览器内存，但真正长期存在的是你保存到磁盘的文件。清除浏览器下载记录只会删除列表，不会删除下载目录里的内容。
分清加密导出和明文导出
用于迁移的 JSON 或 CSV 通常包含可读密码、网站、备注和其他字段；普通附件下载也会得到原始明文文件。加密备份则保留密文与恢复结构，适合长期保存，但仍要保护其解密材料。
导出前先看页面说明，不要根据文件扩展名猜测是否加密。压缩成 ZIP 并不等于加密，重命名文件也不会改变内容。
保存期间减少副本
选择不参与个人云盘自动同步的受控目录，避免在桌面、下载目录、邮件附件和聊天软件中产生多份副本。需要临时传输时，使用经过验证的加密容器，并通过另一条渠道保管密码。
操作系统预览、解压工具和办公软件有时会创建临时文件或最近访问记录。共享电脑上不要直接预览敏感附件；完成操作后关闭相关应用。
完成后清理实际文件
确认导入、迁移或提交已经完成，再删除磁盘上的明文文件，并清空回收站。检查浏览器下载目录、解压目录、云盘同步目录和备份软件是否留下副本。固态硬盘上很难承诺物理覆写，因此最可靠的基础仍是启用整盘加密，并从一开始减少明文落盘。
如果文件需要长期保留，应把它重新放回受保护的 Vault，或保存为经过验证的加密备份。不要把长期明文文件当作“临时导出”留在下载目录里。