L4.07.1irreversible and outward acts need confirmation设计研究
不可逆与对外动作需要确认
别名: 行动前确认 · pre-action confirm · 不可逆要闸
概念解释
代理要做的动作里，凡是做完退不回来的，或效果落在组织以外的，执行前必须停下来等人放行。不可逆与对外需要确认（irreversible and outward acts need confirmation）划的是哪些动作有资格要这道闸：删、付、发、改别人的权限、公布。本地可逆的草稿、预览、打标签，不在这张名单上。
名单按后果，不按「看起来重不重要」。对外发一封短邮件也在名单上。
机制
不可逆把补救从系统操作变成交涉：钱要追，信要收回，已公开的要解释。对外把状态写进别人的收件箱、银行、搜索引擎，技术删除不等于社交未发生。自动化把这些动作嵌进连续执行，人若不在跨越前停一次，跨越就变成默认。这和人在回路的「后果前闸门」是同一方向，但这里的工作是给代理的动作分类：哪一类必须有闸，哪一类闸反而是摩擦。
确认不等于授权。授权是这张票能不能碰到这类对象；确认是这一次碰不碰。两者都缺时，对外动作会从计划里直接漏出去。
怎么研究
把代理任务拆成不可逆/对外 vs. 可逆/对内，比较有闸无闸。因变量：有害对外动作被拦住的比例、可逆动作被多余闸拖慢的时间、人是否能说出「哪一类会停」。自变量：分类是否向操作者公开、闸是否可跳过。
分类任务本身可以做成卡片排序：给一堆动作，让设计者和用户标「要闸 / 不要闸」，看两边是否一致。不一致的那些就是产品风险。
边界
技术上可删但对外已经发生的，仍按对外处理——更细的「当不可逆对待」在确认的内容设计里展开，这里只要求这类动作进入名单。可逆动作用事后撤回更便宜，不要塞进这张名单来凑安全感。频繁确认会把闸磨废，那是名单过宽的后果，另说。闸上要写对象和后果，也另说。
怎么落地
- 列出代理会调用的全部工具，标上可逆/不可逆、对内/对外。不可逆或对外的，默认停，放行是显式的。
- 名单对操作者可见，并能随工具新增而更新。新工具未分类之前当对外处理。
- 验证：走一条含发信、改本地草稿、删生产数据的路径。发信和删必须各停一次，改草稿不得停。停的位置若在动作之后，名单就还没接到执行前。