断网也能支付：TPWallet 离线优先支付手册

开篇：在没有公网连接的边缘环境，TPWallet必须保证交易的完整性与隐私，同时为线上复连做足准备。本手册以工程视角，给出从交易创建到最终上链的可操作流程和关键技术点。

一、目标与总体架构

目标：保证脱网场景下签名安全、交易可追溯、同步无缝。架构：本地事务队列 + 安全签名模块 + 网络代理层 + 同步引擎。

二、实时交易监控（本地层面）

1) 事件采集：所有用户操作写入本地不可篡改日志；https://www.lilyde.com ,2) 状态机：交易状态（draft、signed、queued、synced）驱动界面与告警；3) 指标：队列长度、签名失败率、估算费率。

三、网络数据与连接策略

脱网检测以多源心跳判断（Wi‑Fi、蓝牙、蜂窝、Mesh）；网络到达时使用差分同步（仅上传交易摘要与UTXO变更），避免重复数据。对大对象采用分片与校验和重传。

四、信息加密技术

采用混合加密：对称密钥用于本地缓存（AES‑GCM），私钥存于硬件隔离或受保护的Keystore；对外通信使用端到端公钥封装（ECIES），签名采用确定性ECDSA或EdDSA，支持可验证延时签名与PSBT流程。

五、私密支付管理

实现单次可见地址策略、支付码（BIP47风格）、最小化元数据日志；对隐私敏感动作在本地生成，并在同步时只上传必要UTXO参照，避免明文历史透出。

六、高效支付处理

费率由本地估算器基于最近同步的mempool快照预测，支持交易合并与批量广播；队列优先级规则保证实时性与成本平衡。

七、开源钱包实践

代码仓库应含可重现构建、审核日志与第三方审计结果；模块化设计便于社区贡献硬件适配、离线签名器和转发桥接。

八、详细流程（示例）

1) 创建交易 → 2) 本地校验UTXO与余额 → 3) 离线签名写入队列（状态：signed）→ 4) 等待网络（监控触发）→ 5) 连接可用时差分同步并广播摘要→ 6) 链上确认后标记为synced并清理本地敏感数据。

九、未来前瞻

朝向离线优先、Mesh互联与量子抗性签名演进，同时加强可审计性与隐私保护的平衡。

结尾：TPWallet在“无网”并非停止，而是把可信、私密与效率在本地完成；当网络恢复，系统平稳地把离线劳动转换为链上价值。