工程上最危险的不是完全不可用，而是在理想环境里正常、进入真实网络和真实数据量后悄悄失去边界。 TOFU 能防后续被动冒充，却不能证明第一次没有中间人。产品应清楚区分“见过此密钥”和“用户核验过此密钥”，不能都显示为安全。
安全评审要从资产、攻击者能力和信任边界出发，并在每次状态转换重新授权。输入校验、速率限制和审计只能互补，任何一个都不能替代权限判断。
工程边界与取舍
这项能力横跨客户端、网络与服务端，局部最优很容易制造全局故障。工程决策需要同时约束两端行为、持久化事实和运维预算。
- 低风险连接可先 TOFU 并显示未核验；共享屏幕、敏感文件或指纹变化时要求双方比较短串或扫码，核验记录绑定密钥。
- 先定义正常、降级、取消和失败四类终态，再让界面、存储与指标消费同一状态。
- 重试必须带幂等键、退避和截止时间；超过截止时间后建立新任务，而不是继续复活旧回调。
“TOFU 还是显式指纹核验：设备信任该给用户多少摩擦”的交付标准是正常路径可用、异常路径收敛、资源有界，并且用户能理解系统为何采用当前状态。 这样得到的不是演示代码，而是能解释、能降级、能回滚的生产能力。
生产环境会怎样出错
不要把异常路径理解成弹一次提示。它还包括在途工作如何停、对端如何获知、残留数据如何处置，以及下一次操作是否会继承旧状态。
- 指纹变化只弹普通通知会训练用户点击继续；把设备名称当身份又允许攻击者复制名称降低警觉。
- 刷新或网络切换同时触发两条恢复路径，重复副作用被误当成两次真实用户操作。
- 指标标签直接包含用户或任务标识，既制造高基数成本，也让诊断数据泄露不必要的身份信息。
把测试跑成闭环
验证需要先写预期状态轨迹，再执行故障注入。每个阶段同时核对用户可见结果、两端协议状态、持久记录和资源计数，才能证明闭环成立。
- 模拟首次中间人、已核验后换钥、合法迁移和用户忽略提示，检查敏感能力默认是否关闭且审计不包含完整指纹。
- 用乱序、重复和延迟消息驱动状态机，确认旧版本被丢弃且显式停止不会被自动恢复覆盖。
- 分别覆盖直连、中转、弱网、后台标签页和移动端，报告不能只给平均值或一次成功截图。
当实现能够安全降级、重复执行不产生额外副作用、故障指标早于投诉出现时，这项能力才算具备长期维护价值。