PG移动端安全实验室：账号迁移准备

读者为何搜索账号迁移准备

更换手机、重装系统、停用旧设备或改变验证方式时，读者担心记录丢失、旧设备仍可访问、恢复渠道失效。迁移不是简单复制应用：本地设置、云端记录、浏览器站点数据、通知许可、二次验证和恢复材料可能由不同主体管理。先画出数据归属，才能决定哪些需要转移、哪些应删除、哪些根本无法从本地操作。

风险常发生在时间压力下。所谓“迁移即将失效”消息会诱导点击相似域名、输入旧密码和实时验证码；也有人以协助为名要求远程控制或共享屏幕。真正迁移准备应从此前独立保存的公开入口开始，先核对主体和规则，不使用消息中的按钮验证真假。本文不提供登录入口，也不要求建立新账号。

还要区分“可迁移”与“应迁移”。公开偏好、非敏感设置可以重新配置；敏感身份资料、付款信息、私人通信和恢复密钥应遵循数据最少原则，能不复制就不复制。若服务没有清楚导出范围与删除规则，不应把全部旧设备备份交给陌生迁移程序。

迁移盘点可以按数据生命周期进行：哪些只在旧设备本地，哪些已同步到明确主体，哪些存在离线备份，哪些依赖旧电话号码或认证设备。每项写拥有者、敏感度、是否必须迁移和可验证恢复方式。若一项数据没有明确归属，就先不要复制；尤其不要把整个应用目录交给声称可“一键搬家”的未知程序。

准备清单还要注明依赖关系：更换电话号码前先确保恢复方式不只依赖旧号码；停用旧邮箱前确认关键通知已转移；清除旧设备前验证新设备能读取必要的非敏感样本。顺序错误会把可恢复问题变成锁定。任何步骤涉及经营或支付资料时，应另查明确主体的正式政策，本页不替其决定迁移资格。

账号迁移应在旧设备仍可安全访问时规划，而不是先卸载再寻找恢复入口。具体场景是更换手机并同时更换号码：先从受控页面确认账号标识、恢复渠道和双重验证方式，再在旧设备检查哪些资料仅本地保存。新设备只从已核实的同一载体进入，核对域名、包名与签名后再登录。迁移过程中不通过聊天发送验证码、恢复码或完整证件，也不让陌生人远程控制屏幕。若旧设备来源本就不明，应先处理账号安全，再决定是否迁移其本地状态。两台设备的操作时间线要分开，避免把新设备登录提示误当成异常接管。

完成报告不保存密码、验证码或恢复码，只确认对应步骤是否成功。任何含秘密的草稿截图立即安全删除，迁移证据用时间与脱敏状态代替真实值。

• 列出本地数据、远端数据、验证方式、恢复材料和旧设备会话，分别标明主体。
• 从独立保存的入口核对迁移规则，不使用邮件、短信或私聊中的紧急按钮。
• 密码、实时验证码、恢复码、私钥和屏幕控制均不交给协助者。

把宣传说法拆成可查命题

“一键无损迁移”至少包含数据范围、格式完整性、验证方式、失败回滚与旧设备处理五项命题。页面若不列哪些数据包含、哪些排除、需要多长时间和失败后如何恢复，就不能按字面理解“无损”。成功复制几项设置，也不证明历史记录、权限和远端状态都一致。

“全程加密”要问传输由哪个域名发起、连接终点是谁、密钥如何管理、备份是否加密以及解锁材料存在哪里。仅出现锁形图标或HTTPS不能回答全部问题。MDN说明内容安全策略是网站向浏览器发送的限制，可控制脚本、框架和其他资源来源并降低某些网页威胁。^来源1 它不是账号迁移或端到端加密的证明。

“官方客服代迁移”需要明确主体关系与公开流程。头像、徽章和相似显示名可复制；真正流程不应要求把密码、验证码或恢复码交给个人。无法从已确认主页找到同样说明时，写“协助者身份未确认”，停止对话。即使主体真实，超出公开政策的数据请求也应拒绝。

恢复流程是攻击者常利用的薄弱环节。一个页面即使不询问密码，只要索取实时验证码、备用码、身份照片或远程屏幕，也可能获得接管能力。核验时从独立入口阅读公开恢复规则，检查请求是否一致。收到“旧设备即将失效”的倒计时消息，不在消息页处理；先保留旧设备物理控制，再确认真实期限和主体。

