O1.10.1Purpose-specific consent设计研究
单一总开关无法表达对不同用途的不同意愿
别名: 用途级同意 · 同意状态模型 · granular consent
概念解释
用途级同意（purpose-specific consent）把一个人的授权状态分别绑定到可区分的数据用途，而不是用“隐私同意：开/关”覆盖整个账户。同一人可以允许提供核心功能所需的处理，却拒绝广告、跨服务画像或模型训练。粒度不仅是界面上多几个开关，更是后台能够分别记录依据、版本、范围和撤回状态的数据模型。
机制
单一总开关把多维意愿压缩成一位状态，使系统无法判断一次接受覆盖哪些用途，新增用途也容易继承旧授权。用途级状态把授权与处理任务建立可执行关联：某一用途被拒绝或撤回时，只阻断对应作业，其他独立功能无需连带失效。若后台仍以账户级布尔值控制所有处理，界面上的细分选项只是无法兑现的表象。
怎么研究
可先通过卡片分类、访谈或离散选择任务发现用户认为哪些用途应合并或分开，再测试控制模型对偏好表达准确度、选择稳定性和错误配置的影响。系统审计需用不同用途组合的测试账户检查实际查询与任务。选项数量不是唯一自变量；目的可区分性、后果说明和功能依赖会共同影响用户能否形成稳定选择。
边界
用途不应按每次数据库访问无限拆分，否则用户面对的是实现细节而非有意义的决定。共同实现一个明确请求且无法合理分离的步骤可以作为功能单元，但营销、公开展示或第三方复用不能因共享同一字段就被归为必要。粒度也受适用处理依据限制：不是所有处理都应伪装成同意选项。
怎么落地
- 建立“用途—数据—处理任务—接收者—授权版本”映射，每个可选用途拥有独立状态。
- 以用户能预见的结果命名用途，并明确关闭后只影响哪些功能。
- 在任务执行点校验对应授权，而不是仅在设置页保存一个展示值。
- 生成覆盖允许与拒绝组合的测试矩阵，观察网络、队列和下游输出；任一关闭用途仍运行，或无关功能被连带关闭，都说明控制粒度没有真正实现。