安全措施的摩擦会促使用户寻找规避路径
别名: 安全规避行为 · security workarounds · friction backlash
概念解释
安全措施的摩擦——记忆负担、等待、额外步骤——不会消失，只会被转移：用户会找替代路径。贴纸条、共用密码、秒点警告、推迟更新，这些安全规避行为（security workarounds）不是用户的错误，是摩擦的产物；把规避当「用户素质问题」处置的组织，会反复加固又反复被绕过。
机制
用户的目标是完成任务，安全是任务上的约束。摩擦抬高完成成本，规避是成本最小的路径——用户不权衡安全后果，因为安全收益本来就不在他们的目标函数里。规避形态有规律：重复性负担（记多个口令）催生复用与写下；中断性负担（二次验证的等待）催生降级与关闭；不确定性负担（看不懂的警告）催生一律点「允许」。关键证据是规避并非无知：懂安全的人同样规避，只是理由更讲究——规避是理性适应，不是能力缺陷。摩擦因此是安全设计的一部分：每一分不必要的摩擦都会在真实使用中兑换成一条绕行路，而绕行路的终点往往比原路径更不安全。
怎么研究
经典范式来自现场研究：访谈加观察还原真实工作流，定位安全要求与任务流的冲突点；密码复用研究用泄露库比对量化复用率与结构；警告处理研究用日志与眼动测「秒点允许」的比例。常见自变量是摩擦类型（记忆/中断/理解）与频率，因变量是规避发生率与安全状态劣化程度。方法论注意点：自报问卷系统性低估规避——承认规避等于承认违规，结论要以行为与痕迹数据为准。
边界
规避不该被一概消除：组织里部分规避是用户对过度僵化策略的合理反馈，本身就是策略改进的信号源。降摩擦有下限——认证强度与审计要求有合规底线，不是所有摩擦都能删。个人与组织场景的规避形态不同：个人用户对自己负责，规避直接兑换成个人风险；组织用户在群体里行为，规避会传染（跟着同事学），一枚贴纸会变成一个部门的习惯。
怎么落地
- 设计前做摩擦预算：列出安全流程的每一步（记忆、输入、等待、理解），逐项问「删掉会损失什么」，答不出具体损害的不留。
- 按频率分配摩擦：每日登录压到最低，低频高危操作（改密码、新设备授权）集中摩擦。
- 把规避信号当仪表盘：密码重置率、2FA 关闭率、警告点击时延——读数升高说明摩擦过高，不是用户素质下降。
- 验证：摩擦削减前后对照安全状态——关闭率下降且认证失败率不升，才证明削减没伤到防线。