迁移表可以设置账号要素、旧设备动作、新设备动作、验证信号和回退方案。密码应通过受控登录页输入，不在导出文件中保存；双重验证先添加新方式并确认可用，再移除旧方式；恢复码离线保管且不截入共享工单；本地设置可逐项重建，不盲目复制整个应用目录；登录会话在新设备确认后再从旧设备退出。若平台只提供不可验证的私人客服迁移，应暂停。表中还要注明号码停用、邮箱失效和设备丢失三种例外，它们需要正式恢复流程，不能由临时链接或付费代办替代。

使用一手资料交叉验证

一手资料应来自明确主体控制的公开页面，并列数据类型、迁移前置条件、验证与恢复规则、旧设备处理和修订日期。设备系统则提供当前会话、应用权限、备份状态和可信设备的直接观察。二者冲突时先暂停，不能用非正式聊天的解释覆盖公开规则或系统警告。

WCAG 2.2以可感知、可操作、可理解和健壮四原则组织无障碍要求。^来源2 迁移流程可据此检查：错误信息是否只靠颜色，键盘能否操作，焦点是否移动到错误处，倒计时能否延长，恢复选项是否有清楚文字。可访问性良好帮助读者避免误操作，却不证明页面主体或数据处理可信。

在不输入敏感资料的前提下，先核对域名、证书警告、页面日期和资源跳转。内容安全策略可能限制第三方脚本与框架，缺失或配置错误会带来网页风险，但即使策略严格，钓鱼页仍可在自身域名呈现完整表单。技术响应只能作为网页行为证据，不能代替主体关系。

正式切换前保存非敏感清单：哪些本地设置需重建，哪些远端记录由主体保管，二次验证是否有本人控制的备用方式，旧设备如何撤销会话。不要把恢复码放在截图同步相册，也不与密码存于同一位置。无法确认恢复规则时，先延后停用旧设备，但保持其系统更新与物理控制。

无障碍的迁移流程应让用户在每一步知道正在移动什么、哪些不会移动、如何返回和如何处理错误。重要选择要有文字标签，不能只靠颜色；焦点顺序应跟随视觉顺序；超时前应给足提醒。发现交互障碍时，可请求明确主体提供可验证替代流程，但不把凭据交给个人代操作。可访问性问题与身份问题同时存在时，先解决身份。

新设备收不到验证码时，先确认时间、网络、号码状态、邮件垃圾箱和官方状态提示，不连续请求造成锁定。旧设备仍在线而新设备提示身份不匹配，应核对入口和账号标识，避免在两个相似站点重复提交。迁移后数据缺失，区分本地偏好、服务端资料和仍在同步的项目；不要为了恢复界面记录从未知备份导入文件。若收到非本人登录提醒，从可信设备检查会话并更新安全设置。诊断每一步只使用最少资料，工单截图遮掉验证码、恢复码和个人字段。无法确认支持渠道时，宁可保持旧设备不变，也不把控制权交给私人账号。

高风险措辞的中性改写

“绝对不会丢数据”改为“公开说明列出这些数据类型，本次只验证所列样本，其他类型与失败情况未确认”；“军事级保护”改为具体可查机制或删除；“客服会帮你完成”改为“明确主体公开了何种支持范围，工作人员不应索取哪些秘密”。具体措辞让读者知道能复查什么。

“页面有安全策略所以可信”应改为“响应显示某些资源限制，未验证经营主体、服务器数据或迁移结果”。MDN资料本身也说明策略用于降低特定网页威胁，不是事实审核。对HTTPS同样克制：加密连接到错误主体仍是错误连接。域名和主体关系必须独立确认。

“无障碍等于人人都能成功迁移”也需修正。WCAG提供可测试的内容与交互要求，但个人可能因设备、辅助技术、认知负担或语言而遇到不同障碍。^来源3 合格写法逐项报告字幕、标签、焦点、错误恢复与时间限制，不对所有读者作结果保证。

