安全重置点
从轻到重的可逆恢复顺序与回退点
每一级在扩大动作前必须验证并可回退。 本文给出可复核步骤、状态边界、脱敏记录方法与复核路径。
可逆恢复应从轻到重排列，并在每一级设置验证与回退点。建议顺序为等待后重试、普通刷新、关闭再打开页面、受控重启、只清当前页面缓存，最后才评估单站点数据重置。每一步保存before_state、action_scope、after_state、verified_at和rollback_available；无变化时才决定是否进入下一级。演练中，重启后症状变化但无法重复，result写UNKNOWN，不立即清站点数据。需要删除Cookie或权限状态时，先告知退出与偏好丢失，确认非敏感备份。任何证书、描述文件或系统安全告警都中断阶梯。不要把更新系统、恢复出厂或扩大权限当作默认后续。分级设计让动作影响可控，也能判断哪一步与变化同时发生；即便复测成功，结论也只绑定当时环境，不保证长期恢复。每个回退点都要说明如何恢复偏好或停止继续，若某动作事实上不可逆，就不能列入这条阶梯的普通步骤。验证完成前不得连续执行多级动作。
恢复阶梯需要同时满足“影响逐级增加”“每级单独验证”“存在明确停点”三项原则。起点是无状态改变的等待和普通重试，随后才是关闭当前标签、受控重启、当前页面资源处理；单一站点数据属于另行告知后的高一层。系统升级、整机恢复、扩大权限或安装配置不在普通阶梯。前一层恢复就不继续，前一层无法比较也不越级。每格都保存前态、动作范围、后态、可撤回性和下一门槛。
为阶梯建立零级基线
零级不做任何恢复动作，只按固定脚本重现一次，记录页面、网络、权限和等待阈值。没有这个基线，后续变化无法归属。
基线不稳定时先回到症状分流；不要用多次尝试挑出最坏或最好的一次。安全提示出现则整座阶梯关闭。零级卡必须先证明症状可按短脚本出现，字段为step_sequence、wait_limit、visible_result和safety_state。若三次表现各异，不应挑一次当基线；正确做法是返回症状词典，标记不稳定。没有可比较前态时，任何“恢复成功”都只是孤立观察。基线另记单调计时起点、前后台状态和页面构建标识。截图若使用被手动调整的系统时钟，只作画面证据，不用于计算等待区间；计时出现缺口时该轮作废。
- 零级只负责建立可比前态
- 不筛选有利样本
- 安全提示直接封闭阶梯
一级采用等待与普通重试
网络稳定后等待预设时长，若无变化，再在新记录中进行一次普通重试。两个动作不能连写为一项。
等待后恢复就结束；重试后变化也只记同时发生。任何自动切网或浏览器更新都会使本级结果变为UNKNOWN。一级可拆成E1静置与E2普通重试，两者各有开始点和结束点。E1期间不触碰屏幕，E2只做一次标准手势。若E1自行恢复，E2保持未执行；若E2触发新的弹窗，阶梯转向弹窗分类。两个动作连续完成会失去解释力。晚到内容还需区分网络响应与可见绘制：响应先到而画面后出现时记录两个时间点，不把等待成功写成重试成功；加载动画未结束前不得提前触发E2。
- 等待和重试分成两条
- 出现恢复立即停止上升
- 自动变化会降低可比性
二级只关闭当前页面
确认没有未提交表单后，关闭当前测试标签，再从相同匿名入口打开。浏览器其他标签、历史和账户状态保持不动。
如果关闭标签会丢失本地内容，就跳过并写明原因。重新打开不使用新权限，不改变网络，也不从私人书签暴露路径。二级标签关闭前检查form_dirty与offline_value。任何一项为yes或UNKNOWN，先保护内容或跳过。重新打开使用匿名入口而非私人历史。浏览器其他标签保持不动，避免把整个会话关闭误称为当前页面动作。结果不稳定时停在二级。关闭前另记页面地址别名和滚动位置作为副作用基线，但不保存私人历史。重开后若正文恢复而草稿或定位丢失，结果写partial_with_side_effect，不能只记成功。
- 只影响当前测试标签
- 未提交内容先行保护
- 重新进入条件保持一致
三级执行受控设备重启
重启前后使用同一脚本，保存权限与网络快照，并等待设备稳定。此级不同时清资源或更新系统。
自动更新或管理策略变化会破坏单变量设计。重启结果无法重复时停在本级，不能因不确定而继续删除数据。三级沿用单独的重启协议：保存工作、正常重启、等待设备稳定、按同脚本复测。若系统自动更新，三级结论写environment_changed。不能因为重启后仍空白就立刻进入缓存处理；先核对权限和网络是否维持，再决定下一门槛。重启前后以同一网络别名、浏览器版本和页面构建标识配对；自动切到另一接入点、系统时间漂移或后台恢复失败，均单列为干扰而不归因于重启。
- 重启成为唯一主动变量
- 开机稳定后才复测
- 不确定结果阻止越级
四级评估页面资源处理
只有前三级可比较且无安全事件，才核对浏览器能否仅处理当前页面资源。站点会话和权限选择应保持。
工具无法精确选择时，本级标记不可执行。不得使用全局清理按钮冒充细粒度处理，也不借助陌生清理工具。四级需要浏览器真实提供细粒度资源处理，并明确排除Cookie、会话、自动填充与权限选择。若界面捆绑删除，四级为not_available。不要安装清理程序替代。执行前后比较相同画面一次，恢复即停止，不追加L2站点数据。处理范围由浏览器面板逐项确认；若按钮同时覆盖缓存、存储和会话便不能执行。动作后出现登录态或权限提示变化，应立即回退并将本级标记scope_breach。
- 只处理当前页面资源
- 会话权限保持不变
- 不精确工具不执行
五级单独审议站点数据
删除单一站点数据前，重新披露退出、偏好、离线内容和权限变化，完成非敏感备份，并获得针对该范围的决定。
该级已不完全可逆，因此不自动连接在普通阶梯后。执行后只复测一次；失败不导向全局清理或权限扩大。五级单站点状态不是默认阶梯台阶，而是一个需要重新告知的分叉。备份、影响清单、用户决定、不可回退项均合格才进入。动作完成后仍失败，路径结束；全局浏览记录、系统还原或权限扩大不作为第六级。执行清单逐项列本地草稿、离线文件、会话令牌和个性化设置的去留。任何一项无法备份或解释，决定页保持未通过；笼统同意不能替代针对该站点和本次范围的确认。
- 站点数据拥有独立告知
- 备份与决定均针对本级
- 失败后不继续升级
记录停点和现场恢复
每级输出是否执行、结果、回退状态与停止原因。跳过项不能被后续结果填补，整张表保留UNKNOWN。
结束记录只保留最高到达级别、停止原因、可见副作用、回退证据和环境是否恢复。未执行级别分别写not_needed、blocked或deferred，不能留空。普通重试恢复时后续级别全部标not_needed；未提交表单阻止关页时写protected_local_value；证书警告出现时写security_stop；重启改变网络时写environment_changed。复核者先核对停点与证据，再看短窗口结果。阶梯合格只表示动作顺序受控，不保证页面已经恢复，也不允许接手者绕过原决定继续升级。
- 所有跳过项均有理由
- 现场网络权限恢复
- 阶梯结论不作效果保证
