B3.05.3High-Consequence Action设计
高后果操作需要额外确认或延迟
别名: 危险操作 · 二次确认 · 冷静期
概念解释
当动作会影响钱、健康、法律关系、公共发布、大批数据或难以恢复的权限时，单次点击不足以构成有意识的承诺。高后果操作（high-consequence action）需要预览、读回、二次确认、延迟执行或撤销窗口，把决定从肌肉记忆升级为明确判断。
机制
熟练用户依赖动作自动化，因此最危险的操作常被快速习惯触发。额外摩擦必须针对后果，而不是针对所有人平均增加步骤。有效延迟让用户看到影响范围、对象数量、不可逆原因和替代方案；确认内容应要求理解关键事实，而不是重复“确定”。时间与步骤也让误触、脚本错误和胁迫情境有中断机会。
边界
确认过多会造成疲劳和机械通过，反而降低安全。低频紧急操作不能设计成漫长流程；组织流程可能已有审批，界面不需要重复询问。自动化安全响应有时必须立即执行，但应留审计、通知和恢复。延迟也不能用来推卸系统应做的校验。
怎么落地
- 按影响范围、可逆性、法律要求和外部通知分级，只在高层级使用额外摩擦。
- 确认页显示对象数、关键条件、后果、执行者和恢复方式；必要时要求输入对象名或选择关键选项。
- 对批量删除、迁移和发布提供延迟执行与取消窗口，并通知相关人。
- 用误触和批量误配置演练验证：检查拦截率、确认耗时、放弃率和事后恢复成功率。