权限状态线
通知、相机、位置与存储权限逐项关联任务
只有可见功能触发时才纳入诊断。 本文给出可复核步骤、状态边界、脱敏记录方法与复核路径。
通知、相机、位置与存储权限应逐项关联到可见任务，只有功能实际触发时才纳入诊断。权限表可设permission_type、triggering_feature、requested_at、current_state、expected_degradation和retest_result。例如扫描二维码才可能请求相机，基于位置的可选展示才涉及位置；普通阅读页面不应因故障而一次性开放全部权限。若无法说明某权限对应哪个功能，task_mapping写UNKNOWN并保持拒绝。通知权限通常影响提醒，不应被解释成页面加载前提；存储权限也需区分上传、文件获取和浏览器自身缓存。复测时一次只改变一个非敏感权限，记录拒绝态与允许态的差异，结束后可恢复原设置。未知描述文件、设备管理或要求关闭保护直接停止。任务映射让授权保持最小，同时避免把扩大权限当成通用修复。权限说明应使用系统显示的实际名称，并附触发页面位置；模糊的增强体验等文案不能充当任务对应关系。每项映射单独审阅。
权限表应从用户要完成的可见任务反推最小授权，而不是从系统权限清单逐个开放。先列普通阅读、接收提醒、扫描图形码、选择本地文件和使用附近位置等任务，再记录哪个具体手势触发何种系统请求。没有触发关系或用途解释含糊时，映射保持UNKNOWN并维持拒绝。每个权限单独复测，拒绝态、允许态和恢复原设置分别有记录；管理配置、根证书与设备控制请求不属于普通权限。
先列任务再查看权限
从页面中可见的用户目标出发，写成可执行短句，例如阅读一段文字或点击扫描按钮。不要先看权限名称再编造用途。
每个任务标明是否为核心阅读、可选增强或与当前症状无关。无关项不进入复测，即使系统设置里显示可授权。任务清单可用task_id、visible_goal、entry_control和permission_expected四栏。比如T1“阅读正文”入口是文章卡片，预期权限为空；T2“扫描图形码”入口是相机图标，预期相机。若进入T1却出现位置请求，表格不替它找理由，而是把mapping_status设为UNKNOWN并停止该请求。
- 任务使用可执行短句
- 核心与可选功能分级
- 无关权限不进入测试
把通知限定到提醒功能
通知通常对应赛事提醒、更新提示或后台消息，不应成为打开普通文字页面的前提。记录弹窗由哪个按钮触发，以及拒绝后页面是否仍可读。
如果普通阅读反复要求通知，保持拒绝并记录弹窗次数。不要选择长期允许来消除干扰；该行为应作为体验问题交接。通知映射需区分前台页面提示与系统通知。用户点击“订阅提醒”后出现系统弹窗，关系清楚；打开正文立即索要通知，关系不清。拒绝后正文仍可读时，notification_dependency记为可选。若不断弹出，另设dialog_repeat_count，不通过长期允许消除。
- 通知只映射提醒类任务
- 普通阅读先验证拒绝态
- 反复请求次数被保留
让相机只服务扫描动作
只有用户主动进入扫码、拍摄或图像采集界面时，相机请求才可能有明确对应。请求前要显示用途和退出方式。
阅读、搜索或查看文字时出现相机请求，映射写UNKNOWN并停止该功能。截图只记录权限名称，不包含取景画面中的人员或环境。相机案例应预先准备无个人信息的测试图形码，并规定只在扫描界面使用。取景画面不截图，复现证据只记录相机请求文字和扫描按钮状态。系统拒绝后提供手动输入属于安全降级；若直接锁住全部页面，则映射只说明异常范围，不要求开放。
- 相机由明确采集动作触发
- 无关场景请求保持拒绝
- 取景内容不进入证据
拆分位置精度与可选用途
位置任务需说明是城市级展示还是持续定位，并优先采用系统提供的较低精度或仅本次选择。没有位置需求的页面不请求。
若界面只写“改善体验”，不能构成任务说明。位置拒绝后应观察可选模块如何降级，而不是把整体访问失败归给定位。位置表需要purpose_granularity，写城市级内容、附近筛选或持续追踪。普通阅读无对应值。系统给出“精确”与“大概”选项时，先评估较低粒度是否足够；无法解释持续后台使用就不复测。任何位置证据用区域类别替代坐标。
- 位置用途写到可见功能
- 模糊说明不算映射依据
- 拒绝只影响对应模块
区分文件选择与广泛存储
上传一张用户主动选择的图片通常只需系统文件选择器，不等于读取全部存储。记录选择范围、是否生成副本和取消后的行为。
要求浏览整个文件库或持续访问时，先停止并核对必要性。不得导出密码、会话令牌或私密文档作为测试材料。文件任务必须从用户主动选择开始，记录selected_item_count而非文件名。系统文件选择器返回取消时，页面应能安全回退。若请求读取整个存储或要求查看非目标目录，映射停止。测试文件使用无敏感内容的合成样本，任务结束立即删除副本。
- 文件权限限定用户所选项目
- 广泛读取请求先停止
- 敏感文件不充当样本
一次只复测一个授权项
先保存拒绝态，再只改变一个与任务明确关联的非管理权限，执行一次相同动作。其他权限、网络和页面保持不变。
结果只能说明该功能在两种状态下的差异。多权限同时改变会让映射失效，应恢复原设置后重新开始。单权限实验可以建立P_before、P_change、P_action、P_after和P_restore五格。只有P_restore完成，实验才算闭环。若系统设置在改变时同时影响多个权限，不能把结果归于单项；恢复原状态后重新设计，或者保留不可执行结论。
- 单轮只改变一个权限
- 拒绝态和允许态都留证
- 其他环境变量保持不变
撤销临时授权并审阅表格
复测完成后按用户原选择恢复权限，并确认没有新增后台访问。表格列出任务、触发手势、系统请求、拒绝表现、允许表现和UNKNOWN项。
删除包含个人图像、地理位置或文件名的临时证据。最终映射用于解释功能边界，不保证页面恢复，也不把权限扩大写成建议。最终权限地图要同时列出“无权限任务”，让普通阅读、搜索和返回明确不依赖采集能力。审阅者还需检查用途文字是否在请求之前出现、是否具体、是否有拒绝出口。不存在清楚说明时，系统设置中即使可以开放，也不代表任务映射成立。综合案例可以包含四行：阅读正文不需权限；扫码只对应相机；赛事提醒只对应通知；选择截图只对应用户主动挑选的单个文件。若一个“立即开始”按钮同时触发相机、位置和通知，三个映射都应标UNKNOWN，用户保持拒绝。记录者还要检查关闭弹窗后是否仍能返回首页，若无法返回则新增阻断体验，不通过授权跳过。最终只把明确、必要、可撤回的关系留在绿色栏，其余进入待复核或停止栏。权限地图还需注明所测系统版本，因为系统更新可能改变名称与范围；版本变化后旧表只能作参考。地图发布前再由未参与测试者检查一次入口与请求是否真实对应。
- 临时授权已恢复原态
- 个人采集内容完成清理
- 权限结论不越过具体任务
