隐私与升级路径
无法复现时怎样提交最小非敏感纠错记录
只包含环境、步骤、错误文字和时间。 本文给出可复核步骤、状态边界、脱敏记录方法与复核路径。
故障无法复现时，提交纠错不需要完整设备档案，只需最小、非敏感且可比较的环境、步骤、错误文字和时间。表单可包含device_class、os_major、browser_major、network_category、host_label、reproduction_steps、visible_error、first_seen、last_tested和result。路径删除账号、会话与查询参数；Cookie、令牌、完整IP、序列号、个人截图和未知文件一律不上传。
步骤应编号并写实际观察，例如打开已核主机的脱敏路径、等待约定时长、看到某段错误，而不是只写打不开。记不清的条件填UNKNOWN，不为完整性猜测。无法复现并不否定先前观察，应同时保存最后一次出现和最后一次安全测试的条件。表单提交前提供脱敏预览，接收方只据此改进文档或安排核对，不宣称故障存在、已恢复或由某方造成。模板维护需要字段使用审计：每季度统计哪些字段真正帮助修正文档，长期无用途或经常泄露隐私的字段删除。接收方若请求补充信息，必须写具体诊断目的、允许的最低粒度和替代选项；用户可以继续填UNKNOWN。记录版本把原提交、补充请求、用户回复和编辑更正串联，任何一方都不能静默改写他人观察。无法复现案例应优先检查文字是否准确、等待阈值是否清楚和安全停止是否覆盖，而不是要求用户不断重试。若材料涉及证书、未知文件或高权限，纠错任务转安全路线并冻结普通复现。关闭任务时列已改内容、未验证事项和下次安全触发条件。
限定纠错记录要回答的问题
记录只需帮助判断现有排障说明是否缺步骤、错误文案是否变化、哪一协议层缺证据以及在何种条件下无法复现。它不是用户身份验证、服务器调查或安全事件全文。每个字段必须能对应一个编辑或复核问题。
若请求内容超出文档纠错，例如需要账户处理、付款核对、内部配置或设备远程控制，应停止并转到合适渠道。普通表单不索取这些资料。无法确定接收角色时先保留本地草稿，不向陌生地址发送。
- 每个字段都对应明确的纠错用途
- 账户与内部配置问题排除出普通表单
- 无可信接收渠道时不传播记录
使用匿名且足够的环境字段
device_class只写手机、平板或电脑，系统和浏览器只到大版本，网络写家庭、移动、办公受管或UNKNOWN。主机保留必要规范形式，静态路径可用占位表示。设备名、硬件型号、网络名称与地理位置不需要。
代理、VPN、自定义DNS和管理状态只写启用、停用、受管或UNKNOWN，不包含端点与策略。环境字段共同可能造成重识别时进一步泛化时间和设备类别。目标是复现方法，不是建立长期设备画像。
- 环境字段采用最低必要粒度
- 网络中介不披露端点和配置
- 组合字段接受重识别风险复核
把复现步骤写成可观察序列
每一步包含动作、等待条件和看到的结果，一次只描述一个动作。示例可以是打开已核对路径、等待固定阈值、浏览器显示某错误文字。不要包含密码、验证码、个人内容或点击安全告警继续的步骤。
步骤来自实际经历，不为让接收方成功而补想象。某一步记忆不清写UNKNOWN或范围估计。若复现需要关闭保护、安装内容、输入敏感资料或再次触发未知文件，就明确标不可安全复现并停止。
- 步骤包含动作等待与可见结果
- 记忆缺口用UNKNOWN而非推测补齐
- 不安全条件使复现正式停止
同时记录出现与未复现的时间线
first_seen、last_seen和last_tested分别保存，附各自环境版本。先前看到空白，后来同路径无异常，应保留两条观察，不把旧记录改成误报，也不把新结果写成永久恢复。时间精度只到纠错所需范围。
多次测试有不同错误文字时逐次列出，不选择最严重一条。环境不可比就明确差异。症状无法再次出现时root_cause与causal_link均为UNKNOWN，接收方仍可检查文档是否覆盖该表现。
- 出现和未复现事件分别保留
- 错误文字变化按实际顺序记录
- 未复现不自动否定先前观察
提交前执行字段级脱敏预览
预览按字段显示最终将发送的文字，自动扫描Cookie、认证头、长令牌、邮箱、完整IP、查询参数、设备名称和个人路径。截图需扁平遮罩并裁掉通知与浏览器资料；无法可靠处理就改用文字转录。
用户可以逐项删除非必要字段，并看到删除不会阻止提交的提示。某值是否敏感不确定时默认不发送。redaction_note只说明删除类别，不复述原值。未知文件和原始网络日志不附加。预览器同时检查附件文件名、图像元数据、浏览器个人资料和长参数串。删减后用合成接收流程确认仍能定位需要修订的步骤；若信息不足，只请求一个用途明确的最低粒度字段。提交者拒绝补充时记录UNKNOWN，不影响已有观察的保存。
- 表单提供逐字段最终发送预览
- 自动与人工共同检查敏感模式
- 脱敏说明绝不重复被删除内容
给接收方明确有限的处理边界
接收方可核对错误文案、补充分层说明、要求一个额外非敏感字段或标记暂不可复现。不能从最小记录推断用户身份、服务责任或当前可用性。需要更多资料时必须说明用途，并允许UNKNOWN。
处理结果通过correction_event追加，写改了哪段说明、依据何种观察和仍有哪些限制。原提交不静默重写。若材料显示安全触发器，普通纠错暂停，转入适当安全路线，不要求用户再次复现。接收方每次索取补充字段都记录用途、最低精度、替代选项和到期时间，用户可拒绝或填UNKNOWN。文档修订后用同一合成错误验证新步骤可读，却不要求提交者重新制造故障。关闭任务前检查附件删除、临时标签清理和公开摘要脱敏；无法证实的原因不写入知识库。字段使用率审计会移除长期无助于纠错的项目，持续保持表单最小化。
- 接收动作限制在文档核对和安全升级
- 补充字段请求必须说明具体用途
- 安全迹象出现后停止普通复现请求
验收最小化和可操作性的平衡
合成测试准备一份字段过多记录和一份过少记录，验证系统能删除身份资料，同时仍保留环境类别、步骤、错误和时间。再覆盖记忆缺失、无法复现、不同错误、安全停止和无可信渠道五类边界。
质量报告检查每个保留字段是否真正被编辑使用，长期无人使用的字段从模板移除。正文、附件和元数据共同接受隐私扫描。通过只说明纠错资料足够且安全，不证明现实故障、修复或归因。最小化测试从一份含账户、精确设备、完整网络和冗长截图的样例开始，逐项删除到仍能定位文档缺口；另一份过少样例则验证只能请求有明确用途的非敏感字段。接收方处理时间、修订段落与未决问题形成事件链，不能静默覆盖用户原文。关闭后按期限清理附件与临时标签，只保留纠错决策和脱敏摘要。
- 模板持续删除没有实际用途的字段
- 最小化后仍能定位需核对的文档段落
- 验收不把纠错记录当故障证明并确认附件元数据临时标签与补充请求都遵守最小披露
