我想在飞牛 OS 上开发一款第三方加密资源存储器，想问一下佬们一些技术细节。

自从 gpt5.4出来后我基本一直在 vibe codeing。感觉项目的编写能力已经退化了。因为一下原因我需要将nas 一些资源进行加密，然后登录密码后可以在线预览。但是相关的技术思路我还是不太清晰。目前我的想法是这样的：

应用密码加 TOTP 种子通过Argon2id派生主密钥KM，KM解密DEK，DEK再解密每个文件的独立FEK。

防爆破打算将错误计数存在加密数据库里，失败次数过多则锁机禁止登录。

最后添加设备绑定功能：/etc/machine-id + CPU序列号 + 存储UUID混合作盐，数据库迁移也无法打开。

现在还有几个问题就是

1.如果更换硬件或者设备损坏那么数据库无法其他文件直接作废。这个有什么解法吗？

2.Argon2id参数设置多少不会对 NAS 性能造成影响

3.这种加密方式的安全性提升大吗？在家庭环境下有这个必要吗？会不会过度设计？