权限最小化
拒绝权限后的页面行为如何测试而不授权
用拒绝态观察降级行为且不扩大权限。 本文给出可复核步骤、状态边界、脱敏记录方法与复核路径。
拒绝权限后的页面表现，比“是否弹窗”更能说明任务有没有安全退路。测试不是寻找绕过授权的方法，而是在不授权的前提下观察页面是否保持可读、给出手动替代、显示清楚错误，还是反复阻塞。相机、位置和通知分别成组，因为它们的任务关系不同；一次拒绝不能代表其他权限。拒绝动作发生在浏览器层还是系统层也会影响后续询问，证据卡必须写明决定保存在哪一层。系统选项文字随版本变化，原文和语言应保留，不能只写成编辑者概括。页面自制关闭按钮只能记为关闭，不能等同系统拒绝。
目前没有目标页面拒绝态的实测证据，所有行为保持UNKNOWN。实验在权限前态为“询问”的专用设备上开始，记录拒绝前画面、系统选项、拒绝动作、第一帧、十秒稳定点和再次触发结果。不会进入真实账号，不改变全局安全开关，也不会按页面要求扩大权限。拒绝后若页面提供稍后询问、关闭功能或继续只读三个出口，应分别记录控件文字和落点，不能把它们合称为降级。系统可能把“拒绝一次”和“以后不再询问”做成不同状态，设置页无法区分时持久化栏为UNKNOWN。复测结束要检查隐私指示灯是否熄灭，但指示灯不可见并不证明传感器一定停止。
先定义拒绝前任务和完成标准
相机组的任务可以是识别离线合成码，位置组是选择公开城市，通知组是阅读内容后决定是否接收提醒。每组写出无需权限时可以接受的替代结果，例如手动输入、城市列表或继续阅读。若任务本身与权限关系不明，必要性为UNKNOWN，仍可观察拒绝态但不能评价替代是否等价。
任务结束标准必须是可见动作，不用“体验良好”。例如手动输入框出现、城市列表可选、正文保持可滚动。实验排除登录、上传个人资料、支付和远端提交。页面一开始就要求这些动作时，本组停止，拒绝行为不再继续探查。
- 每个权限绑定独立任务
- 替代结果有可见标准
- 账号交易流程不进入实验
把拒绝动作和系统选项记录完整
系统可能显示“不允许”“仅一次”“使用期间”等选项。实验选择明确的不授权选项，记录原文、语言、弹窗归属和动作时刻。不能用系统返回键代替选择后仍称为拒绝，因为两者可能产生不同状态；若只能关闭而无拒绝选项，动作类型单独记为“关闭”。
选择前截取脱敏画面，选择后立即记录站点权限状态。设置页若无法确认单站点决定，状态写UNKNOWN。不要为了截图重新打开弹窗并重复选择，因为后续请求已经处于不同前态。任何弹窗要求安装配置或输入设备密码时立即取消。
- 关闭与拒绝不得混称
- 记录系统选项原文
- 不为补图重复改变权限
观察首帧、稳定态和任务出口
D1是弹窗消失后的第一帧，D2是十秒后的稳定态，D3是用户尝试返回任务入口。分别记录错误文字、按钮状态、焦点、滚动位置和替代控件。页面短暂显示空白后恢复，需要保留完整序列，不能只截最终成功画面。
若拒绝后回到上一页，说明路径结束但不自动等于失败；要看任务是否仍有其他入口。若页面冻结，等待到预定上限，不连续点击。超时值是实验窗口，不是服务性能承诺。出现未知主机或证书提示时立即终止，后续状态标未执行。
- 至少记录三个拒绝后观察点
- 不以最终画面覆盖中间状态
- 等待期间不连续点击
验证替代方式是否真的少用权限
相机被拒后出现“手动输入”，先检查它是否只需要合成代码，不要求照片库或剪贴板读取。位置被拒后城市列表应允许手工选择，不应马上索取精确定位。通知拒绝后正文应继续可见。替代路径若引出新的权限，建立新事件并停止，不把它算成成功降级。
手动输入不提交真实凭据，合成值只验证控件流。替代完成后记录页面结果和清除测试值的方法。控件没有说明数据去向时，不输入，任务结果为UNKNOWN。研究者只评价当前任务能否在拒绝态继续，不推断开发意图或合规性。
- 替代路径不得扩大权限
- 输入只用无意义合成值
- 数据去向不明不输入
检查再次触发和持久化决定
保持“已拒绝”前态，关闭当前页面后重新进入同一任务。记录系统是否再询问、页面是否直接显示说明或控件是否禁用。第二轮与首次拒绝分开，因为系统可能记住决定。浏览器重启和设备重启属于另外两组，不在一轮中连续完成。
若页面引导进入设置修改权限，只记录引导文字和目标类别，不照做。系统设置的单站点状态可以脱敏核对，但不改变。重启后表现不同，先检查浏览器版本与权限状态是否漂移；无法确认时写“不确定”，不称为持久化缺陷。
- 已拒绝前态单独成组
- 设置引导只记录不执行
- 重启组与普通复进分开
并列保存重复弹窗和无弹窗样本
同一环境两轮中，一轮反复请求、一轮直接降级，不能取平均。为每轮保存事件号、权限前态、入口、动作、结果和录像。找到缓存、版本或站点设置差异就拆分环境；找不到差异时状态为冲突，提出补测而非选一个更顺眼的结论。
反复弹窗需定义：在没有新任务动作的情况下，同一系统请求再次出现。页面说明层重复不与系统弹窗混算。缺少动作前录像时，不能确定是否有误触，该轮“重复”判断为UNKNOWN。第三次运行只增加样本，不用于多数表决。
- 冲突结果不做平均
- 重复弹窗有明确事件定义
- 第三轮不作多数裁决
把拒绝态结论限制在当前路径
发布文字可写：“设备P9、浏览器版本B、权限前态询问、任务Q4下，选择不允许后出现手动城市列表，公开内容仍可阅读；相机任务未测试。”每一项指向证据号，版本或观察时刻缺失就写UNKNOWN。不能写成平台全面支持拒绝态。
独立研究不会建议开启不必要权限，也不提供外部安装或账号路径。证书异常、设备管理、通讯录或短信访问请求构成停止条件。后续系统升级可能改变拒绝选项，应创建新记录并保留旧限制，让读者看到哪一条环境实际被观察、哪一条仍未验证。拒绝态还要检查页面是否通过颜色、倒计时或重复遮罩施加压力，但记录只描述控件是否可关闭、正文是否仍可访问，不给出动机判断。若替代路径声称可手动选择城市，却在提交前再次索取位置，应把第一次替代结束和第二次请求分成两个任务阶段。相机拒绝后如果浏览器保留黑色预览区域，需记录它是否仍占用相机指示灯；没有系统隐私指示证据时，相机是否继续工作为UNKNOWN。实验结束后从系统设置确认权限仍为拒绝，再关闭测试标签并清除合成输入。设置状态改变但动作日志没有授权步骤，视为冲突并暂停发布。
- 结论明确权限任务和前态
- 未测试权限单独声明
- 系统升级后新建记录
