O1.04.3Privacy-preserving migration设计研究
版本更新不应静默放宽默认
别名: 隐私设置迁移 · 默认值漂移 · privacy regression
概念解释
隐私保护迁移（privacy-preserving migration）要求软件升级、功能重构或账户体系合并后，用户原有的保护水平不被无声降低。新版本可以增加设置和能力，但不能把此前关闭的处理自动开启、扩大旧内容受众，或借字段重命名把明确拒绝变成未选择。迁移后的状态应遵循用户既有意图，而不只是适配新的配置格式。
机制
更新过程通常由系统自动执行，用户合理预期它维持连续性，而不会重新审查所有数据流。配置迁移若只考虑技术默认值，缺失或无法映射的旧字段会回落到新用户预设，造成隐私回归。由于变化发生在后台且影响可能延迟出现，用户难以发现因果，更无法在第一次新处理前阻止它。
怎么研究
可构造覆盖各种旧设置、账户年龄和设备组合的迁移矩阵，升级前后比较有效权限、数据流、受众和留存规则。差分测试能识别配置值相同但语义改变的情况；可用性测试则检查变更摘要是否让用户准确预测新状态。只测试全新安装会漏掉迁移风险，平均状态也会掩盖少数高敏感配置的严重回归。
边界
安全漏洞修复可能必须收紧或替换旧选项，而服务停止也可能使原状态无法维持；这些变化仍需明确说明。旧选项与新模型不具一一映射时，应选择不扩大处理的保守映射或暂停相关功能，而不是猜测偏好。一次普通更新通知不等于新同意，尤其当拒绝会失去原本已购买或依赖的功能。
怎么落地
- 为每个隐私相关配置定义升级前后的语义映射和“不得更开放”不变量，而非只迁移布尔值。
- 对无法映射的状态采用最小处理并请求用户决定；在决定前不得启动新增采集或共享。
- 用具体差异说明谁能看到什么、哪些数据开始流动，并提供恢复原保护水平的一步操作。
- 建立旧版本状态夹具，自动升级后比较权限、网络、他人视图与留存；任何未获肯定选择的暴露增加都作为发布阻断缺陷。