六大盲区风险分析与处置建议（小齐）

来源：gpt6《四页整体性评审》（提交 aa9f6a43；docs/design/2026-09-23-gpt6-四页整体性评审-v1.md）第 7 问"六大盲区"。
性质：风险清单 / 开放待办，不是已完成项。刘总 2026-09-23 03:2x 指令"六大盲区写文档"——此前我误把它挂成"待派后端"未落地，本次补齐。
范围：六类问题均超出前端视觉/布局域，涉及可用性、人身安全、隐私合规，需跨域（前端 / 后端 / 产品 / 法务 / 运营）协同处置。
与既有铁律的关系：其中"弱网不伪装实时""SOS 无网提示""状态块统一"与禁 mock 红线、A 端可配置铁律、C 项状态块统一方向一致，但属于"系统性防护"层级，单页视觉整改未覆盖。

⚠️ 说明：各条"现状"中标注「需实测」者，是基于已知提交推断、尚未在开发者工具逐页点验，落地前须以实测为准。

1. 弱网 / 离线策略

定义：高原/转山途网络不稳定，用户可能断网或高延迟；需明确缓存、数据有效期、断网可用边界。
现状：C 端目前无统一离线缓存层；接口数据（天气/路况/POI/行程）多为"请求→渲染"，失败走空态（已在 C 项整改中统一 .state-tip/.state-error/.retry）。但数据有效期、过期重验、断网时"已加载内容是否可读"均未定义。
风险：断网时用户看到空态/报错却无法判断"是没网还是真没数据"；反复重试加重弱网负担。
建议：
定义各类数据的 TTL 与"最后成功时间"展示；
关键只读内容（路线/安全须知）本地轻缓存，断网可读并标"上次更新于 X"；
写操作（SOS 触发、需求发布）离线排队 + 失败可重发。
归属：前端（缓存/UI）+ 后端（数据有效期语义、离线队列表）。
优先级：P1（高原场景刚需）。

2. 低温手套与身体不适

定义：高原低温下用户戴手套操作、或本人高反/不适时，界面应减输入；自查结果能引导休息/补给/求助，但绝不替代医疗判断。
现状：当前界面为常规触控设计；大点按区已部分满足（按钮 ≥88rpx 是视觉红线之一，需全量复核是否 100% 覆盖）。身体自查 health-check 页存在，但自查结果"下一步引导"是否覆盖休息/补给/求助需实测。
风险：不适用户在小屏上多点/输入困难；自查提示若暗示"可以继续"有医疗越界风险。
建议：
关键操作触控区 ≥88rpx（已部分落地，需全量复核）；
健康自查结论文案限定为"建议休息/就近补给/联系 SOS"，严禁任何"无碍可继续"类医疗判断；
提供"一键求助"快捷入口，减少操作步数。
归属：前端（文案/交互）+ 产品（医疗免责边界，需法务复核）。
优先级：P2。

3. SOS 误触与误用防护（🔴 P0 安全相关）

定义：紧急求助按钮极易被误触（戴手套、儿童、紧张时）；需确认/取消/连点防护、无网提示，且紧急时不能只依赖单一网络接口。
现状（部分已知）：VI 批已移除 sos 3 处"演示拨号"占位死链；SOS 入口原只在"我的"页，gpt6 指出"不能只埋在我的页"——首页工具区已补 SOS 入口（9bf4f78e 加紧急帮助卡）。但误触二次确认、连点防抖、无网时降级路径（直拨/短信补发）是否存在需实测确认。
风险：误触导致虚假求助占用救援资源；真紧急时因无网/单接口失败而无法发出。
建议：
触发需二次确认弹窗（明确"将通知你的管家/紧急联系人"）；
连点/倒计时防抖；
无网时降级：尝试直拨紧急号（110/120/管家电话）+ 本地记录待联网补发；
多入口（首页+我的页）已部分实现，评估是否覆盖"悬浮/锁屏"场景（受平台限制）。
归属：前端（交互/降级 UI）+ 后端（SOS 触发与通知链路 trigger_sos，波波域）。
优先级：P0（安全相关，建议优先派单）。

4. 电量与权限失败替代路径

定义：低电量、定位/相册/通知等系统权限被拒时，核心流程要有替代路径，不能卡死。
现状：未系统梳理。例：oxygen-map 找补给点依赖定位权限；行程/健康依赖通知。权限被拒后是否降级（手动选区域/跳过）需实测。
风险：权限拒绝 → 功能不可用 → 用户卡在半途。
建议：
每处权限申请前置"为什么需要"说明；
被拒后提供手动替代（手动选区域/跳过非必需步骤）；
低电量提示与"关键操作优先"引导。
归属：前端为主。
优先级：P2。

5. 隐私与数据生命周期（🔴 P1 合规硬门槛）

定义：轨迹、旅客档案、紧急联系人、我的客人等敏感数据——谁可见、存多久、怎么删，需明确并落地。
现状（关键缺口）：C 端"我的"页含旅客档案/紧急联系人/我的客人等入口，但数据生命周期策略（采集告知、存储期限、删除通道、越权可见性）在代码与文档中均未定义；后台 kailash 库的留存策略未知。
风险：
合规风险——《个人信息保护法》对敏感个人信息（健康/行踪）有单独同意与最小必要要求；
信任风险——用户不知数据去哪。
建议：
产品层出《隐私政策》与采集告知（上线前必备）；
后端定义敏感字段留存期与用户自助删除接口；
前端在采集点明确告知用途与范围。
归属：产品+法务（策略）+ 后端（留存/删除接口，波波域）+ 前端（告知 UI）。
优先级：P1（合规硬门槛，涉上线资格）。

