未满十八岁勿进对比：一次改版复盘
未满十八岁勿进对比，最能看出差距的是改版前后用户路径。下面用一个酒类活动页的典型项目场景复盘：旧版只有遮罩和“确定”按钮，新版改为内容前置拦截、明确退出、交易环节再核验。全过程按问题拆解，重点看漏洞如何发现、方案为何调整。
旧版到底出了什么问题？
场景是一张酒类主题活动页：用户从社交平台打开链接，先看见半透明弹窗，背景海报仍清晰可见；弹窗只写“未满十八岁勿进”，下方按钮是“确定”。点击后可直接进入商品区，退出路径没有单独标明。
测试人员复制商品内页地址后发现，直链不会再次触发提示；分享卡片还会展示酒瓶图片和促销标题。旧版看似有门槛，实际只拦住从首页进入的路径，站外分享、内页直达和预览信息都绕了过去。
改版前后做了哪些对比？
文案从一句警告改为说明型提示：“本页含酒类产品信息，仅面向年满18周岁的用户。”按钮拆成“已满18岁，继续”和“未满18岁，退出”。背景不再展示活动图，用户作出选择前只看到中性页面。
技术逻辑也从前端遮罩改为路由级判断：活动页、商品页和分享落地页共用年龄状态；未确认时不请求受限素材。进入购买环节后，再调用平台规定的账户和交易验证，避免把浏览确认冒充购买资格。
测试时问了哪些关键问题？
测试清单不是“弹窗能否打开”，而是连续追问：无痕窗口能否直达内页？退出后按返回键会不会重新露出海报？关闭脚本时页面是否默认放行？分享卡片是否仍带敏感素材？验证接口超时后系统是拒绝还是继续？
手机端还检查了按钮是否被浏览器底栏遮挡，读屏软件能否读出限制原因，键盘焦点是否被锁在对话框内。旧版只测正常点击，新版专门测试绕行和失败路径，这正是两版安全性差异最大的地方。
这次复盘留下什么结论？
未满十八岁勿进对比不能只比配色和弹窗样式，要比四件事：内容是否前置隐藏、所有入口是否统一拦截、退出是否真实可用、浏览与交易是否分层验证。任何一项缺失，漂亮界面都只是装饰。
还有一个容易忽略的结论：不要保存不必要的出生日期或证件副本。浏览阶段只记录会话确认，交易阶段由合规能力完成年龄判断，并限制数据用途。这样既提高门槛，也不会为了“更安全”制造新的隐私负担。
常见问题
案例中的旧版为什么不能只补一个退出按钮？
因为核心漏洞在直链绕过、素材预载和交易未分层。补按钮只能改善表面交互，无法修复访问控制。
改版后为什么购买时还要再次验证？
浏览确认只代表用户作出声明，不等于交易资格已经核实。受管制商品的购买、支付或配送应按当地规则和平台要求处理。
年龄限制页面应该测试哪些异常情况？
至少测试内页直达、无痕访问、返回键、脚本失败、接口超时、共享设备、搜索预览和社交分享卡片。