个人信息不应显示在共享屏上
别名: 共享屏个人信息 · 肩窥 · 公共屏广播
概念解释
共享屏上的每一个像素都在对着在场的所有人广播。姓名、头像、消息、支付金额、病历号一旦画在这块玻璃上，就不再是「当前操作者的界面」，而是给围观者、后来者、对面行人的公开画面。这条讲的是共在几何：观看锥里站着谁，谁就能读到。它不是一条抽象的隐私原则，也不处理人走之后会话有没有清干净——那是离开之后的痕迹，不是多人同时在场时屏上正在给谁看。
机制
个人设备的默认观众是持有者，距离一臂、角度自选、别人要看必须凑过来。公共大屏把这些反过来：字号为远距而放大，观看角覆盖整片停留区，操作者无法用身体挡住全部像素。于是「我正在查自己的东西」在空间上等于「我把这份东西拿给这片空间看」。共在的人不必怀有窥探意图，内容自己送上门。
多人同时用会把广播放大。一个人的搜索词、一张人脸识别结果、一次登录成功，会成为其他人操作的背景。操作者往往高估自己对可见范围的控制——以为字小、以为别人在看自己那一侧——而大屏的排版是为最远读者服务的，近处的旁观者读得更清楚。电视共同观看里个性化推荐会暴露口味，公共大屏是同一几何的更硬版本：没有遥控器可以迅速切走，也没有「这是我家客厅」的成员边界。
怎么研究
肩窥与公共显示部署研究把「第三者能读到什么」当因变量：在操作者身后或侧向布置观察者，记录能读出的字段。共同观看研究提供对照——客厅里的个性化内容暴露——但公共屏的第三者是不特定的，成员关系更弱。
自变量：字段是否出现在共享表面、字号与观看距离、观察者相对操作者的角度、是否同时有第二名操作者。 因变量：第三者正确读出的项目、操作者事后以为别人看见了什么、因被看见而中止的操作。
实验室里的「观察者」若被介绍成同事，暴露的社交代价和街上的陌生人不一样。不要用操作者的舒适度自陈代替第三者的实际可读性——人经常不知道自己的屏幕在三米外仍清晰。
边界
完全公共的内容（班次、天气、展览说明）本来就是广播，谈不上「个人信息上了屏」。操作者主动把作品投到墙上供人看，广播是目的。一对一窗口机、有遮挡罩的取款界面，观看锥被硬件收窄，几何假设减弱，但仍要检查侧面。内容对操作者是个人的、对在场的家庭成员却是共享的（一起找路、一起点餐），「不要上屏」会切掉正当的共同任务；这时要分的是「这一群人」和「这一群之外的人」，不是「操作者 vs 全世界」。
怎么落地
- 默认假设观看锥里的每个人都能读到屏上全部文字与图像；个人字段（身份、通信、支付、健康、精确位置）不要在共享表面绘制。
- 必须核对的个人步骤放到操作者自己的手机或一块面向操作者、背对人群的小屏上，公共屏只保留这一群人共同需要的结果。
- 搜索框、登录态、推荐理由这类「关于我」的残渣不要作为公共画面的常驻层。
- 验证：请一名未参与操作的人站在典型旁观位置，列出他能读到的全部字段。任何一条对操作者是个人的、对当场任务又不是大家都需要的，就不该在那块玻璃上。