确认界面：不是能否撤销，而是后果已传播多远

作者公开迭代一周后，将确认界面的设计原则从“按风险排序”推进到“按可恢复性排序”，并进一步修正。可恢复性并非二元，如带备份的删除文件撤销成本低，而已发送邮件则难以撤销。系统无法确定可恢复性时应视为不可逆。更重要的是，即使技术上可恢复的操作，其后果可能已传播，如已读通知或基于该数据做出的决策无法随数据库回滚而恢复。因此，确认界面的核心是评估后果是否已“离开大楼”，而非技术上的可逆性。本地操作可撤销且不打断，涉及他人状态则需完全打断。作者还测试了一个依赖失效库，验证其能正确阻止过期日历槽位，而非静默继续。模型仍未完全定型，但问题已更清晰。