实验隐私与复核
设备标识、账号与通知内容的脱敏边界
保留系统和视口信息但删除个人标识。 本文给出可复核步骤、状态边界、脱敏记录方法与复核路径。
设备实验需要系统版本和视口，却不需要序列号、广告标识、真实设备名称、账号头像或通知正文。脱敏的难点不是把画面全部模糊，而是在保留复核所需字段的同时，删除能识别个人、网络和会话的信息。流程从采集前的数据最小化开始，经过原件隔离、字段分类、不可逆遮挡、双人复核和公开副本登记。裁切、遮挡和文字转录都会改变证据能力，所以处理日志必须说明哪些判断因此不再可做。
当前没有目标样本的可公开截图，因此证据状态为UNKNOWN。下面只规定处理方法。匿名设备号D4由证据库随机分配，不从型号、用户名或日期拼接；公开图P4与原图O4有各自指纹。原图访问受限，公开页面只引用P4及其处理记录，不暴露内部目录或采集者身份。代号映射的密钥与证据文件分开管理，删除映射后公开材料仍应可理解，但不能再追到个人设备。
在采集前关闭不必要的个人显示
专用测试配置关闭通知预览、同步账号头像、最近联系人、照片小组件和剪贴板建议。设备名称改为实验代号，浏览器退出个人资料同步，但不通过清除真实用户数据来准备环境。没有专用配置时，不进行可能显示敏感资料的权限、分享或键盘实验。
采集脚本标出可能泄露区域：状态栏、地址栏查询参数、分享建议、设置页中的其他站点、相册缩略图和通知中心。观察者在动作前检查画面，发现意外个人内容就停止录制并删除未入库文件。删除事件只记录原因，不复制敏感文字。
- 优先使用专用测试配置
- 脚本预标敏感区域
- 意外采集立即停止入库
把字段分为保留、转换和删除
保留类包括系统主次版本、构建号、浏览器版本、逻辑视口、权限弹窗标题、错误文字和相对时刻。转换类包括具体设备型号改为代际、网络名称改N1、精确时刻按风险降到日期。删除类包括序列号、IMEI、广告标识、账号、电话号码、精确位置、Cookie和完整会话参数。
分类表随证据类型变化。证书截图需要保留主机结构却删除历史地址；设置页保留当前站点权限却遮盖其他站点；分享面板只保留预览区域。无法判断某字段是否可识别个人时，按删除处理，并在证据限制中说明这可能减少复核能力。
- 三类字段逐证据定义
- 会话参数一律删除
- 分类不明按删除处理
原件隔离后再制作公开副本
原件导入受限目录后计算指纹，设置只读并记录采集环境。编辑从副本开始，使用实色块遮挡、裁切或重新转录；不得在原件上直接覆盖。每一步处理写工具版本、区域、原因和操作者角色，生成新的文件号与指纹。
模糊和像素化可能被推测或反演，不用于高敏字段。裁切若去掉了容器归属、地址栏或步骤证据，应降低结论，而不是假装画面仍完整。公开副本必须能回指原件记录，但公开索引不包含原件存储路径。原件丢失时副本降级，来源栏为UNKNOWN。
- 编辑只作用于复制件
- 高敏字段使用实色遮挡
- 公开索引不泄露原件路径
处理截图元数据和文件命名
图片元数据可能包含设备型号、创建软件、位置或时间。公开前使用受审查工具列出元数据字段，保留必要的像素与颜色信息，删除位置、设备所有者和内部路径。元数据删除前后各计算指纹，并保存处理报告。无法读取元数据时不称为已清理，状态写UNKNOWN。
文件名采用P加随机号，不使用用户名、手机号、设备名或原始聊天标题。压缩包与目录同样遵守命名规则。屏幕录制中的音轨默认移除，因为环境对话可能泄露身份；若声音是错误提示证据，先转录必要内容，再删除原音并标明转换。
- 公开前审查图片元数据
- 文件名采用随机证据号
- 录屏音轨默认移除
用第二位审阅者检查遗漏和过度遮挡
复核者在不知道采集者个人信息的情况下检查公开副本：放大边缘、查看反射与缩略图、确认二维码和条形码已处理、核对地址参数、检查通知残影。发现遗漏就退回新版本，不在原副本上继续叠加导致记录混乱。
复核也检查是否遮掉关键证据。例如只剩一个拒绝按钮而没有弹窗归属，就无法支持权限来源描述。过度遮挡时可改用文字转录，由两人分别对照原件后签署一致；无法兼顾隐私和证据时，隐私优先，相关结论改为不确定。
- 第二人检查边缘与缩略内容
- 同时检查过度遮挡
- 隐私与证据冲突时隐私优先
设置访问权限、保留期和删除事件
原件只允许证据复核角色访问，公开编辑者通常只看脱敏副本。访问日志记录角色、时间和目的，不复制图片内容。保留期按证据用途设定，到期先检查是否仍支撑公开结论，再删除原件并把依赖结论降级或撤回。
设备所有者撤回许可时，停止新使用并按政策处理现有材料。删除事件保留证据号、执行时间和影响范围，不保留被删个人字段。备份与缓存也要纳入删除范围；无法确认副本是否全部清除时，删除完整性为UNKNOWN并暂停公开引用。
- 原件按最小角色授权
- 到期删除影响同步到结论
- 备份缓存纳入删除范围
公开时说明脱敏造成的证据限制
页面引用P4时列出保留字段、遮挡类别、处理日期和可支持的事实。例如主机结构保留但路径参数删除，因此可核地址层级，不能核具体会话。若系统构建因隐私限制未公开，版本结论标UNKNOWN，不能让读者以为字段只是省略。
独立研究不代表目标实体，不收集账号或设备标识，也不提供外部安装内容。出现要求上传身份证明、完整设备日志或关闭安全设置的请求时，采集停止。新的脱敏规范只对新副本生效时，要重新审阅旧副本；不能假设过去处理自动满足今天的边界。公开前还需测试小尺寸缩略图，因为高分辨率下看似遮住的通知，在缩略图锐化后可能露出轮廓；反过来，裁切边缘也可能保留姓名的一部分。二维码即使肉眼看不出内容，也要整块遮挡，不能只盖中心图案。屏幕中的反光、相册预览和键盘学习建议都进入二次检查。文字日志同样需要脱敏，错误信息可能包含本地文件路径、邮箱或会话号；采用字段级替换并保留类型，如“账号字段已删除”，不保留原长度。设备时间与时区结合可能推断精确位置时，可按日期公开，原始时刻仅限复核。研究代号映射表与公开证据分库存放，任何单一角色不应同时拿到真实所有者和全部原件。若审阅过程需要远程协作，只共享脱敏副本，不通过聊天工具发送原图。发现公开后遗漏时立即撤下副本，建立事故事件，检查搜索缓存与派生缩略图，并同步降低相关结论。
- 公开页列明遮挡与可支持事实
- 省略字段不得伪装已核
- 规范变化触发旧副本复审
