对外与不可逆动作需确认
别名: 不可逆动作确认 · 对外动作门槛 · human-in-the-loop for consequential actions
概念解释
两个维度把动作推出自动执行的安全区时，需要一道人工确认：一是不可逆——动作一旦执行无法撤回（发送、购买、删除、开锁、呼叫）；二是对外——后果越出用户本人，进入他人的视野或影响他人（替你发出消息、开门让快递进入、把家里的画面传出去）。自动化等级研究的经典结论是：失效后果越重的功能，人的授权环节应越靠后、越显式——确认就是那个授权环节。
确认的必要性常被误解为「防错概率手段」——多问一句减少错误。这低估了它：确认的更深层功能是责任转移的仪式。动作由系统发起、经人确认，责任才落在「人批准过的系统行为」上；没有这道关口，每一次不可逆错误都是系统单方面替人做的决定。
机制
不可逆动作的错误成本没有撤销通道来摊薄：错误概率 × 全额后果，一次结清。确认的价值是把最后一步的判断权交还给能看见当下情境细节的人——系统不知道你此刻正在跟谁聊天、这单买不买得起、门开给的是不是预期的人。这些「最后一米的情境知识」不进任何模型，只存在用户脑中。
对外维度另有一条机制：同意主体的错位。动作的发起者（用户或系统）与承受者（他人）不一致时，自动化绕过了承受者的同意。确认至少保证有一个在场的人为这次越界背书——这也解释了为什么「涉及他人」需要比「仅涉及自己」更高的门槛，那是兄弟条目处理的主题。
确认并非没有代价，它的失效模式是习惯化：重复出现的确认会训练出肌肉记忆式的「好」——用户不再读内容，只按最后一个按钮。此时确认在统计上还在，在功能上已死。确认的有效性取决于它的稀有性：天天确认等于没有确认。
怎么研究
- 等级模型的证据：Parasuraman、Sheridan 与 Wickens 的框架及后续实证把「决策选择」与「行动执行」环节的人工保留与任务后果关联起来——后果升级时保留人工授权提升整体绩效；这是确认门槛的参照结论。
- 确认疲劳研究：重复警告的响应退化（warning habituation）在安全人因研究里是成熟课题——确认对话框的点击自动化、警报的「合规性盲点」都有对应文献；对短信/邮件确认的现场研究同样发现绝大多数确认未经阅读。
- 生态 Momentary 研究：在真实使用中用经验取样捕捉「确认时刻的注意力状态」，检验用户是否真的在读。
方法论注意点：确认的价值不能在单次实验里测——被试在实验里读确认（新鲜、被监控），在野外盲点（重复、无人看）；把实验室的确认遵从率外推到产品，会高估保护效果一个量级。
边界
- 确认不是免费的挡板。 在错误率极低、后果中等的场景，每单都确认的累积打断成本可能超过错误期望成本；门槛高低应随后果量级连续调整，而不是二值的「确认/不确认」。
- 确认挡不住「用户按错了」。 若错误发生在确认之后（用户误读、误触「好」），门槛形同虚设；对最高后果的动作，确认之后还应给一次冷却时间或二次异质操作（输入、长按）。
- 对外维度上，本人确认只覆盖一半。 承受者（收到消息的人、被开门的访客）的同意是本人确认替代不了的；把「我确认过」当成对外动作的全部合规性，是越界自动化最常见的辩护词。
怎么落地
- 建立不可逆 + 对外双维度动作清单，凡命中任一维度的自动化路径，强制插入人工确认；两者皆命中（替你对外花钱）的，叠加异质确认（如确认时要求输入或生物识别）。
- 确认的内容要具体到这次动作的差异化信息（发给谁、金额多少、哪扇门），不复述模板句——模板是习惯化的温床。
- 控制确认的出现频率：同一动作短时间多次触发时合并为一次确认（「允许接下来 10 分钟内的三次」），用批量授权换稀有性。
- 验证办法：抽样检查确认时刻的实际停留时长与阅读行为（如埋点确认界面停留 < 400ms 的比例）；对高后果动作做「确认内容改动检测」——在测试环境随机改动确认里的关键信息（收件人、金额），看用户是否发现。发现率低说明确认已经只是仪式。