诊断记录与升级
出现系统安全警告时的停止和升级路径
安全警告优先终止页面诊断并转入系统检查。 本文给出可复核步骤、状态边界、脱敏记录方法与复核路径。
出现系统安全警告时，页面诊断应立即终止并转入安全检查路径。触发项包括未知配置安装、设备管理请求、根证书提示、要求关闭保护、异常获取或远程控制邀请。用户先退出页面，不输入密码或验证码，不重复触发获取，并保存最小脱敏证据。升级记录可包含warning_text、trigger_step、observed_at、device_class、actions_not_taken和assigned_role；无法识别类型时写UNKNOWN，仍保持停止。个人设备可使用系统内置安全与配置界面检查，组织设备交由授权管理员；不要自行安装工具或删除未知项以免破坏证据。设备、网络、权限三线的普通恢复动作全部暂停，直到安全状态得到合适人员确认。此路径只定义优先级和交接资料，不判定现实页面恶意，也不替代专业安全响应。升级完成后也不自动恢复页面测试，只有明确的安全处置结论和新的受控基线，才能决定是否另开诊断记录。
系统安全警告拥有高于页面可达性的优先级。未知配置安装、设备管理注册、根证书提示、关闭保护要求、异常文件获取或远程控制邀请，任何一项都应终止普通排障。使用者先退出页面，不输入密码、验证码或恢复密钥，不重复触发，也不安装所谓检查工具。只保存脱敏的警告摘要、触发手势、匿名设备类别、时间范围和明确未执行动作。性质无法识别时写UNKNOWN，仍按停止处理。
建立可识别的警告触发表
触发表按系统配置、证书信任、设备管理、保护关闭、陌生文件和远程控制六类列示，并记录系统文字而非页面宣传。
普通功能权限不自动进入此表，但索取系统密码或管理能力会升级。看不清来源时不点击详情，类别保持UNKNOWN。警告分类卡可写configuration、management、root_trust、protection_off、unknown_file、remote_control六种值，并附系统文字来源。页面说“提升兼容”但系统显示“允许管理设备”，应按management处理。若只有模糊跳转，分类UNKNOWN仍足以触发停止。
- 六类高风险触发项齐全
- 系统文字优先于页面说明
- 来源不明依然停止
执行三步即时保护
第一步停止交互，第二步离开当前页面，第三步确认没有输入任何敏感凭据。不要通过其他网络重新进入测试。
页面关闭后不清除全部历史或重启多次，以免损失线索。若仍有系统弹窗，使用正常取消或返回，不接受安装。即时保护步骤可以口头复核：“已经停止点击、已经离开页面、没有输入敏感值”。任何一步不确定，就先处理设备安全而不是回到页面查证。若文件已经开始获取，使用系统正常取消并保留文件名类别，不打开文件，也不转发给他人检查。
- 停止离开确认三步完成
- 不换网重复触发
- 不以清理破坏线索
采集不扩大风险的证据
证据只含警告标题、关键一句、触发前动作和大致时间。截图裁去账号、设备名称、组织信息和后台通知。
不展开证书链、不导出配置、不复制远程邀请代码。无法安全截图时，用文字抄录即可，证据少不构成再次触发的理由。最小证据卡只抄一段关键警告，记录触发前最后手势与分钟级时间。远程邀请代码、证书指纹、管理地址和设备名称全部删除。截图不安全时，文字记录拥有同等流程价值；证据质量低只会限制结论，不会允许再次触发。
- 最小证据能够说明触发
- 邀请代码和配置不复制
- 不为完整性重复风险动作
按个人与受管设备分流
个人设备使用系统内置安全与配置列表做只读核对，并联系既有可信支持；工作或学校设备直接交授权管理员。
管理员身份从已知通讯录或组织渠道确认，不使用警告页面给出的新号码。交接不包含设备密码、恢复密钥和私人文件。分流表先问设备是否由组织管理。答案为yes则使用既有管理员渠道，no则联系设备所有者信任的支持，UNKNOWN则保持停止并核实归属。弹窗给出的电话、聊天账号或远程工具不用于联系。任何交接都不包含密码和恢复密钥。
- 设备归属决定升级角色
- 联系人来源已独立确认
- 交接不传递任何密钥
冻结设备网络权限三条线
安全事件确认前，重启对照、切网实验、缓存处理、权限复测和站点数据清理全部暂停。继续普通排障可能掩盖提示。
冻结状态写在摘要首行，接手者不得从未完成步骤继续。可以整理现有记录，但不能测试警告请求是否“真的需要”。冻结范围应逐项点名：不切换更多网络、不清资源、不删站点状态、不改普通权限、不做重启实验。设备若因正常使用必须重启，安全事件记录要注明环境已改变，旧证据不再作为复现基线。冻结不是判断恶意，而是保护控制权。
- 五类普通动作全部暂停
- 冻结状态位于摘要首位
- 只允许整理已有材料
避免自行删除或绕过
发现陌生配置、证书或管理项时不要急于删除，因为可能破坏证据或影响受管设备。也不要关闭防护、允许未知来源或接受远程控制。
处置动作应由合适角色根据设备背景决定。本文只定义停止与交接，不判断现实请求恶意，也不提供绕过步骤。自行删除陌生配置可能让受管设备失去合规状态，也可能破坏取证；自行信任则可能扩大控制。两边都不做。合适角色决定后续，使用者只提供最小历史。任何让用户共享屏幕输入系统密码的提议都作为新的remote_control风险记录。
- 陌生项目不自行删除
- 保护机制保持开启
- 处置由授权角色决定
用新基线控制恢复诊断
只有安全状态得到可信确认、异常请求不再出现、设备控制权明确且已建立新的只读快照，才能考虑重新开始普通诊断。
重开使用新编号，不继承旧会话、权限或网络结论。任何门槛仍为UNKNOWN就继续停止，并按保留期限清理敏感证据。重开清单需要安全结论来源、控制权确认、异常请求消失、新快照完成和旧敏感材料处理五项。全部可核才创建新编号。若请求消失但没有处置解释，仍可能只是暂时未触发，状态保持UNKNOWN。重开后先执行只读页面范围检查，不恢复旧授权。场景一是个人设备收到根证书提示，用户退出且未输入密码；可信支持只确认没有完成安装，但无法解释请求来源。此时控制权看似未改变，来源仍UNKNOWN，普通诊断继续暂停。场景二是受管设备管理员确认页面跳转与既有策略无关并完成系统核对，仍需建立新快照，不能沿用警告前的网络矩阵。所有重开决定写明角色与时间范围，不抄录组织身份。若远程控制邀请曾被接受，应升级为更高等级的设备安全处置，本文普通路径不再适用。还有一种边界是请求只在某个按钮后出现，返回首页不再显示。消失并不等于安全，触发路径仍被冻结；新基线不得再次点击该按钮验证。只有合适角色对请求能力和设备状态都完成核对，才可决定是否保留该功能入口。
- 四项重开条件均被验证
- 新任务不沿用旧状态
- 未知门槛维持停止
