放权是一道梯子
分级授权的界面形态:读取放行,修改看差异,不可逆显式批准。
「全自动」和「全手动」都是不可用的极端。
让用户给 Agent 授权,最省事的界面是一个开关:开了全信,关了全不信。但两个极端都不可用——全手动时 Agent 没有价值,全自动时用户不敢用。真实的信任从来是分层的:有些事放手,有些事过目,有些事必须亲手按下确认。界面的任务是把这道梯子做出来,而不是把选择题出成判断题。
分级的依据不是操作的类型,是操作的后果。读取类操作不改变世界,放行,不打扰;修改类操作可以撤销但有成本,把改动前后的差异摆给人看,确认了才执行;不可逆操作——删除、对外发送、资金动作——必须显式批准,且批准动作本身要有分量,不能淹没在一排「确定」按钮里。三级台阶,对应三种后果承担方式。
差异视图是修改类操作的语言
「让用户确认修改」说起来容易,难在确认什么。把整个结果丢给用户等于没问——没人逐字核对一屏新配置。差异视图只呈现变了什么:改前什么样、改后什么样、波及多大范围。用户核对的不是全文,是变化量,确认成本从通读降到扫一眼。这是修改类操作能既过人手又不拖慢流程的关键。
授权写在交互里,不写在免责声明里
同样的边界,可以写成用户协议里的一段小字,也可以做成每次操作时的交互结构。前者把责任推给用户,后者把控制交给用户。这套分级与「信任阶梯」的论证同源:恰当的信任优于最大的信任,界面要帮用户把信任放在准确的高度——该收的时候收得回来,才敢在该放的时候放出去。
业务在营,真实界面与数据不外带,图为重绘示意。三级台阶的划法可以照搬,具体哪一档卡在哪个动作上,由每个业务自己的后果清单决定。