操作前边界
弹窗要求账号、验证码或支付资料时如何退出
只保存脱敏场景描述，不与弹窗继续交互。 本文给出可复核步骤、状态边界、脱敏记录方法与复核路径。
公开说明页面若突然索取账号、短信验证码、支付资料或身份文件，审计者不需要完成弹窗才能判断下一步。正确动作是在不输入、不复制秘密、不联系弹窗所示人员的前提下退出。台账只记录弹窗出现前的主机、触发动作、索取类别、可见警告、停止时刻和恢复结果，具体账号与消息内容不进入证据。弹窗还可能伪装成系统对话框，因此记录时注明它位于网页内容区、浏览器界面还是操作系统层。无法判断来源层级时同样停止，不能点开更多信息来试探；后续由设备安全流程在离线证据上分析。审计页面也不会提供重放弹窗的按钮。
敏感弹窗与普通提示的区别在于它要求能够控制身份、资金或设备的信息，或诱导用户关闭保护、启动远程控制。本文将识别、停止、脱敏和恢复拆开说明。弹窗目标或脚本行为无法确认时写UNKNOWN，不能通过继续交互来补证。一次退出也不证明页面整体性质，只表明某个受控实验在指定节点触发了硬停止。移动端键盘弹出、浏览器自动填充或密码管理器提示可能把真实资料带到输入框，即使用户没有敲字也存在暴露风险。实验设备应关闭自动填充，若字段已被填入就立刻退出，证据只写自动填充发生，不截取具体内容。退出之后还要检查浏览器是否记住表单、是否授予剪贴板或通知权限，以及系统最近项目中有没有未知文件。发现残留时记录类别和恢复动作，不记录具体秘密；无法确认清理完成则设备状态为待安全复核。若弹窗阻止关闭，使用系统级退出并把无法正常关闭列为单独观察。
按索取内容而不是视觉样式分类
分类表包含账号密码、一次性验证码、支付卡或钱包、身份证明、精确位置、设备管理、远程控制和未知文件。弹窗是否精美、是否有品牌图形、语气是否紧急都不改变类别。仅要求关闭通知提示与要求授予通知权限也要分开，后者属于设备权限请求。
无法看清完整文字时，记录可见关键词和遮挡情况，索取类别填UNKNOWN。不要截图短信、密码管理器或支付页面来证明自己没有提交。弹窗引导转到聊天软件或拨号同样视为离开当前审核边界，关闭而不跟随。
- 按资料和权限类别判断
- 视觉信誉不参与分类
- 看不清时写UNKNOWN
- 站外联系不继续
记录触发前态避免误判来源
弹窗出现前先有哪个动作必须写清：页面自动加载、点击阅读按钮、关闭横幅、滚动或返回。无操作即出现与用户主动打开设置是不同场景。记录当前主机、页面任务、触发时间和是否新开窗口，帮助复核弹窗来自哪一段流程，但不据此断言脚本主体。
如果多个标签页同时存在，先确认哪个窗口获得焦点，不把系统通知误作页面弹窗。弹窗遮住地址栏时，主机取遮挡前最后一次可靠观察，并标本节点未再次确认。无法定位来源窗口时，事件仍可停止，来源字段为UNKNOWN。
- 触发动作具有前态
- 自动弹出与主动操作分开
- 系统通知不混入页面事件
- 来源不明不妨碍退出
退出过程不与弹窗继续交互
优先选择浏览器级关闭标签或窗口，而不是弹窗内部的稍后、取消订阅或确认按钮，因为这些按钮行为无法预知。若浏览器关闭被阻止，使用系统提供的结束窗口方式，并保存停止原因。不要输入虚构账号测试，也不要用真实验证码观察后续页面。
弹窗触发文件时立即检查下载列表，取消未完成项目，已保存文件不打开。出现远程控制要求时不安装软件、不共享屏幕、不提供设备代码。页面建议关闭安全功能时直接退出。恢复动作完成后，记录浏览器是否重新可控以及是否残留窗口。
- 使用浏览器级退出
- 不以虚构账号继续测试
- 未知文件不打开
- 拒绝远程控制和保护绕过
证据脱敏从截图前就开始
若能在不扩大风险的情况下截取弹窗，画面只保留索取类别、页面主机摘要和时间；输入框中的自动填充、账号头像、通知内容和二维码必须遮盖。弹窗显示电话号码、联系人或支付账号时，公开副本以类别描述代替具体值。
无法安全截图时，使用两人复核的文字记录：一人照录非敏感提示，另一人确认停止动作。原始画面若含秘密，存储在隔离位置并限制访问，制作摘要后按保留策略删除。台账不接收用户提交的验证码、身份证或完整账户截图。
- 截图不包含自动填充
- 联系方式以类别替代
- 无图可用双人文字复核
- 台账不接收用户秘密
合成弹窗演练退出路径
训练场景P一在页面加载后要求短信验证码。审核者不点弹窗，直接关闭标签，记录自动触发、验证码类别和退出成功。P二在点击说明按钮后打开新窗口并要求支付资料，处理为关闭新窗、保留原页、不提交。编号和文字均为合成，不代表任何真实页面。
P三只显示继续按钮，索取内容被遮挡。由于目标与动作都不透明，类别写UNKNOWN并退出。P四诱导安装远程工具，记录设备控制请求后停止。演练重点是任何一类都不需要完成流程来确认；训练数据不得进入公开事件计数。
- 自动触发与点击触发分开
- 新窗口单独关闭
- 不透明动作保持UNKNOWN
- 训练样例不进入统计
退出后的权限和浏览器检查
关闭页面后查看站点权限，撤销此次误授的通知、剪贴板、定位、摄像头或存储权限。只记录权限类别和恢复结果，不保存设备唯一信息。浏览器启动页被修改、扩展被添加或出现持续弹窗时，停止普通复测，交由设备安全流程处理。
下载列表只检查是否有未知项目及其处置，不把文件上传到台账。若用户已经输入真实资料，本文不收集细节；应从其既有可信渠道处理账户或支付安全。审计事件标用户可能已交互，但具体内容UNKNOWN，避免二次泄露。
- 误授权限逐项撤销
- 设备异常转安全流程
- 未知文件不上传台账
- 已输入秘密不再收集
发布审核确认硬停止没有被弱化
审核者检查文章、卡片和按钮是否把敏感索取放在无条件停止分支，不能出现谨慎继续、评分较低可尝试等例外。事件证据只描述类别、触发和退出，不公开可识别值。若来源主机、触发动作或时间缺失，相关字段写UNKNOWN，摘要仍可说明已执行退出。
本方法不判断弹窗背后的运营者，也不提供联系方式或外部入口。它保护的是用户在信息不足时保持设备和资料控制权。后续研究若需要复现，应使用隔离环境和新的实验授权，原页面不因一次关闭就被标永久状态；旧记录继续带时间和场景限制。
- 硬停止没有评分例外并且恢复步骤逐项完成后还需确认浏览器重新受控
- 摘要不暴露敏感值
- 未知字段不被默认补齐
- 结论限定一次场景
