O3.17.1Lock screen notification leakage设计研究
锁屏通知预览可能在设备解锁前暴露敏感内容
别名: 锁屏预览 · 通知预览 · notification preview
概念解释
锁屏是设备上唯一长时间面向陌生人的屏幕，而通知预览默认把内容原文放在上面：验证码、会议邀请、病情消息、约会提醒。设备锁着，内容没锁——锁屏通知泄露指的是「设备受锁屏保护」与「通知内容绕过锁屏直接可读」之间的缺口。
机制
通知系统把「提醒到达」与「内容展示」打包成一次绘制，预览默认全文；锁屏保护的是交互入口，不是信息本身。泄露取决于两件事的乘积：内容敏感度与屏幕暴露时长/人群（桌面、口袋外露、共用空间）。消息类应用最重，因为内容原文本体就是敏感数据本身；验证码类最危险，因为锁屏预览等于把第二因子展示给任何看得到屏幕的人，双因素在这个瞬间退化成单因素。系统的解法是分层呈现：「应用名 + X 条新消息」的脱敏预览、按应用配置预览等级、解锁后补发完整内容——把「何时展示什么」的决定权从通知默认值移交给按敏感度配置。
怎么研究
范式：现场研究给被试的锁屏截图编码敏感内容出现率，量化真实暴露面；实验室或在线实验操纵预览等级（全文/计数/隐藏），测量对响应时延与漏读率的影响——脱敏的可用性代价；肩窥模拟实验测量旁观者从预览中正确重建敏感信息的比例。变量：预览等级、内容类型、锁屏时长。注意点：用户自报的敏感度与实际泄露内容的相关弱——人们不认为自己的消息敏感，这使默认值比设置项更决定暴露面。
边界
脱敏预览的代价真实存在：摘要层级会漏掉可操作信息（验证码本身必须显示才有用，但显示在锁屏上就等于泄露），验证码类通知的正确解法是短时效加自动隐藏而非永久可读。组织设备（MDM）可以强制隐藏预览，个人设备只能靠默认值设计。智能手表与车载屏把通知复制到新表面，各表面的预览策略独立配置，一个表面的收紧不自动传导到其他表面。
怎么落地
- 敏感类通知（消息、验证码、健康、财务）默认脱敏预览，内容展示延后到解锁；验证码类配短时效自动清除。
- 预览等级做成按应用配置，但默认值按内容类目定，不指望用户逐个设置。
- 锁屏上提供一次性「查看此通知」手势，代价是显式解锁动作——保持敏感内容与解锁动作绑定。
- 验证：锁屏截图审计——采样真实用户的锁屏态通知（经同意），编码其中敏感内容可见比例；收敛目标是敏感内容可见率趋近零。