让内部记录支持外部解释
帮助内容应围绕任务，而不是只列页面上的控件。
产品文案应帮助使用者判断下一步动作。
自动二字背后的触发条件
匿名化处理需要考虑多个线索组合后仍可能辨认对象。单独移除姓名，未必足以让一段包含具体经历的文字失去识别性。讨论数据用途时可以检查必要粒度，并减少不相关细节，让保护措施围绕实际信息关系展开，而不是只完成某个字段的替换。
实现成功与使用者完成任务之间仍可能有距离。
交互页面的简洁应与信息是否容易发现一起评估。
让历史记录能够回答问题
接口鉴权失败与对象不存在，有时需要相同的外部表现，但内部仍需保留可追查的分类。对用户显示什么，应结合信息暴露风险与使用场景决定。运维记录则应帮助授权人员分辨原因，使安全边界与故障定位不必依赖同一段公开提示承担全部职责。
设置分类应贴近使用者想完成的事情。
对不确定状态的诚实说明，比虚假的进度更可靠。