本地文件加密怎么用：拖进去、设密码、得到一个 .enc

加密的本质是「密钥只在你这」，所以最安全的加密工具是那个根本没有服务器的。这个页面没有后端、没有上传接口，文件在浏览器内存里被读、被加密、被写回下载——中间没有任何网络请求。

操作只有三步

1. 把文件拖进虚线框，或点「选择文件」。支持任意类型（文档、图片、压缩包都行）。
2. 输入密码，切到「加密」，点开始。
3. 处理完成后下载生成的 .sisenote.enc 文件。

解密是反向的：把 .enc 文件拖回来，切到「解密」，输入同一个密码，得到原文件。页面会先校验文件头的魔数与版本，不符合格式会直接提示，不会误当成别的文件处理。

为什么用 .sisenote.enc 这个容器

一个加密文件需要同时携带「解密所需的参数」和「密文」。参数（盐、迭代次数、分块大小）如果让用户自己记，等于把可用性做没了；所以它们写在文件头里，加密时自动写入、解密时自动读取。

但同时要防止有人改文件头——把迭代次数从 60 万改成 1000 会让暴力破解容易得多。解决办法是把文件头也纳入认证范围（作为 AES-GCM 的附加认证数据），改一个字节就解不开。

自定义扩展名而不是 .enc 或 .aes，是为了不与别的工具混用——看到这个后缀就知道该用这个页面解。

文件名也会被加密

原始文件名、MIME 类型与文件大小被组织成一段元数据，和文件内容一起作为明文被加密。所以在文件头里看不到原文件名，只有先解密出元数据，才知道它原来叫什么、是什么类型。

这一点常被忽略：很多「加密」工具只加密内容，文件名裸露在外——一份叫「2026 年裁员名单.xlsx」的加密文件，光看名字就泄露了关键信息。

什么时候该用它

• 发给别人一份敏感文件：用这个加密，密码通过另一个渠道（电话、当面）告知。
• 放到云盘前先加密：云盘泄露时拿到的是密文。
• U 盘 / 移动硬盘里的敏感资料：丢了也不至于直接泄露。
• 临时归档：给一段时间的资料加一层保护。

不适合的场景：需要多人协作编辑的文件（加密后无法协作）、需要定期自动备份的资料（每次都要手动输密码）。