操作前边界
跨域前必须显示的主机与风险字段
在动作发生前而非跳转后显示目标主机。 本文给出可复核步骤、状态边界、脱敏记录方法与复核路径。
跨域动作发生之后才显示目标主机，已经错过了让读者判断是否继续的时机。前置披露应在按钮、二维码或短链被执行前，清楚列出当前主机、目标主机、动作类型、将离开的站点边界、可能提交的数据和硬停止条件。目标无法预览时不应以继续后查看取代说明，而是停止并把目标状态写UNKNOWN。移动端屏幕较窄时，主机不能被省略成开头和结尾几个字符；应允许展开完整标签，并把同意按钮放在信息之后。键盘和读屏用户也要能先遍历全部字段再遇到动作控件，避免视觉顺序与焦点顺序不一致。
这些字段不是对目标的背书，也不能保证跳转后的页面与预览一致。它们只是把已知信息放到决定之前，使观察者有机会取消。本文以只读审计为范围，不要求登录、安装或提交资料；遇到地址证书不一致、保护警告、未知文件和敏感索取时直接退出。每次前置检查都绑定时间与来源介质，旧结果不会自动适用于下一次。前置卡还需提供取消后的状态说明，例如页面是否保持原位、有没有窗口被打开、权限是否仍未授予。缺少取消路径的设计本身就是阻断项，因为披露信息只有在用户能拒绝动作时才有意义。
当前主机与目标主机并排展示
前置卡第一行显示用户所在的完整主机，第二行显示动作将打开的目标主机。两者均从可见字段取得，并用等宽样式逐标签显示；页面名称或按钮颜色不能替代。目标只提供相对路径时，结合当前主机解析并注明同站。目标由脚本延迟生成、被短链隐藏或二维码无法预览时，目标栏填UNKNOWN，继续按钮保持不可用。
国际化主机同时给出显示值和ASCII编码摘要，防止相似脚本被忽略。显式端口、子域层级和顶级域变化以文字提示，不用红绿颜色单独表达。预览值若含查询参数，卡片仅显示路径和参数名，删除全部值。读者可以复制脱敏主机进行本地核对，但页面不提供外部可点击目标。
- 当前与目标主机同屏
- 隐藏目标阻断动作
- 国际化形态双轨显示
- 参数值不进入预览
说明将执行的动作和窗口行为
同一个目标可能由普通导航、打开新窗口、提交表单、启动外部程序或触发文件访问。前置字段必须使用具体动词，而不是模糊的继续。若动作会离开浏览器、请求系统权限或产生不可逆提交，默认停止，除非页面任务和授权边界另有经过审核的依据；本台账不执行这些场景。
新窗口行为要说明原页面是否保留、返回键是否可用以及可能出现几个窗口。实际结果无法在动作前确定时写可能打开新窗口，并保留不确定性。按钮被脚本包装且无法静态判断动作时，状态为UNKNOWN，不通过点击来探测。审计目标是减少意外动作，不是完成外部流程。
- 动作使用具体动词
- 外部程序默认停止
- 窗口行为提前说明
- 未知脚本不点击探测
数据与权限披露采用最小清单
前置卡列出动作可能携带的数据类别，例如当前路径、来源标记、表单字段或浏览器权限。没有证据证明会携带时，不写无；应填UNKNOWN。账号、验证码、支付信息、身份文件、精确位置和设备控制属于敏感类别，只要页面要求其中之一，动作直接进入停止状态。
参数分析只看名称和结构，不公开令牌或个人值。页面若声称不会收集某类数据，这是一条页面声明，需与实际动作观察分栏，不能当作技术事实。通知、剪贴板、定位和存储权限逐项展示，拒绝一个权限不应自动同意另一个。当前无法读取权限请求时，卡片说明尚未测试。
- 数据类别与实际值分开
- 敏感字段触发硬停止
- 页面声明不冒充技术观察
- 权限逐项列示
证书和连接提示放在决策之前
目标主机可见并不代表连接状态已知。若已有同一实验中的证书预览，可展示主机覆盖结果、观察时间与证据号；没有材料就写未检查。证书有效期或锁图标不能转换成目标可信。动作开始后才出现的连接警告属于新的停止事件，不能用前置卡的旧观察绕过。
当前主机已经存在安全警告时，不再评估目标，先退出当前页面。目标预览与证书名称不一致时也直接停止，不采用低中高风险评分。浏览器无法显示证书细节时保留提示原文，字段为UNKNOWN。任何建议关闭保护、忽略告警或安装描述文件的说明都越过本方法边界。
- 证书观察带实验和时间
- 锁图标不表示可信
- 不一致直接停止
- 不建议绕过浏览器保护
合成卡片检验字段是否在动作前可见
训练卡A显示当前主机甲、目标主机乙、动作是打开新窗口、参数类别为来源标记、证书状态未检查。用户在不执行动作的情况下已能复述这些字段，说明前置位置合格。卡B只写进入活动中心，没有目标主机；即使按钮很醒目，也应被阻断，目标与证书栏均为UNKNOWN。
卡C显示目标主机丙，但页面同时索取短信验证码。处理结果不是提示谨慎，而是停止并记录敏感请求。卡D的目标与证书名称不匹配，同样不允许继续。合成主机和卡号只用于界面测试，不出现在正式页面的事件数据、摘要或结构化标记里。
- 用户可在点击前复述字段
- 模糊按钮不替代目标
- 敏感请求无条件阻断
- 训练数据与事件源隔离
前置记录必须随时间失效
目标、动作和页面脚本都可能变化，因此每张卡保存观察时刻与复核期限。到期后仍可查看历史，却不能作为当前动作依据；界面把状态改为待复核并禁用动作。若按钮文字、目标主机或数据类别任一改变，创建新版本，旧卡保留差异。
同一按钮在不同设备上生成不同目标时，按环境分开记录，不挑选一个默认结果。没有覆盖的设备明确列未测试。缓存中的旧前置字段不能在网络恢复后自动展示为当前值，系统需要重新读取并通过审核。频繁变化的目标应缩短复核周期，但频率不是实时保证。
- 前置卡带到期时间
- 到期状态阻断动作
- 环境差异分开保存
- 缓存值不冒充当前观察
审核信息充分性与措辞
审核者在不执行跳转的情况下检查能否识别当前主机、目标、动作、数据类别、连接证据和停止条件。缺一个核心字段就不通过，不能用了解更多链接把决定信息藏到下一页。随后检查按钮文案没有立即进入、直达或安全访问等承诺，视觉也不能弱化UNKNOWN和停止提示。
最终页面只提供核验方法和站内记录，不托管外部目标。一次前置检查不说明后续页面身份，也不保证路线持续。出现不透明目标、证书不一致、未知文件或秘密索取时，用户无需完成风险计算，直接退出即可。记录只保留脱敏字段、时间和停止原因，让安全边界早于动作。
- 核心字段无需跳转即可读
- 决定信息不藏在后页
- 文案不包含可达承诺
- 停止原因采用最少留存