对失败提示不使用“账号已永久丢失”这类恐吓，除非明确主体公开规则和具体状态直接支持。一次验证码延迟可能来自网络、时间同步或通道问题；重复索取验证码却可能增加被实时钓鱼风险。身份未确认的页面一旦报错，就关闭并从独立入口检查，不在同页连续重试。

迁移完成后需要一个失效测试，确认旧设备和旧恢复方式不再拥有超出预期的访问。先在新设备验证必要资料，再从账号会话页主动结束旧会话，观察旧设备打开时是否要求重新验证；随后检查旧号码、旧邮箱和旧验证器是否仍列为恢复渠道。若为了保留应急回退而暂时保留其中一项，应写明截止日期和保管责任。出售或交还旧设备前，确认本地导出、下载、通知预览与浏览器会话已处理，再按设备所属关系执行安全抹除。组织设备不得由个人擅自重置。若旧会话无法撤销或列表不透明，向受控支持渠道提交最小化工单，并把迁移状态标为未完全收口。这样“已能在新机登录”不会被误当成迁移全部完成，账号控制权和旧设备残留也得到独立验证。

• 把绝对保证改为数据类型、测试范围、版本和未知项。
• 安全响应头、HTTPS、可访问性与主体真实性分别描述，互不背书。
• 错误页面要求再次输入验证码或恢复码时停止，从独立入口核对状态。

行动摘要与来源目录

准备阶段先更新旧设备系统，记录应用与浏览器版本，确认本人仍控制恢复方式，导出允许且必要的非敏感数据，并为重要文件做受控备份。接着从独立入口阅读迁移与删除说明，核对日期和主体。新设备先设置屏幕锁与系统更新，再逐项恢复；不要一次授予所有权限。

切换完成后，在明确主体的安全设置中查看并撤销旧设备会话，移除不再使用的通知、站点权限、VPN和特殊访问。确认必要数据可读后，再按系统流程清除旧设备；若设备转交他人，遵循制造商的抹除与激活锁说明。本文来源未提供具体平台抹除步骤，因此设备型号不明时不作统一指令。

本页MDN来源只支持内容安全策略的网页资源限制与局限；W3C来源只支持WCAG 2.2可访问性原则。两者没有任何具体账号、数据保存期限、迁移资格或恢复保证。需要处理数据导出可阅读相应专页，遇到安装诱导则看“伪装安装包识别”，始终只移动完成任务所需的最少数据。

完成检查不以新设备能打开页面为唯一标准。还要抽查必要数据的完整性、验证方式是否由本人控制、旧设备会话是否撤销、临时备份是否安全删除、通知和权限是否按最小范围重建。任何步骤失败都保留旧设备与备份，不匆忙清除。最终记录不包含密码或恢复码，只列完成状态、日期、主体和待处理项目。

迁移失败后的回退方案必须在开始前确定，包括保留旧设备、只读备份、联系明确主体的公开支持和停止条件。没有回退说明的“一键迁移”不适合承载唯一副本。若新旧设备显示数据数量不同，先比较同步时间、筛选和版本，不重复导入造成重复记录。无法解释差异时保留两端，不删除任何一端，并将状态写成未完成。

旧设备最终清除前，应由本人在新设备核对必要数据与恢复控制，并确认不再依赖旧设备上的唯一验证码或密钥。若任何一项仍不确定，延后清除比重新求助陌生渠道安全。

迁移证据清单包括旧新设备的系统与应用版本、受控登录入口、账号标识的脱敏形式、验证方式变更时间、会话列表、数据同步范围和旧设备退出结果。常见问题是“整机克隆是否最省事”；克隆可能复制过期会话、未知配置和不必要资料，仍需逐项复核。另一个问题是“客服知道账号昵称是否可信”；昵称可能公开，不能替代受控渠道。完成后检查旧设备是否仍能访问、旧号码是否仍绑定、新设备权限是否最小化，并保存回退条件。结论应说明哪些项目已迁移、哪些需重新设置、哪些未验证，而不是只写账号迁移成功。

迁移计划应预设失败窗口：若新设备验证未完成，旧设备保持安全可用且不同时修改多个恢复方式。一次性更换密码、号码、邮箱和验证器会让错误难以定位。按顺序逐项确认并保留回退点，可以在不共享秘密的情况下减少账号被锁定。

账号迁移完成必须验证旧会话与旧恢复方式的预期失效。