好的实现不会依赖用户反复刷新碰运气，而会让每个阶段有明确输入、输出、超时和终态。 通知由操作系统在应用外展示和保留，浏览器无法保证观看者是当前用户。默认内容只描述事件类型和可信设备别名，不展示消息正文或文件名。
风控既要限制滥用，也要限制自己收集的数据。优先使用短期、粗粒度、可解释信号，并为共享网络、弱网和辅助技术保留恢复与申诉路径。
先定义系统契约
先从数据和协议能保证的事实出发，再决定界面承诺。下面的规则都应有明确所有者、边界值和兼容策略，不能只存在于某次代码评审的口头共识里。
- 提供独立预览偏好且默认关闭；notification tag 用事件 ID 去重，点击后进入应用再鉴权读取内容，撤销或完成时主动关闭旧通知。
- 所有输入都设置大小、次数和时间预算，并在超限时返回可操作的稳定错误码。
- 上线参数必须有保守默认值、服务端上限和灰度开关，不能把浏览器传来的数字直接当作资源预算。
“通知隐私：锁屏上不该出现消息、文件名和连接秘密”的交付标准是正常路径可用、异常路径收敛、资源有界，并且用户能理解系统为何采用当前状态。 这样得到的不是演示代码，而是能解释、能降级、能回滚的生产能力。
哪些情况会破坏契约
最值得优先排查的是会静默留下错误事实的故障：界面看似恢复，底层队列、权限或计数却已分叉。这类问题通常在下一次动作才暴露。
- 把连接码放进通知动作 URL 会进入系统历史；相同聊天重复到达若 tag 不稳定会连续弹出两条并泄露频率。
- 刷新或网络切换同时触发两条恢复路径，重复副作用被误当成两次真实用户操作。
- 只在理想数据量下测试，真实的大文件、长会话或高并发会越过隐含上限并产生级联故障。
如何逐条验证契约
验证时同时观察两端状态、持久化记录和可观测指标。单看某个按钮或一次接口响应，无法证明整个闭环成立。
- 在锁屏、共享系统账户、通知权限变更和重复投递下测试，验证默认文案最小化、点击需重新授权且终态会清理。
- 在操作中途断网、切换网络并恢复，核对两端状态、持久化记录和资源计数最终一致。
- 分别覆盖直连、中转、弱网、后台标签页和移动端，报告不能只给平均值或一次成功截图。
最终结果应同时满足正确性、可恢复性和可解释性。任何一项只能依赖刷新页面或工程师猜测，都说明协议闭环仍不完整。