缓存恢复册
清理前怎样备份会受影响的本地状态
只备份非敏感设置和错误证据，不导出凭据。 本文给出可复核步骤、状态边界、脱敏记录方法与复核路径。
清理浏览器本地状态前，备份的对象应是非敏感设置说明、复现步骤和错误证据，而不是凭据。清单可保存脱敏路径形态、浏览器大版本、站点权限选择、错误原文、截图时间、未提交工作说明和计划动作范围；Cookie、会话令牌、验证码、自动填充密码、账户数据与未知数据库文件一律排除。若不能判断某项是否敏感，backup_status写UNKNOWN并不复制。
真正的可回退性来自知道哪些状态能重建、如何验证，而不是拥有一个大而不透明的压缩包。操作前关闭或提交正在编辑的内容，确认书签与公开偏好是否需要手工记录，再让用户逐项确认可能退出、丢失选择或失去离线内容。证书告警存在时不进入备份清理流程，因为本地数据不能修复主机身份异常。备份清单应有manifest_id、item_type、sensitivity_review、restore_method、verified_at和retention_until，每项都由用户看到最终内容。若一张截图同时包含必要设置和其他站点资料，优先手工转录目标值，不扩大裁剪。恢复方法需在合成资料上演练，不能拿真实会话试导入。动作结束后逐项标已恢复、无需恢复、失败或UNKNOWN，失败会阻止继续扩大清理。临时证据到期时安全删除，清单保留删除事件而不保留秘密副本。
先列出清理动作可能触及的状态
从浏览器界面读取清除范围，区分资源缓存、Cookie、本地存储、离线数据库、权限和服务工作线程。每项填写current_state、user_impact、recoverable、evidence_needed和decision。界面若把多类数据合并且无法精确选择，就标范围过宽并停止。
不要为了盘点打开本地数据库内容或查看Cookie值。只记录某类状态是否存在、可能影响什么和是否有安全重建方式。未知用途的数据默认保留；排障目标不能成为收集更多个人资料的理由。
- 影响清单覆盖清除按钮的真实范围
- 盘点不读取会话和本地私密内容
- 范围不可控时选择停止而非全清
保留可复现错误的最小证据
清理会改变页面表现，因此先记录observed_at、error_text、last_successful_stage、browser_major、network_category和脱敏截图。主机仅保留诊断所需形式，路径删除账号和查询。截图裁掉通知、个人资料、扩展账户与完整地址。
错误证据应足以比较前后，而不需要网络头、会话或用户内容。若某日志包含敏感字段，生成脱敏副本并附redaction_note，原件不传播。无法安全脱敏时只保留手工抄录的错误文字和时间。
- 基线证据足以比较但保持最小披露
- 截图与日志均经过敏感字段扫描
- 不能脱敏的附件不进入共享记录
保护草稿书签与公开偏好
未提交表单、离线草稿和本地任务可能随站点数据删除而消失。用户应先在页面允许且安全的情况下提交、复制非敏感文本或明确放弃；包含个人与账户资料的内容不应进入排障附件。无法确认是否保存成功就阻断清理。
书签和公开显示偏好可用文字清单记录，不导出完整浏览器资料。站点权限选择也可截图，但要隐藏其他站点和个人信息。备份后应实际核对清单可读、路径不含会话，并说明哪些状态仍不可恢复。
- 未提交内容有明确保存或放弃决定
- 只记录与目标站点有关的公开偏好
- 备份清单注明不可恢复的剩余风险
严格排除凭据和认证材料
密码、验证码、恢复码、Cookie、令牌、私钥、浏览器同步资料和自动填充库绝不属于排障备份。即使用户主动提供，也应停止接收并指导其保留在原有安全位置。表单字段只写认证状态可能丢失，不写认证内容。
所谓导出后再导入会话既扩大泄露风险，也让前后测试失去独立性。需要重新登录时，只确认用户拥有正常安全流程，不记录细节。遇到要求上传凭据、安装未知证书或关闭保护的提示，应转入安全检查。
- 备份包零凭据零令牌零验证码
- 会话不通过导出导入来维持
- 异常认证请求立即停止流程
为每份备份写恢复验证方法
每一项非敏感备份都要说明用途、存放位置、保留期限和如何确认恢复。例如书签清单可由用户手工核对，权限截图只用于重新选择。无法验证的复制品不能被称为备份，只能标为参考证据。
恢复演练不在真实敏感资料上进行，可用合成设置验证清单格式。保留位置需受设备所有者控制，文件名不含账户或主机秘密。任务结束后按策略删除临时副本，不让排障证据长期累积成隐私档案。演练分别模拟清单项目缺失、文件损坏、浏览器格式变化和恢复后权限不一致，任何一种都要撤回可恢复标记。删除任务核对原件、副本、截图和占位映射四类对象，并保留不含内容的完成事件。
- 每项备份都有独立恢复验证步骤
- 合成资料用于演练而非真实凭据
- 临时副本具备明确删除期限
执行前完成用户确认和停止线
确认页列计划清理的数据类型、预计退出与偏好影响、已保存证据、无法恢复项和回退步骤。用户需对作用范围作出明确决定，不能用一个笼统同意覆盖所有浏览数据。高影响动作前再次核对当前是否还有未提交内容。
证书告警、未知文件传输、安全提示、权限扩大、范围不可控或备份含敏感材料，任一出现都取消清理。取消不是失败，而是保护状态。若用户改变主意，保留基线和决定时间，不继续劝说。审批页面还应显示每份备份的保留期限、存放角色和恢复验证日期。清单哈希与实际副本不一致时，原批准立即失效。测试用合成凭据故意混入截图、文件名和元数据，确认扫描能阻止提交；再模拟备份损坏与浏览器升级，系统必须撤回可回退声明。任何临时副本删除后保存删除事件，不保留秘密内容。
- 确认页逐类展示影响而非笼统授权
- 安全停止条件在动作前再次检查
- 用户取消后不继续推动高影响操作
清理后核对恢复和证据完整性
执行单一动作后，用相同步骤记录后态，再按清单重建允许恢复的公开设置。若页面表现改变，cause仍为UNKNOWN，需独立复测。恢复失败或出现新安全提示时立即停止，不用更多清理掩盖问题。
交接报告列已备份项目、排除的敏感类型、清理范围、结果、恢复状态和待核项。发布前扫描附件与文字中的令牌、邮箱、完整IP和账户。通过只表示准备与回退边界合格，不承诺页面已经恢复。独立验收从manifest随机抽取每类项目，核对实际文件与清单一致、敏感类别确已排除、restore_method可以在合成设置上重演。再模拟用户在动作前取消、临时存储失效、恢复清单损坏和浏览器版本变化，确认系统会停止而非假定可回退。文件保留期限到达后执行删除并生成事件，任务摘要只留下类别和结果。若某项恢复依赖账户秘密，它从一开始就不应进入备份范围。
- 后态使用与前态一致的复现步骤
- 恢复失败不会触发连续扩大清理
- 交接报告明确列出敏感排除项及每项恢复验证删除期限存放角色清理完成事件和核账时间
