L4.11.4undo instead of confirm when reversible设计研究
可撤销的动作用事后撤回替代事前确认，总体成本更低
别名: 可逆用撤销 · undo replaces confirm · 不要给可逆动作弹闸
概念解释
动作若能在事后完整回到原状，事前弹闸就是在用所有人的注意力，给一次很少发生的后悔买保险。可逆动作用撤销（undo instead of confirm when reversible）把防护从执行前移到执行后：先做，留一扇清楚的撤回窗，撤回必须真的回到原状。总体成本更低，因为大多数时候人根本不会撤回，也不必先读一次对话框。
给「加标签」弹确认，是在消耗本该留给「付款」的防护力。
机制
确认的代价是每次都付；撤销的代价是后悔时才付。可逆动作的后悔率低，期望代价落在撤销一侧。确认还有习惯化的负外部性：它让高后果闸变便宜。把可逆动作从确认名单拿掉，既减次数，又给分级腾出重档额度。前提是撤销是真合同：状态可恢复、窗够长、人找得到入口。假撤销（只改了界面徽章、外部系统没回）会把这条处方变成漏洞。
对外动作即使能删，社交上往往不可逆，不走这条处方。
怎么研究
同一可逆动作（改草稿、打标签、移到文件夹），比较事前确认 vs. 事后撤销窗。因变量：错误动作最终留下的比率、每人每次的耗时、高后果闸在同一会话里的拦下率（看外部性）。自变量：撤销窗时长、入口显著性、撤销是否真回原状。
要同时看本动作的安全性和高后果闸是否被救回来。只看本动作会得出「确认也行」的假象。
边界
撤销窗短到人来不及发现错误，处方失效，应加长窗或把该动作升档。协作里他人已经基于新状态行动，技术可逆变成社交不可逆，按对外处理。分级决定档；这里决定可逆档的默认手段是撤销而不是轻闸。名单上哪些算不可逆/对外，是确认资格问题，不是手段选择。
怎么落地
- 工具表里标为可逆且对内的，默认不做事前确认，做完后给出时限内的撤回，撤回接到真正的逆操作。
- 撤回入口跟在结果旁边，不要只进历史。时限按人发现错误的节奏给，不按动画给。
- 验证：让人故意做一次可逆错误，看能否不靠工程师回到原状。回不去，撤销就是假的，确认不该被拿掉。再数拿掉这些确认之后，高后果闸的停留是否回升——回升了，总体成本才算降下来。