H3.06.3friction does not replace undo设计
摩擦不能替代可恢复能力
别名: 摩擦与可恢复 · undo over friction · 不能替代撤销
概念解释
摩擦降低的是错误发生的概率，不降低错误一旦发生之后的代价。不能替代可恢复指：隔离、延迟、键入都做完了，若动作仍然不可逆，一次点穿或一次判断错误就会变成终态。可恢复是另一层——撤销、软删除、补偿——摩擦再厚也买不到这一层。这条划开两层，不讨论摩擦怎么分级，也不把撤销窗口的细节写进来。
机制
摩擦与可恢复处理的是时间轴上不同的点。摩擦作用在动作前，假设人还会再看一眼；可恢复作用在动作后，假设人已经错了。前一层的假设对熟练用户经常不成立，后一层才是失误的真实归宿。用更厚的摩擦去补「没有撤销」，是在加倍前一层的税，回避后一层的工程。点穿一旦发生，厚摩擦与薄摩擦的终态相同。只有事后仍能把世界拉回，概率层的失败才不是灾难。
边界
不可逆且无法补偿的动作（密钥已泄露、广播已发出）确实只剩摩擦和流程审批，可恢复做不到时必须说清，不能假装还有回收站。安全响应有时必须不可逆地扩大范围，这时可恢复会变成攻击者的工具。可恢复也有窗口和范围，但那不改变分层：先问能不能拉回，再问动作前要多厚的税。
怎么落地
- 每个破坏性动作先填「错了怎么拉回」；填不出对等拉回，才进入摩擦菜单，并在界面上写明不可逆。
- 已有回收站或撤销的动作，去掉与之重复的确认和延迟，避免双重收费。
- 事故复盘把「摩擦没拦住」和「拦住了但没有拉回」分开，前者改强度或手段，后者补可恢复。
- 验证：故意把摩擦走完并提交一次错误动作。若世界无法在约定时间内回到操作前，说明这条路径把赌注全押在了动作前，需要可恢复或需要把不可逆说得不能再清楚。