C9.12.3Conservative default initiative with opt-in autonomy设计研究
默认主动性级别应保守，用户可以选择性授权更高自主的行为
别名: 保守默认 · 选择性授权 · 主动opt-in
概念解释
出厂或新账户上的隐式功能，应停在提示或建议，而不是直接执行。更高自主是选择性授权：用户在理解后果之后打开，而不是在安装向导里被一个总开关连带打开。默认保守，不是功能残缺，是把执行权留在人侧直到被明确交出。
机制
默认值会被绝大多数人保留。把默认设在执行，等于用惰性完成一次未知情的授权。生理隐式的证据用户本来就看不见，默认执行是在未知线索上签字。Opt-in 把学习成本放在真正想要高主动的人身上，让其余人停留在可预测的低主动。授权粒度必须对着行为：允许「自动亮灯」不等于允许「自动回复消息」。一次总开关会把不同代价的自主捆在一起，默认再保守也守不住。
怎么研究
比较默认执行 vs 默认建议、再加 opt-in 的转化与后悔。自变量：授权文案是否写出具体行为。因变量：保持默认的比例、打开更高主动后的关闭率、意外事件。安装向导里的强制选择（不选就不能用）不是 opt-in，应单独编码。长期留存比首日点击更能说明默认是否被理解。
边界
无障碍用户若把高主动当唯一通道，默认保守等于障碍；应为他们提供一次明确、可逆的高主动配置，而不是把所有人默认拉高。安全法规要求的自动切断可以保持执行默认，但必须从「便利性隐式」里划出。儿童账户的 opt-in 应由监护者完成。A/B 测试若只优化「自动完成率」，会把默认往执行推，与保守原则冲突。
怎么落地
- 新账户默认停在建议；执行级要单独的、写清行为的许可。
- 禁止一个「启用智能」总开关同时打开多条高代价自主。
- 授权可以随时降回默认，且降回立即生效。
- 验证：安装后不做任何设置，系统不得执行用户能感知的高代价动作；只有走完 opt-in 才出现。