权限场景
不相关权限请求的停止和截图规则
先停止操作，再只截取非敏感触发证据。 本文给出可复核步骤、状态边界、脱敏记录方法与复核路径。
当一个只读任务突然索取通讯录、精确定位、麦克风、相册全量访问或设备管理权限，最重要的动作是停止，而不是为了看后续界面先点允许。异常权限停止需要同时保留足够证据与最少数据：说明原任务、触发动作、提示原文和取消路径，但不把通知、账号、相册缩略图或设备标识一并截入。本文给出安全停机与脱敏截图规则。
“阅读文字却请求存储”是合成案例，只验证流程能否识别任务不匹配，不代表华体会当前页面发生该行为。真实异常必须绑定设备、外壳、版本、地址状态、时间和连续步骤；任何核心证据缺失时写UNKNOWN，不据此指控主体。本站为独立研究记录，不下载、不登录、不绕过告警；证据不足时不作现实行为结论，未覆盖环节标为UNKNOWN。停止卡还需注明是否有安全退出和系统后态，以证明取消没有悄悄改变权限。截图编号必须与拒绝动作时间连续对应，并由复核者检查。
以当前任务判断相关性而非凭权限名称
先写用户正要完成的可见任务及其最小数据需求。例如阅读公开文字通常不需要通讯录，选择本地图片可能需要文件选择器但未必需要全盘存储。判断依据来自任务步骤、页面明确解释和系统提示，不能只因权限常见就视为合理。若功能目的本身不清楚，相关性栏写UNKNOWN并采取更保守的取消。
同一权限在不同任务中相关性可能不同，因此异常记录不能脱离触发上下文。定位用于展示附近内容与用于普通导航不是同一情境；麦克风用于明确的语音输入与页面加载时弹出也不同。测试者不评判运营动机，只描述“当前任务未见需要该能力的步骤”，把进一步判断留给有证据的审阅。
- 相关性绑定当前任务与最小数据
- 目的不清时选择取消并写UNKNOWN
- 记录描述现象而不推断动机
在授权前立即冻结安全前态
权限提示出现后不点击允许，也不切换到可能刷新页面的操作。先记动作号、系统时间、页面标题的非敏感部分、容器名称和提示层级。若系统允许截图，截取对话框与其后有限上下文；若禁止截图，抄录按钮原文并由第二人见证。不要为了更清晰关闭系统保护或启用调试叠层。
冻结前态还包括检查是否有屏幕录制正在捕获通知和密码管理器提示。发现敏感覆盖层时先停止录制，再用手工记录，不重新触发可能有风险的请求。地址中含令牌、查询标识或会话段时只保留主机和合成路径，敏感值用不可逆占位符替换，原值不进入证据包。
- 允许按钮在证据冻结前不触碰
- 系统禁止截图时不绕过保护
- 地址令牌与会话段不进入附件
使用取消拒绝或关闭完成停机
优先选择拒绝、取消或关闭，记录按钮原文与后态。如果提示没有安全取消路径，可使用系统返回或关闭容器；若页面阻止退出，进入系统任务切换器结束当前窗口。不能使用“高级选项”继续，也不能跳到设置页打开权限。每个动作只执行一次，连续狂点会破坏时间线。
停机后确认系统权限开关没有改变、后台录音定位指示器未出现、没有新文件落地。检查只在系统可见状态页进行，不安装扫描工具。若发现权限已在提示前获得，记录为既有状态并从专用测试配置重新开始；不要擅自更改个人设备上的原有授权。
- 优先通过拒绝取消或关闭退出
- 不进入高级路径绕过提示
- 停机后核对权限与文件后态
裁剪截图以保留触发链而非隐私
证据组合通常需要三张：触发前的任务界面、权限提示、拒绝后的结果。每张只保留任务标题、按钮、权限原文和必要时间线标识，裁去状态栏通知、头像、联系方式、精确位置、相册缩略图和设备序列。脱敏在本地副本完成，原始敏感截图若无保存必要应立即删除，不上传到共享编辑区。
遮盖必须不可逆，不能只在图片上覆盖可移开的图层。导出后重新打开平面文件，放大检查边缘、缩略图与元数据；位置元数据和设备型号若不需要则清除。审阅者得到的是脱敏副本与处理记录，而不是原始个人画面。若裁剪后无法看出提示来自哪一步，就补一张合成重演，不恢复敏感内容。
- 三张图覆盖前态提示与后态
- 脱敏输出需平面化并复查元数据
- 共享区只接收非敏感副本
记录重复强迫与无退出路径
拒绝后若提示再次出现，按预定的单次重载、返回和重新进入分别计数，记录间隔与遮挡范围。不要无限重试；达到停止阈值后关闭容器。页面文案若暗示必须授权才能阅读公开内容，保存原文但不接受。频繁程度用可重现次数表达，不写情绪化的“总是强迫”。
若退出按钮被遮挡、返回键被拦截或系统选择器循环，录下最短复现步骤和安全退出方式。关闭后不再访问同一路径，待审阅者检查。无法确认是网页、宿主还是系统策略造成的循环时，原因栏保持UNKNOWN。停止记录不是兼容失败证书，只是说明测试因安全边界没有继续。
- 重复提示有次数间隔与停止阈值
- 不因文案施压而授予权限
- 未知拦截层不做主观归因
把设备管理配置与文件请求列为高危分支
任何要求安装配置描述、根证书、远程管理工具、未知应用或关闭浏览器保护的提示，都超出普通移动兼容测试。不要下载文件查看内容，也不要扫描二维码进入替代路径。记录可见文件名的非敏感部分、提示类别和停止时间即可，地址证书不一致时立即关闭页面。
若系统已经开始下载，取消任务并从下载列表删除未打开文件，记录文件是否实际落地与删除动作；不要运行或上传样本。测试设备若属于组织管理，应通知设备所有者，不自行解除策略。安全处理结果与页面功能结果分栏，避免“文件已删除”被误读成页面问题已解决。
- 配置证书远程管理请求一律停止
- 未知文件不打开不上传
- 组织设备策略不由测试者解除
形成中性异常卡并保留复核边界
异常卡包含任务、触发动作、权限原文、提示层、停止选择、系统后态、脱敏证据和未决问题。标题保持描述性，例如“公开文字步骤出现存储提示”，不使用未经证明的恶意或安全结论。每项观察限定到样本与时刻，页面相似、名称接近或一次重现都不能扩展为主体长期行为。
第二名审阅者检查截图是否足以连接前后动作、脱敏是否完整、停止是否发生在授权前。缺少任何关键环节时降为UNKNOWN并列待补项，不要求重演危险步骤。页面无外部入口、安装文件和身份保证，也不暴露内部路径或参与者名称。整个材料仅供独立研究复核，缺少连续证据的环节继续标为UNKNOWN。
- 异常卡使用中性描述不推断恶意
- 脱敏与停止时点接受独立复核
- 危险步骤不为补证而重演
- 缺证据项继续标明UNKNOWN