6. 示例图信任

定义：AI 示例图/示意素材替换为实拍时，不能让用户误判为"实时路况/实时状态"；图片与服务状态须分离。
现状：刘总 09-22 三裁已明确"AI 生图作示例、后期人工补拍、示例图暂不标注"；当前视觉整改已接 8 张 AI 示例图且 URL 全 200。但尚未建立"示例图 vs 实拍实时图"的视觉区分机制，未来补拍替换时若不加标注，用户可能把示例图当实时服务状态。
风险：图文不符（《广告法》《消法》虚假宣传），与是否 AI 生成无关。
建议：
示例/示意图统一弱标识（如角标"示意图"），与"实时服务图"区分；
服务状态（天气/路况/开放）一律用文字+时间戳，绝不用图片暗示；
补拍替换后移除示意标识。
归属：前端（图注 UI）+ 运营（素材标注规范）。
优先级：P2（但上线前需定规范）。

7. 总处置建议

盲区	优先级	前端可立即做	后端/协同（域）
SOS 误触防护	P0	二次确认/连点防抖 UI	SOS 通知链路（后端·小齐自实施）
弱网离线	P1	空态/TTL 展示/离线可读 UI	离线队列+有效期语义（后端·小齐自实施）
隐私生命周期	P1	采集告知 UI	留存/删除接口+隐私政策（后端·小齐自实施 / 产品·法务）
低温手套	P2	触控区复核/一键求助	医疗免责边界（产品·法务）
权限降级	P2	权限说明+手动替代 UI	—
示例图信任	P2	示意图角标 UI	素材标注规范（运营）

前端能落地的（空态/TTL 展示/触控区复核/示例图角标/权限说明 UI）可现在做；需后端/产品/法务的（离线队列、SOS 通知链路、隐私留存与删除接口、隐私政策）须派单。
本清单与《派单波波-C端内容配置读取接口》共同构成 C 端"接真"后的下一阶段工作池。
验收口径：每条须有可复跑证据（如 SOS 误触：连点 N 次只发 1 次；隐私删除：调删除接口后库内记录消失）。
状态重申：以上六类均未解决，是开放风险清单，不计入任何已关账批次。

8. 处置状态更新（2026-09-23 · 小齐 · 刘总"你处理"指令）

刘总授权"六大盲区你处理"。经代码核查 + 与既有裁决对齐，状态如下：

盲区	优先级	处置结论	当前状态
SOS 误触防护	P0	前端已落地（sos.ts：二次确认抽屉 + `submitting` 防连点 + 失败降级直拨 110/120 + `sosAlert` 阻止重复）；后端通知链路小齐已实施（`trigger_sos` 抓取紧急联系人为 SMS 派发目标 + 站内信自确认，staging E2E 验证通过；管家直通知/SMS 网关因系统无用户→管家归属表为待接入项，未伪造成已发送）	前端✅ / 后端✅(小齐)
弱网离线	P1	空态已统一（C 项 `state-tip`）；离线同步端点小齐已实施（`POST /api/miniapp/sync` 按 client_id 幂等，staging E2E 验证 applied→duplicate）；TTL/离线可读 UI 待做（前端）	后端✅(小齐) / 前端 UI 待做
隐私生命周期	P1	留存删除接口小齐已实施（`DELETE /api/miniapp/privacy/me?scope=` 真实删敏感数据 + `user_data_deletion_log` 审计，staging E2E 验证 deleted=1）；采集告知 UI（前端）待做 + 隐私政策文案（产品·法务）	后端✅(小齐) / 法务待派
低温手套	P2	88rpx 触控红线已部分落地；一键求助已存在（SOS）；医疗免责文案需产品法务	前端基本覆盖 / 法务待派
权限降级	P2	权限说明 + 手动替代 UI 待逐页梳理（前端）	待做路径已定
示例图信任	P2	按刘总 09-22 三裁"示例图暂不标注"——前端角标暂不实施；服务状态用文字+时间戳（已在做）	按裁决暂缓

已落地不重做：SOS 前端防护（P0 关键项）经核查代码已具备，仅需在真机实测验证；盲区原文档"现状需实测"已转"已落地待实测"。
后端三项归小齐自实施（2026-09-23 14:5x 刘总裁定）：原《派单波波·六大盲区后端缺口》已撤回，SOS 通知链路 / 弱网离线队列 / 隐私留存删除接口三项由小齐（C端全权）实施并 staging E2E 验证通过，提交 5d8a5065（含懒建表自愈，prod 部署后自动建表）。
按裁决暂缓：示例图角标明确违背刘总 09-22 三裁，不实施，仅保留"服务状态文字化"方向。
前端软项不擅自大改：弱网 TTL UI、隐私告知 UI、权限说明 UI 在冲刺上线关口不蛮干冲击稳定性，路径已定，待刘总拍板是否现在做。
产品·法务协同项（未越域）：隐私政策文案（《个人信息保护法》合规必备）、医疗免责边界、素材标注规范，仍待刘总派产品/法务。

-- 整理：小齐（2026-09-23）