虚拟盘挂载原理 —— 解锁后为什么会出现一个新盘
虚拟盘 = 本地文件系统上的一层透明加解密
解锁保险库之后，你的系统会多出一个"盘"——在 Windows 上可能是 Z: 盘符，在 macOS 上出现在 /Volumes/ 下，在 Linux 上可以挂到 /mnt/cryptomator 或任意位置。这个盘就是解锁后的明文视图。
但它不是真实存在的磁盘。它是 Cryptomator 在内存里临时解密出来的虚拟文件系统。你在文件管理器里对它做的一切操作（打开、保存、删除），都会触发：
文件管理器请求 → Cryptomator 拦截 → 实时解密（RAM 中）→ 你的应用看到明文
文件管理器写入 → Cryptomator 拦截 → 实时加密 → 写回保险库密文目录硬盘上永远只有密文——解密数据只存在于你的系统 RAM 里，锁定后立即销毁。
三种前端：FUSE 系 vs WebDAV
Cryptomator 把这个虚拟文件系统提供给操作系统时，有两种路线：
FUSE 系（推荐，性能最好）
FUSE（Filesystem in Userspace）是一套让普通程序在内核外部实现文件系统的接口标准。Cryptomator 在三个桌面操作系统上使用 FUSE 系的驱动：
| 操作系统 | FUSE 驱动 | 安装状态 |
|---|---|---|
| Windows | WinFsp | EXE 安装包已内置，通常不需要你单独装 |
| macOS (Apple Silicon) | FUSE-T | 需要自己装（brew install fuse-t），Cryptomator 官方推荐 |
| macOS (Intel) | macFUSE | 需要自己装（从 osxfuse.github.io 下载 DMG） |
| Linux | FUSE 3 | 几乎所有发行版自带（apt install fuse3 或默认已装） |
FUSE 的优点是性能和原生文件系统几乎一样，缺点是需要管理员权限安装驱动。
WebDAV（兜底，零驱动依赖）
WebDAV 是 HTTP 协议的扩展，用来在网页上操作文件。Cryptomator 会在你本地启动一个只监听 127.0.0.1（本机回路） 的 WebDAV 服务器——外部网络访问不到它。操作系统通过 WebDAV 协议来访问这个服务器，Cryptomator 作为服务端做加解密。
WebDAV 的优点是任何操作系统都支持（Windows 的映射网络驱动器、macOS 的 Finder "连接服务器"、Linux 的 davfs2），缺点是性能略低于 FUSE，某些文件操作（比如随机写）可能更慢。
如果你的系统没装 FUSE 驱动，Cryptomator 会自动回退到 WebDAV 模式。你也可以在设置里强制切换。
挂载点配置
每个保险库可以有独立的挂载设置。在 Vault Options → Mounting 里你可以调整：
| 设置项 | 说明 |
|---|---|
| Volume Type | FUSE（WinFsp/macFUSE/FUSE-T）或 WebDAV |
| Mount Point | Windows 下可选盘符；macOS/Linux 可选目录 |
| Allow Other | Linux 下允许其他用户访问挂载点（默认否，安全起见） |
| File Content Chunk Size | FUSE 模式下的读取块大小，影响性能 |
Windows 上的盘符选择
在 Windows 下，Cryptomator 默认自动找一个没被占用的盘符（从 Z 往 A 倒序）。你可以在每个保险库的 Mounting 设置里手动指定盘符——多个保险库可以挂在不同盘符上，互不干扰。
macOS 和 Linux 没有盘符概念，挂载点是目录。macOS 默认在 /Volumes/保险库名称/，Linux 默认在你家目录下的某个子目录。
锁定 = 卸下挂载
当你点击 Lock 或自动锁定触发时：
- 虚拟盘立即从操作系统的文件系统里消失
- 所有 RAM 中的解密缓存立即清空
- 保险库目录里的密文文件原地不动——没有被删除也没有被移动
云盘同步仍然可以继续进行，但同步的只有密文。任何能访问你的云盘的人，在锁定状态下都只能看到 5TyvCyF255sRtfrIv...83ucADQ==.c9r 这样的密文文件名。