交互工程 · 3 / 10 防错与可逆：让用户敢点 上一节教错误怎么说，这一节往前挪一步： 让错误压根发生不了，发生了也能一键回头 。AI 生成的应用最爱用确认弹窗当保险，但那是最弱的一道防线，你自己动手删两条数据就明白了。 防错三板斧 撤销 toast 狼来了实验 改造演练 一句话速览 与其事后报错，先让错误发生不了；撤销让探索变安全，确认弹窗是最弱的防错。亲手改造三个危险按钮 用户在探索，别把探索当犯错 Cooper 在《About Face 4》第 15 章有个立场：从用户的心理模型看，没有「错误操作」这回事。人用软件就是在探索，点点这个、试试那个，走进死胡同再退出来，这是学会一个工具的正常方式。把探索标记成错误、动不动弹框拦截的软件，用户会越用越缩手缩脚。 他给撤销打的比方很形象：人进山洞探险，洞口挂一条随时能爬回地面的绳梯，胆子就大得多。撤销就是那条绳梯，它救的次数不多，但它挂在那里，用户才敢往深处走。 「做，不要问。」 Alan Cooper，《About Face 4》：与其用弹窗要用户确认，先自信地执行，再备好撤销。 敢点的心理机制（防御心理、控制感）在心理学篇有一整节，这里放跳转卡，不重教。
跨章引用 · 防御心理：用户不是不会用，是不敢用 可逆性怎么给用户控制感、为什么误触一次就再也不敢碰，心理学篇第 6 节讲透了，点这里跳过去。
防错三板斧：报错的最高境界是无错可报 第 15 章的排序很清楚：错误信息写得再好，也比不过让错误发生不了。检查 AI 产出时先看这三板斧用上没有，三样都便宜，AI 也都会做，前提是你提了。
禁用不可用项 条件不满足的按钮置灰，旁边说明缺什么。让用户点一下再报错，等于设好陷阱看人踩。
危险操作拉开距离 「清空」别挨着「保存」。Cooper 的比方：无害的功能和弹射座椅拉杆排在一起，像坐在打开的烤肉炉边上。
默认值兜底 默认选项永远是最安全的那个。群发邮件默认发所有人，等于把手滑的代价预设到最大。
三板斧防住大半，剩下的交给可逆性。于是问题来了：真到删除这种动作上，AI 最常给的方案是确认弹窗，它到底顶不顶用？做个实验。
动手 · 删一条数据，两种善后 左右两个通讯录，数据一样。左边用 AI 最爱的 确认弹窗 ，右边用 立即删除 + 可撤销 toast 。请你两边各删一条，然后试着把删掉的救回来，体感会替你下结论。
确认弹窗 vs 撤销 toast 两边都删删看
点行尾的「删除」，B 面删完 5 秒内可以撤销，倒计时条走完就真没了
contacts.example.com
通讯录 A · 确认弹窗方案
王 王小虎 产品 · 1382201 删除 林 林晚晴 设计 · 1398842 删除 陈 陈大江 运营 · 137****0917 删除
确定要删除吗？ 删除后将无法恢复。
取消 确定
contacts.example.com
通讯录 B · 撤销 toast 方案
王 王小虎 产品 · 1382201 删除 林 林晚晴 设计 · 1398842 删除 陈 陈大江 运营 · 137****0917 删除
已删除 撤销
A 面打断你 0 次弹窗。删掉的救得回来吗？救不回来。弹窗只负责事前拦一下，拦过之后两手一摊。 B 面救回 0 条数据，全程零弹窗。删除立即生效不打断，后悔窗口敞开 5 秒。
重置两边数据
狼来了 · 确认弹窗为什么拦不住你 你可能不服：弹窗好歹拦了一下，怎么就最弱？Cooper 的解释是习惯化：在常规位置反复出现的确认框，用户很快就看也不看地点掉，等真正的危险到来，手指比脑子快。这个实验 20 秒，亲自验证一次。
连点八个弹窗，看看你拦得住第几个 实验
规则：尽快处理掉八个弹窗，怎么点都行，实验结束见分晓
oa.example.com/daily-report
你在赶一份日报，弹窗会一个接一个跳出来 像平时一样处理它们就行，越快越好，系统会计时。 开始实验
演练 · 给三个危险按钮做改造 三板斧加可逆性都齐了，上手改造。三个场景全出自 AI 产出的常见毛病， 每个场景选一种最对症的防错手段 ，选错有解释，选到对的为止。
场景一：工具栏上「清空画布」紧挨着「保存」，已经有用户手滑 单选
A 点「清空画布」时弹确认框 B 把「清空画布」挪进菜单深处，和「保存」拉开距离，再配撤销 C 把「清空画布」按钮改成红色以示警告 D 清空前自动导出一份备份文件到本地
场景二：群发通知的弹窗里，收件人默认勾着「所有成员（2841 人）」 单选
A 发送前弹确认框，显示收件人数 B 把「所有成员」选项删掉 C 默认值改成「只发给我勾选的人」，选「所有成员」时就地显示人数提示 D 发出去以后允许撤回，兜底就够了
场景三：表单没填完，「提交」照样能点，点了弹「信息不完整」 单选
A 报错文案按三要素改写得更友好 B 没填完时禁用「提交」，按钮旁边写明还缺哪几项 C 提交时自动把空字段填上默认值 D 弹确认框列出空字段，让用户选择继续或返回
选一选 · 四道防线排个序
四道防线里，哪道最弱？ 单选
选错也有解释，选到对的为止
A 禁用不可用项，配说明 B 危险操作和常用操作拉开距离 C 删除前弹确认框 D 立即执行，配可撤销
本节要点
✓ 用户在探索，别当犯错处理： 撤销是洞口的绳梯，它挂在那里，用户才敢往深处走（Cooper，《About Face 4》第 15 章）。 ✓ 防错三板斧： 禁用不可用项并说明、危险操作拉开距离、默认值选最安全的。报错的最高境界是无错可报。 ✓ 确认弹窗是最弱的防线： 狼来了效应，常规弹窗被无脑点掉，真危险来时它早已失效。做，不要问，然后备好撤销。 ✓ 给 AI 提需求的话术： 「删除立即生效，弹出可撤销的 toast，保留 5 秒」比「删除要有确认」产出好一个档次。流程里的多余步骤怎么砍，下一节讲。
内容来源： 小山学堂「交互工程」专题原创；部分交互原则整理自《About Face 4：交互设计精髓》。