先明确钱包与子钱包的边界
“数字人民钱包”和“子钱包”在实际系统中可能对应不同的账户、支付工具或授权层级。仅凭名称不能判断其密钥保存方式、权限模型、是否支持自动扣款，也不能据此认定某项功能已经具备。检查时应先确认：子钱包由谁创建，是否依附于主钱包，能否独立收款或付款，授权主体是谁，以及注销后相关权限如何处理。
通用钱包系统通常包含收款信息管理、交易签名或授权、网络通信等相互配合的部分。安全检查不能只看用户界面，还要核对后台是否把查询、收款、付款和管理权限分开。若一个子钱包只应服务于特定场景，就应限制其可调用的账户、商户、金额范围或交易类型，避免“子账户”实际拥有主钱包的全部能力。
身份认证与授权检查
WebAuthn的基本安全思想是使用与特定网站或服务范围绑定的公钥凭据完成注册和认证，私钥由认证器保护，并要求用户同意或完成设备解锁操作。将这一原则用于钱包安全检查时，应确认登录认证、敏感操作确认和交易授权是否被区分，不能把“已经登录”简单等同于“已经同意付款”。
需要检查认证凭据的绑定范围、注册流程、撤销流程和异常设备处理。新增手机、浏览器或安全设备时，应有清晰的用户确认；删除设备、修改支付权限、恢复钱包时，应触发更高强度的验证。对于生物识别、PIN或设备解锁等方式，还要确认它们是本地解锁凭据还是服务端直接保存的秘密，避免误解其保护边界。
多设备使用时，应建立可核对的设备清单，并支持用户查看、停用和重新注册。认证器可以是设备内置组件，也可以是通过USB、蓝牙或近场通信连接的外部设备；因此，检查重点还包括连接设备是否被冒用、提示信息是否明确，以及用户是否能辨别当前授权对应的服务和操作。
子钱包权限与自动扣款风险
子钱包最需要关注的是权限是否过宽。对于代收、缴费或其他预设用途，应检查是否能够限定可用场景、收款方、授权期限和额度规则。授权应当可查询、可暂停、可撤销，并明确撤销后的生效时间。若系统无法展示当前有效授权，用户就难以及时发现长期有效或不再需要的支付安排。
自动扣款或免密支付尤其需要交易前后的可追溯性。用户应能看到授权对象、用途、频率、金额规则和最近执行记录；发生失败、重复扣款或异常扣款时，应保留足够的通知与申诉信息。这里的检查要点是控制和审计能力，不代表所有钱包或子钱包都一定支持这些功能。
设备、网络与密钥保护
通用数字钱包的一个核心风险是私密凭据落在联网设备上后，可能受恶意软件、系统漏洞或钓鱼程序影响。加密存储可以降低设备丢失时的暴露风险，但不能完全防止解锁口令被窃取，也不能保证已解密凭据在运行内存中不被读取。因此，应检查敏感凭据是否由安全硬件、可信执行环境或专用认证器保护，以及应用是否避免以明文保存备份材料。
对外部安全设备或离线签名方式，重点是核对待授权内容，而不是只看设备是否亮灯或连接成功。通用签名钱包的安全模型要求用户在签名前复核交易输出等关键细节，以防联网设备篡改收款对象。对应到支付钱包，应确认用户看到的收款方、金额、用途和渠道是否来自可信显示或可验证信息，不能只依赖手机上可能被恶意软件替换的页面。
网络传输应使用受保护的通信链路，并对服务端、客户端和认证器各自承担的责任进行区分。认证协议安全并不等于整个钱包系统安全；网页或应用、操作系统、通信通道、后台交易服务和认证设备任何一环处理不当，都可能造成钓鱼、重放、越权或隐私泄露。
恢复、挂失与注销机制
钱包安全不能只看正常登录流程，还要检查手机丢失、设备更换、凭据损坏、误删子钱包和账户恢复等异常路径。恢复流程如果只依赖短信、弱口令或单一客服核验，可能成为绕过强认证的入口；如果恢复材料完全不可替代，又可能导致用户永久失去使用能力。系统应明确恢复所需凭据、等待或复核步骤、旧设备权限是否自动失效，以及恢复后是否通知用户。
挂失和注销应覆盖主钱包、子钱包、已注册设备、自动授权和未完成交易。检查时要确认注销操作是否具有幂等性，是否能防止旧会话继续发起敏感操作，是否保留必要的审计记录。涉及个人隐私时，还应了解哪些设备信息、交易记录和认证元数据会被保存，以及用户能否管理相关权限。
常见问题与适用范围
问：使用生物识别后是否就绝对安全？答：不是。生物识别通常用于设备或认证器本地解锁，仍需结合服务绑定、交易确认、设备安全和恢复机制判断整体风险。
问：子钱包是否一定比主钱包安全？答：不一定。只有当子钱包确实采用了更小的权限范围、独立的授权和可撤销的管理机制时，分层才可能降低影响范围；名称本身不构成安全保证。
问：离线或硬件方式是否可以完全避免风险？答：不能。它们可能减少联网设备直接接触私密凭据的机会，但用户仍需核对授权内容，保护PIN和恢复材料，并防范伪造设备、恶意软件和社会工程攻击。
本文依据通用公钥认证和钱包架构原则归纳检查方法。所列内容适用于评估数字钱包及其子钱包的产品设计、操作流程和安全控制，不应被理解为对某一具体数字人民币钱包产品实现细节的确认。