P4.04.6Universal design for vulnerability设计
对全体生效的克制比识别后差别对待更稳妥
别名: 通用防护 · universal safeguards · curb-cut effect
概念解释
面向脆弱的通用防护（universal safeguards）指把保护措施做成对全体用户默认生效的属性——所有大额操作都有冷静期、所有订阅都明示扣费与退出、所有误导性手法都不存在——而不是先识别出脆弱人群再对其区别对待。判别标准是保护是否需要以「先知道你是谁」为前提：需要的就是差别对待，不需要的就是通用防护。通用防护的收益通常还会外溢（路缘坡为轮椅设计，拖行李箱与推婴儿车的人都在用），这被称为路缘坡效应（curb-cut effect）。
机制
通用防护在三个维度上更稳妥。识别维度：差别对待的前提是识别不出错，而识别必然有假阴性（该保护的人没被认出）与假阳性（不该被特殊对待的人被标记），两类错误的代价都落在用户身上；通用防护没有识别环节，就没有识别错误。数据维度：差别对待需要维持脆弱画像，引入检测悖论里的采集、泄露与挪用风险；通用防护不产生这类数据。状态维度：脆弱是情境性的，一个人上周不需要保护不代表这周不需要，差别对待按人建档，天然跟不上状态；通用防护按行为触发（大额即冷静期），谁进入情境谁自动被覆盖。最后是污名维度：被单独标记的用户知道并被知道，通用防护对所有人一视同仁，不制造「被管理的群体」。
边界
通用防护有真实成本：为最弱状态设计的确认强度会让最强状态的用户多走步骤，克制过头即变成摩擦，可能反过来诱发绕过。因此克制项要分级：零成本项（不使用误导手法、明示价格）无限适用；有成本项（冷静期、双重确认）按金额与不可逆性分级触发，而不是按人触发。另有一类保护确实无法通用（需要人类客服回访的高危操作），差别对待仍会存在，但应作为通用防护之外的补充而非替代。
怎么落地
- 保护需求评审时先做「通用化测试」：这条保护能否改写为按行为/金额/场景触发、对所有人生效的形式？能则不建人群识别。
- 把误导性手法的禁用做成全局规范（倒计时真实性、价格全展示、退订同路径），不设「仅对脆弱用户关闭」的开关。
- 有成本的克制按分级矩阵落地：以操作金额与可逆性两轴决定确认强度，矩阵写入交互规范。
- 验证：统计差别对待类保护的覆盖缺口——识别未覆盖到的伤害案例数；若显著，说明依赖识别的方案正在漏人，把对应保护改为通用触发。