K8.04.1screen mirroring privacy设计
镜像会暴露源设备的全部内容
别名: 屏幕镜像 · AirPlay 镜像 · 投屏隐私 · whole-screen mirror
概念解释
手机整屏镜像到会议室电视上，下一秒一条短信横幅、来电界面、解锁后的主屏文件夹都会被放大给房间里所有人。镜像暴露源设备的全部内容：像素被原样送到另一块屏，通知、锁屏、切换应用、认证框都不例外。AirPlay 播一部电影只送这一路影像；AirPlay 镜像送的是整块桌面。两者都叫「投到电视」，泄漏范围完全不同。这条管的是整屏复制的隐私半径，不是遥控器在哪台设备上，也不是线拔了之后谁继续播。
机制
镜像的工程含义是把源设备的帧缓冲拷走。系统没有「这一层可以镜像、通知层不行」的默认切割，因为切割等于再做一条合成管线。于是源设备上发生的每一件可见的事都成为共享事件：横幅、画中画、控制中心、无意滑到的相册。人的心理模型往往是「我在投这个应用」，与系统实际的「我在投这块屏」错位。错位在开始镜像的那一下还不显眼——当时全屏正是要给别人看的内容；几分钟后一条私人通知到达，泄漏已经完成。会议室、教室、客厅这些共享视野把泄漏从「另一块自己的屏」变成「一群人的屏」，半径突然变大。
边界
一个人把手机镜像到自己的显示器或汽车中控、现场没有旁观者时，暴露不等于社交泄漏，但仍会进行车记录或屏幕录制。受管设备可以在镜像时由策略压掉通知，家庭电视往往没有这条策略。把单一窗口或单一应用投出（窗口投影、应用内「仅投此视频」）不属于整屏镜像，不应套用同一套警告。源设备若已用专注模式彻底关掉横幅，镜像期间的通知面缩小，但不能覆盖解锁、应用切换、认证对话框这些仍然可见的层。
怎么落地
- 开始整屏镜像前用一句话标明「电视上将看到这台设备上出现的所有内容，包括通知和来电」，并提供「镜像期间暂停横幅」的开关，默认在检测到外接共享屏时倾向打开。
- 把「镜像整屏」和「只投当前影片 / 当前窗口」分成两个明确的动作，不要用同一个「投屏」按钮事后再决定送哪一路。
- 镜像进行中，源设备对即将全屏出现的认证框、相册、消息应用给出可推迟或可在源设备上本地完成的路径。
- 验证：在镜像到第二块屏的过程中分别触发一条短信横幅、一次来电、一次应用切换。第二块屏上出现的每一项私人内容，都应能在开始镜像时的说明或进行中的控制里被预见到；否则把该层从默认镜像里拿掉，或在出现前拦截。