Z4.07.4Permission change notification设计
权限变更需要通知受影响的其他成员
别名: 权限变更告知 · 静默权限变更
概念解释
权限体系是活的：成员被移除、设备转为受限、管理员换人、访客到期。这些变更应当通知到受影响的人——不是出于礼貌，而是因为权限是共同生活预期的一部分：预期变了，人不知情，就会在使用的当下以失败的形式发现——「门锁对我没反应了」。这种发现方式没法区分「系统坏了」和「我被移除了」，前者让人报修，后者让人受伤。
静默变更把一个治理决定伪装成了一次技术故障。通知存在的意义，是让变更以信息的形态到达，而不是以拒绝的形态到达。
机制
为什么静默变更特别伤？三层。
发现时刻的最差叠加。 权限被用到的时刻，人正带着任务（进门、开灯、查看摄像头）——预期违背发生满负荷的认知与情绪背景下，人没有余力做「这可能是权限问题」的归因，第一反应是故障叙事（「又坏了」），报修一轮之后才发现是人的问题，挫败感翻倍。
变更的不可见源于结构的不可见。 权限本身在多数产品里就是设置深处的暗物质（成员多半说不出自己有什么权限）；变更发生在这层暗物质里，视觉与日常经验里没有任何对应物。没有可见性的东西，它的变化也不会被看见——这不是通知按钮的问题，是整个权限层缺一个「事件面」。
社交归因缺位。 被移出权限的人不知道两件事：发生了什么、是谁决定的。没有通知，这两个空位会被最坏的猜想填上（「是不是嫌我动太多」）。共同生活中，程序正义的一部分就是「影响我的决定要让我知道」——系统替管理者隐藏了这个动作，等于把责任也转嫁给了系统，而关系裂痕还是留在人之间。
边界
- 通知本身泄露信息。 告诉保洁「您的摄像头权限已收回」等于告知「我们要装摄像头给你看」——变更可见性与授予者的隐私意图冲突。存在正当的静默变更：涉及人身安全的场景（防止跟踪者感知到防护变更）里，通知是危险的。通知策略必须允许豁免，但豁免应留痕（系统侧记录，不暴露给对象）。
- 通知渠道要适配不同成员的设备使用习惯。 未成年成员可能没有手机与应用；老人可能不看推送。通知要有物理回退通道——在设备使用现场以本地消息呈现（「你的门锁权限已变更，联系家庭管理员」），让下一次使用成为送达时机。
- 管理员转移通知不可豁免。 所有权层面的变更影响全部成员，且是家庭治理最敏感的动作——这一条的通知必须是强制的、不可关的。
怎么落地
- 权限变更（移除、降级、角色变化、到期收回）触发双通道通知：应用推送 + 下次使用该设备时的现场提示。后者是送达率的保底。
- 通知内容给三要素：发生了什么、影响哪些设备、找谁问。第三项尤其重要——把归因从「系统故障」引向「可协商的治理」。
- 变更通知支持附理由（可选项）：管理者可以一句话说明，把变更重新放回协商语境。
- 管理员转移、全屋策略变更这类高影响操作走不可关闭的通知，并要求其他管理员确认知悉。
- 验证办法：把常见变更场景（移除一位成员、限制一台设备）做进可用性测试，测受影响成员能否在一分钟内说清「发生了什么、找谁」；说不清的比例就是通知设计的失败率。上线后跟踪「权限类报修工单」——静默变更被当故障报修的数量，直接度量通知缺位。