操作前边界
证书或地址不一致时的立即停止规则
不一致事件直接进入停止状态而非风险评分。 本文给出可复核步骤、状态边界、脱敏记录方法与复核路径。
地址栏主机与证书名称范围不一致时，继续访问会让后续观察建立在一个已经失配的连接上下文上。这里不做低风险或高风险评分，也不要求判断造成失配的原因；规则只有一个：在警告页面停止，不输入资料、不打开文件、不选择继续。台账保存主机、提示类型、观察时间和退出动作，其他字段保持UNKNOWN。若浏览器曾为该主机保存例外，观察者先在不访问页面的设置界面确认并移除；例外状态本身也进入环境摘要。不能因过去曾经允许就把本次告警当普通提示，历史例外反而说明实验条件需要单独审查。清理结果需由下一轮环境卡确认，不凭口头说明。
停止规则的价值在于可执行和一致。网络环境、页面名称或读者急迫程度都不能降低阈值。证书列表没有完整展开、国际化主机无法逐标签比较或设备时钟异常时，同样不能宣称匹配；结果为UNKNOWN并停止敏感操作。本文讲清比较步骤、错误处理和恢复方式，但不会为任何目标给出身份结论。企业代理、公共网络门户或安全软件可能改变证书提示，但这只是需要另开环境实验的线索，绝不能成为当前页面继续的理由。复测必须先退出，记录网络类型，再由受控环境执行；旧告警和新结果始终并列。公共网络若先出现登录门户，实验在门户前结束，不输入凭据，也不把门户证书与目标证书混合。只有回到明确、受控的连接后，才能建立新的比较；无法取得这种环境时，当前原因和后续结果均保留UNKNOWN。审核还会查看是否留下浏览器例外；例外未清理前，不开展下一轮。
先读取浏览器实际连接的主机
比较对象来自地址栏或浏览器站点信息，而不是页面标题、搜索摘要和聊天文字。记录完整标签、顶级域、显式端口及国际化编码形态。若警告页面隐藏部分地址，使用浏览器提供的可见详情；仍不完整时，主机字段填UNKNOWN，流程停在这里。
复制地址用于核对时先删除路径参数，不把会话值带入记录。主机含相似字符，应逐位检查码位和连字符。页面跳转可能在打开证书面板前改变主机，所以读取前后各确认一次；两次不同则创建跳转节点，不能选其中一个与证书强行配对。
- 主机来自浏览器连接信息
- 国际化形态完整保存
- 复制前删除会话参数
- 前后主机变化即拆分
名称范围比较逐标签完成
证书名称可能是精确主机，也可能含通配符。比较从最右侧标签开始，确认顶级域、可注册部分和左侧层级；通配符只匹配规则允许的单层，不跨越额外点号。SAN列表若只显示部分内容，完整度字段必须标部分，不能把未见条目当成不存在。
精确覆盖、明确未覆盖和无法判断构成三种结果。第三种适用于列表不全、编码不明、地址被裁切或工具输出冲突。浏览器已经给出名称不匹配提示时，无需尝试自行证明它可能匹配；停止规则直接生效。覆盖成功也只说明字段关系，不能作为主体真实性的证据。
- 比较从右侧标签开始
- 通配符不跨层
- 列表部分可见要标注
- 覆盖不等于身份可信
不一致事件不进入风险评分
评分会诱导用户在分数看似可接受时继续，而名称失配没有这种例外。事件状态直接写停止，原因列地址与证书范围不一致或浏览器明确告警。页面配色、证书剩余天数、其他用户是否成功都不参与抵消。操作员无需寻找额外正面信号。
若设备时间异常导致有效期警告，这属于另一类问题，但在校时完成前仍不继续。校时后复查必须创建新实验，旧警告保留。不能在当前警告页修改系统保护、安装证书或接受例外。任何指导绕过浏览器提示的页面都触发退出，并记录为独立安全观察。
- 失配直接标停止
- 其他信号不能抵消
- 校时复测另建实验
- 不安装例外证书
停止时只保存必要证据
最小记录包含实验号、可见主机、警告类型、证书名称摘要、时间、环境和退出方式。截图保留地址与提示，裁掉账号、通知、路径参数和无关标签。证书完整转储、Cookie、私钥、系统钥匙串画面和网络令牌都不应收集。
如果截图本身会暴露个人信息，先在受控位置制作不可逆脱敏副本，公开文章只引用事件号。无法安全裁剪时改用字段表，截图状态为受限。证据不足不妨碍执行停止，但会限制对失配细节的描述；未见字段统一写UNKNOWN。
- 停止记录使用最小字段
- 不采集凭据或私钥
- 公开副本不可逆脱敏
- 证据少不影响停止动作
退出后恢复浏览器可控状态
优先使用返回或关闭标签页，不点击警告页面的高级继续选项。若页面打开新窗口，逐一关闭并确认原标签仍可控。检查下载列表是否出现未知文件，存在则不要打开；仅记录文件触发和浏览器处置。若已误授予通知等权限，从浏览器设置撤销，并保存不含个人资料的恢复清单。
停止事件不要求联系页面提供者，也不通过站外聊天寻求所谓解锁。涉及真实账号安全时，应从用户已有的可信渠道独立处理，但台账不收集账号材料。退出后若需要复测，由另一轮受控实验执行；原事件不会因后续匹配而删除。
- 不点击高级继续
- 未知文件不打开
- 误授权限及时撤销
- 后续匹配不删除警告历史
合成场景验证规则没有例外
场景甲显示主机甲，而证书只列主机乙，结果为停止。场景乙的SAN列表被折叠，无法确认是否覆盖，结果为UNKNOWN并停止敏感动作。场景丙设备年份错误，先退出并校时，之后的新实验独立记录。三种场景都不使用继续看看作为处理。
场景丁中页面声称证书警告可以忽略，并提供关闭保护步骤。审计只截取脱敏提示，随即退出；该声明不能改变浏览器告警。所有主机名称均为合成占位，不对应真实地址。训练记录不进入生产事件表，也不用于统计风险数量。
- 无法判断也不继续
- 设备校时后另开实验
- 页面声明不覆盖浏览器告警
- 训练记录与正式数据隔离
审核停止是否真正发生
复核者检查实验日志是否在警告节点结束、是否存在之后的页面截图、表单提交或文件打开。若停止之后仍有交互，事件标流程违规，后续材料不用于正常路线结论。然后重读主机与SAN摘要，确认失配语言没有扩大成欺诈、仿冒或所有权判断。
公开页面应把这条规则放在操作步骤之前，并用文字而非单一颜色表达。它只说明何时退出，不提供外部目标、例外按钮或修复承诺。地址和证书证据任一缺失时，细节为UNKNOWN；用户仍可依照浏览器警告停止，等待独立、受控的后续复核。
- 警告节点之后没有交互且退出动作能够复核
- 违规材料不支持正常结论
- 措辞不升级为真假裁决
- 停止提示先于操作内容
