权限状态线
未知描述文件或设备管理请求的停止规则
配置和管理请求直接停止，不进入恢复分支。 本文给出可复核步骤、状态边界、脱敏记录方法与复核路径。
出现未知描述文件、设备管理、根证书安装或要求授予管理权限时，应立即停止页面恢复流程。记录卡只需保存request_type、visible_text、trigger_step、observed_at、actions_not_taken和脱敏截图，不获取、不安装、不输入设备密码。若无法识别请求类别，request_type写UNKNOWN，同样按高风险分支处理。不要根据页面外观、名称或所谓优化说明判断可信，也不能通过关闭系统保护继续。已受组织管理的设备应由授权管理员核对现有策略；个人设备若发现陌生配置，可先使用系统内置设置查看，不随意删除以免破坏证据。普通缓存、网络和权限诊断在确认安全前全部暂停。该停止线优先保护设备控制权，文章不认定现实请求恶意，也不提供任何安装或绕过步骤。如果配置已存在，也只记录系统显示的签署状态和安装时间是否可见，不打开敏感载荷或导出管理资料。相关页面路径也需脱敏后保存。
描述文件、设备管理、根证书或系统级控制请求一出现，页面恢复流程就必须让位于设备安全。识别不清也不继续试装，而是记录请求类别为UNKNOWN、可见文字、触发手势和明确未执行的动作。用户不输入设备密码、不接受远程控制、不关闭保护，也不因页面名称或设计外观判断可信。组织设备由授权管理员核对，个人设备只使用系统内置设置查看是否存在陌生项目；贸然删除同样可能破坏证据。
识别系统级请求的外观边界
系统设置跳转、要求安装配置、添加根证书、注册设备管理或索取系统密码，都超出普通网页权限。弹窗来源不明时按高风险类别处理。
普通通知、相机或位置请求可以按任务映射评估，系统控制请求则没有页面故障复测价值。两者必须分开记录，不能因文字相似混为一谈。触发卡可用control_level区分普通内容提示、普通功能权限与系统控制请求。要求添加配置、信任根证书、注册管理或提供设备密码均属于最后一类。按钮写着“加速”“兼容”也不改变类别；只依据系统将获得的能力，而非营销文案。
- 五类系统请求均可触发停止
- 普通权限与管理权限分离
- 来源不明按高风险处理
立即退出并避免再次触发
看到请求后先返回安全界面或关闭当前页面，不点击继续、信任、安装或稍后自动完成。也不重复进入路径来获得更清晰截图。
若设备无法正常退出，使用系统任务切换离开，并记录可见状态。不要强制清理全部浏览数据，因为这可能删除调查线索。退出动作要预先定义：能返回就返回，不能返回就切到系统主界面，再正常关闭页面。不要点击弹窗中的“了解更多”，因为它可能继续同一流程。若界面反复出现，记录次数后停止，不通过重启或全局清理尝试让它消失。
- 不点击任何确认控件
- 不为取证重复触发
- 退出优先于页面恢复
保存最小化的告警证据
只截取请求类别、关键警告文字、触发步骤和大致时间，裁去用户名、设备名称、组织标识、序列号和通知。
不展开配置载荷、不导出证书、不复制管理地址。无法确认字段时留UNKNOWN，证据不足也比扩大系统访问更安全。证据卡只保留request_class、visible_warning、trigger_action和time_range。配置名称可能包含组织或个人信息，应泛化；二维码、邀请编号、管理地址和证书指纹不进入共享图。若截图会暴露过多内容，手工抄录关键警告足够。
- 截图仅覆盖必要警告区域
- 配置载荷不被打开导出
- 缺失字段保持未知
个人设备只做内置查看
个人设备所有者可在系统内置的配置或管理列表中查看是否有陌生条目，记录名称是否可见和安装时间范围，不点击详情载荷。
发现陌生项目不立即删除；先保存最小证据并寻求可信技术支持。要求另装清理工具的页面不参与处置。个人设备的只读检查只确认系统列表中是否有未知配置或管理状态，以及安装时间范围是否可见。不打开载荷、不点移除、不输入密码。若列表为空，也只说明当次系统页面未显示项目，不证明之前请求安全或无其他风险。
- 只使用系统内置查看页
- 陌生条目不贸然删除
- 不安装额外清理组件
受管设备交给授权角色
工作或学校设备可能已有合法策略，普通使用者不应绕过。将触发步骤、警告摘要和未执行动作交给已知管理员。
交接不发送设备密码、恢复密钥或完整配置。管理员身份通过既有组织渠道确认，不使用弹窗提供的新联系方式。受管设备交接卡要注明设备归属类别、已知管理员渠道和用户没有采取的动作。管理员通过既有通讯录确认，不能拨打弹窗新给的号码。发送材料前再遮住组织内部名称；需要更完整日志时由管理员在自己的授权流程中采集。
- 受管设备停止自行处理
- 密钥密码不进入交接
- 管理员通过既有渠道确认
冻结普通排障动作
在安全状态未被合适角色确认前，网络切换、缓存处理、权限试验和重启对照全部暂停。这避免安全提示被普通动作掩盖。
暂停期间可以整理脱敏时间线，但不能测试请求是否有效。任何声称必须关闭保护才能继续的说法都作为新增警告记录。冻结清单涵盖换网、刷新、缓存、站点数据、重启对照和普通权限实验。原因不是这些动作必然危险，而是它们可能改变或遮蔽系统控制提示。冻结期间只允许整理现有时间线。任何要求远程接管来“检查”的邀请作为新的高风险事件。
- 所有普通诊断线已冻结
- 暂停期间只整理只读材料
- 关闭保护要求成为新证据
以明确门槛决定是否重开诊断
只有可信处置结论、设备控制状态已核、原请求不再出现且建立了新的只读基线，才可考虑另开页面诊断记录。
重新开始不沿用旧会话或旧权限假设。若任一门槛仍为UNKNOWN，就继续停止；最终材料不判断现实请求恶意，只说明风险处理过程。重开门槛表应由合适角色给出安全状态已核、设备控制权清楚、异常请求不再出现、新基线已建立四项。个人用户不能自行把未知项勾成通过。若管理员仅说“暂时不用管”而没有可核结论，普通诊断仍保持暂停并记录待复核。模拟交接中，页面弹出“添加设备管理”并要求系统密码，使用者退出后只在系统列表看到一个名称不明的待处理项目。正确记录是请求类别明确、现有项目状态UNKNOWN、密码未输入、普通排障冻结。管理员后来若确认该项目属于既有组织策略，还需说明是否与本次页面请求相同；两者无法对应时仍不能恢复测试。任何要求远程查看密码输入过程的方案都被拒绝。交接材料在管理员确认接收后按既定期限清理，并留下不含身份的接收时间、清理状态、停止理由与独立复核记录。
- 四项重开门槛全部满足
- 新记录不继承旧会话
- 不对请求性质作无证断言
