H3.05.3confirmation reserved for irreversible high-stakes设计
确认应保留给不可逆且高后果的操作
别名: 确认预算 · irreversible confirm · 高后果确认
概念解释
确认在恢复体系里是稀缺资源，只留给做完没有对等撤销、并且做错代价高的动作：销毁唯一原件、对外转出资金、把机密改成公开。可逆的低代价动作占用确认，既打断成功路径，又稀释真正危险那一次的注意力。这条给出确认还该留下的条件，不谈它为何会被点穿，也不谈它拦不住手滑。
机制
确认的全部价值是强迫一次对对象与后果的再判断。再判断有成本，人只在觉得「这一下收不回来」时才付。不可逆把「收不回来」变成事实；高后果把事实变得值得付。两个条件缺一，确认就没有保护对象：可逆则事后纠正更便宜，低后果则再判断的收益低于打断的成本。把确认铺在日常动作上，等于把稀缺的判断力花在不值得的地方，真正需要判断的动作便与日常动作长成一张脸。
边界
法律或审计强制「必须再点一次」时，确认可能去不掉，但仍应满足不可逆或高后果，否则只是合规装饰。能拆成两阶段的高后果（先停用再销毁、先私有再公开）应把确认放在最后那一刀，而不是每一步都问。对专家短时间重复同一不可逆动作，第一次确认之后可以提供「本次会话不再问」，前提是后果仍能从别处追回或审计。危险但可逆的操作（进回收站）用确认是双重收费。
怎么落地
- 给每个确认打两个钩：有没有对等撤销、做错的代价是否高。两钩不能同时打上的，确认删掉。
- 留下的确认必须让人核对对象名和不可逆的那句后果，按钮写动作本身。
- 能改成停用 / 归档 / 草稿的，先改流程，再考虑要不要确认。
- 验证：把产品里所有确认列成表，对每一行写「挡住的是什么」。答案若是「防手滑」或「显得谨慎」，这一行就不该存在。