A11.03.9Proxy operation and remote assistance scenarios设计
他人代操作与远程协助场景
别名: 代操作 · 远程协助 · delegated access
概念解释
这条讲的是界面要不要、以及如何支持"由子女、护理人员等第三方代替本人操作或远程协助"这一使用模式，不涉及老年用户为什么会需要他人帮助——那既涉及能力衰退，也涉及技术经验差异，属于其他条目的内容。
机制
很多产品在设计时默认操作者就是账户所有者本人，账户体系、验证流程、隐私边界都按"单一本人使用"的模型搭建；但现实中相当比例的用户长期依赖亲属或护理人员完成部分或全部操作，这种代操作既可能是坐在旁边直接接过设备，也可能是通过远程方式指导或直接介入。当界面完全没有为这种模式预留空间时，代操作者要么被迫共享账户所有者的完整凭证（带来安全和隐私风险），要么每次都要重新走一遍只有本人才能完成的验证流程，两种情况都会增加代操作的摩擦，间接降低老年用户实际能获得的帮助质量。
边界
支持代操作不能以牺牲账户所有者本人的知情权和最终控制权为代价——如果代操作机制设计成第三方可以完全绕过本人、在其不知情的情况下完成任意操作，这本身构成了新的风险来源，尤其在金融类场景中可能被滥用。这条适配的目标是降低正当协助的摩擦，不是弱化整个账户的安全边界，两者需要同时满足而不是相互替代；也不是所有老年用户都需要或希望被代操作，把"允许被代操作"的入口做得过于显眼，可能让完全能独立操作的用户感觉被矮化。
怎么落地
- 提供可撤销、可限权的授权访问机制（例如授予特定亲属只读或分级操作权限），而不是要求共享主账户密码才能实现代管；
- 支持远程协助场景下的屏幕共享或引导式操作，且这类协助会话要有清晰的起止边界和授权确认，避免变成无限期的持续访问；
- 涉及金融、医疗等高敏感操作，代操作或远程协助环节要留下本人可事后查看的操作记录，而不是完全不留痕迹；
- 验证办法：设计一个真实的代操作场景（例如让子女远程指导父母完成一项设置变更），观察这个过程中是否被迫使用了共享密码、跳过验证或留下了长期未回收的访问权限，任何一项出现都说明当前设计没有真正支持这个使用模式。