开场：与其事后报错，先让错误发生不了

上一节教错误怎么说，这一节往前挪一步：让错误压根发生不了，发生了也能一键回头。AI 生成的应用最爱用确认弹窗当保险，但那是最弱的一道防线，你自己动手删两条数据就明白了。

一句话速览：与其事后报错，先让错误发生不了；撤销让探索变安全，确认弹窗是最弱的防错。

一、用户在探索，别把探索当犯错

Cooper 在《About Face 4》第 15 章有个立场：从用户的心理模型看，没有「错误操作」这回事。人用软件就是在探索，点点这个、试试那个，走进死胡同再退出来，这是学会一个工具的正常方式。把探索标记成错误、动不动弹框拦截的软件，用户会越用越缩手缩脚。

他给撤销打的比方很形象：人进山洞探险，洞口挂一条随时能爬回地面的绳梯，胆子就大得多。撤销就是那条绳梯，它救的次数不多，但它挂在那里，用户才敢往深处走。

「做，不要问。」——Alan Cooper，《About Face 4》：与其用弹窗要用户确认，先自信地执行，再备好撤销。

二、防错三板斧：报错的最高境界是无错可报

错误信息写得再好，也比不过让错误发生不了。检查 AI 产出时先看这三板斧用上没有，三样都便宜，AI 也都会做，前提是你提了。

板斧	做法	反面典型
禁用不可用项	条件不满足的按钮置灰，旁边说明缺什么	让用户点一下再报错，等于设好陷阱看人踩
危险操作拉开距离	「清空」别挨着「保存」	无害的功能和弹射座椅拉杆排在一起
默认值兜底	默认选项永远是最安全的那个	群发邮件默认发所有人，把手滑代价预设到最大

三、确认弹窗 vs 撤销 toast：删一条数据试试

真到删除这种动作上，AI 最常给的是确认弹窗。做个实验：左右两个通讯录，A 用确认弹窗，B 用立即删除 + 可撤销 toast（倒计时 5 秒）。

• A 面：打断你一次弹窗。删掉的救得回来吗？救不回来。弹窗只负责事前拦一下，拦过之后两手一摊。
• B 面：全程零弹窗。删除立即生效不打断，后悔窗口敞开 5 秒，随时撤销。

四、狼来了：确认弹窗为什么拦不住你

Cooper 的解释是习惯化：在常规位置反复出现的确认框，用户很快就看也不看地点掉，等真正的危险到来，手指比脑子快。你连点八个弹窗试试——越到后面点得越快，拦得住第几个？

五、演练：给三个危险按钮做改造

场景	最对症的手段
「清空画布」紧挨着「保存」，已有用户手滑	把「清空画布」挪进菜单深处，和「保存」拉开距离，再配撤销
群发通知默认勾着「所有成员（2841 人）」	默认值改成「只发给我勾选的人」，选「所有成员」时就地显示人数提示
表单没填完「提交」照样能点，点了弹「信息不完整」	没填完时禁用「提交」，按钮旁边写明还缺哪几项

六、四道防线排个序

防线	强度
禁用不可用项，配说明	最前，从源头杜绝
危险操作和常用操作拉开距离	第二道
删除前弹确认框	最弱，狼来了效应让它提前失效
立即执行，配可撤销	最稳，把后悔窗口交给用户

本节要点

• 用户在探索，别当犯错处理： 撤销是洞口的绳梯，它挂在那里，用户才敢往深处走。
• 防错三板斧： 禁用不可用项并说明、危险操作拉开距离、默认值选最安全的。报错的最高境界是无错可报。
• 确认弹窗是最弱的防线： 狼来了效应，常规弹窗被无脑点掉，真危险来时它早已失效。做，不要问，然后备好撤销。
• 给 AI 提需求的话术： 「删除立即生效，弹出可撤销的 toast，保留 5 秒」比「删除要有确认」产出好一个档次。