私密的个人设备辅助交互能把敏感操作从公共视线中移开
别名: 手机辅助公共屏 · 私密通道 · second-screen input · private companion
概念解释
在车站大屏上输入证件号、选有病耻感的科室、确认一张带姓名的票，路过的人和操作者看的是同一块玻璃。用私密的个人设备辅助交互（personal-device input offloads sensitive public actions）是把这些步移到本人手机或可穿戴上完成，公共屏只留不指向个人的状态——车次还在、座位还空、下一班几点。它针对的是「动作本身被围观」这一层表演成本，不是跨设备如何同步任务，也不是会话结束时怎么清痕迹。敏感的是操作过程：键入、勾选、签字，而不仅仅是结果会不会留在屏上。
机制
公共屏的可视锥比手机大一个数量级，肩窥几乎不需要凑近。键入和选择还会把注意力钉在操作者身上：人在大屏前戳来戳去，旁观者知道这里正在发生一件需要小心的事。手机把可视锥收到自己胸前，旁观者看见的是「又一个人在看手机」，这是已经合法的公共姿态。公共屏若仍镜像手机上的每一个字段，通道等于没换，只是多了一块更大的字幕。真正卸掉表演成本的是分工：大屏承担给所有人看的公共状态，个人设备承担只应本人看见的输入。配对过程本身若要当众扫一张含姓名的码、或大声念出验证数字，会把敏感又送回大屏。没有手机的人必须仍能在大屏上完成任务，否则这套分流会变成把不会用或没带设备的人当众暴露得更久。
怎么研究
把同一敏感步骤做成「全在大屏」与「输入在手机、大屏只显示非个人状态」，在有旁观者的点位比完成率、绕开该步骤的比例、肩窥未遂。现场还可问操作者「有多少人可能看见你填了什么」。
自变量：敏感字段在哪块屏上出现、大屏是否镜像手机内容、配对是否暴露身份。 因变量：该步骤的完成率与耗时、中途改去人工窗口的比例、旁观者能复述出的字段、主观被窥视。
实验室单向玻璃测肩窥，距离和动机都和车站不同。不要把「愿意用手机」直接读成减压成功——有人用手机只是因为大屏键盘难用。配对失败导致被迫回到大屏输入时，表演成本会比一开始就在大屏上更高，因为已经多绕了一圈当众操作。
边界
纯公共查询（下一班几点、出口在哪）没有个人字段可藏，分流没有对象。用户没带手机、电量耗尽、或拒绝扫码时，大屏必须能独立做完，不能把敏感步骤做成「仅手机」。监管要求当场在公共屏上确认签名或人像核验时，手机只能做前置准备，终态仍会暴露。儿童共用家长的手机，私密边界在家庭内部，不在路过者。投屏或镜像若把手机桌面整幅推到大屏，会把通知和无关会话一并暴露，比不分流更糟。
怎么落地
- 证件号、密码、病历选项、带姓名的确认放到手机；大屏只显示车次、队列、剩余座位这类不指向个人的状态。
- 配对用短时、无姓名的码或碰一碰，不要在大屏上打出用户名或验证码全文。
- 大屏保留一套完整的触摸或无接触路径，供没带手机的人使用；不要在敏感步突然变成「请用 App」。
- 验证：请未参与设计的人站在常见路过距离，看他们能否读出正在进行的敏感字段；改到手机输入后，同一距离应读不出内容，完成率不得低于大屏原路径。