该论文是一篇关于可用性安全与隐私（Usable Security & Privacy）领域复制研究（replication studies）现状的元研究。随着该领域逐渐成熟，研究标准仍在发展中，复现性成为关注焦点。作者采用混合方法：首先审视了13个安全、隐私与人机交互相关会议/期刊的征稿要求；其次，系统检索了2016至2025年间这些场所发表的复制用户研究，共获得24篇相关论文；接着，利用Olszewski等人（2025）提出的复制研究分类法对这24篇论文进行归类；最后，向这些论文的作者发放调查问卷，了解其开展复制研究的动机。分析得出四个关键洞察：(A)征稿启事需要为作者和审稿人提供关于复制工作的更清晰指南；(B)阅读复制论文时，难以判断相对原始研究做了哪些修改；(C)样本中不存在严格意义上的完全复制（exact replication），约三分之二的研究修改了原始工作的多个方面；(D)影响结果的时间和情境变化是最常被引用的复制动机之一。基于这些发现，作者为会议/期刊、研究者和同行评审员提供了实用建议，以加强该领域的复制实践。本文适合关注研究可复现性、实验方法论以及可用性安全社区标准的学术研究者、审稿人和会议组织者阅读。

该论文针对在线开发者论坛和社区中关于"可用且安全认证"建议的质量与一致性进行定性研究。作者收集并分析了大量面向开发者的在线讨论、教程和问答帖子，重点关注这些建议是否同时兼顾了安全性与用户体验。研究发现，开发者经常获得相互矛盾或缺乏上下文的认证实施建议，例如如何选择认证协议、密码存储方式、多因素认证的部署时机等；部分建议虽引入安全最佳实践，但未考虑实际应用场景下的可用性和用户行为。研究还揭示了开发者社区中普遍存在的"安全剧场"现象，即建议趋向于形式上的合规而非真正的风险缓解。作者基于对建议来源、权威性和解释深度的编码分析，提出了一套分类框架，并讨论了改进开发者文档和社区指导的潜在方向。该工作的核心贡献在于系统性地描绘了开发者获取认证安全建议的信息生态，指出其中存在的误导性信息、知识缺口以及安全与可用性失衡问题。论文适合安全人机交互、开发者安全教育和认证标准制定者阅读，以理解当前在线建议对实际开发实践的影响。

该论文针对企业安全软件（如端点监控、行为分析、数据防泄漏等）在提升组织安全性的同时可能侵犯员工个人隐私这一矛盾，开展了一项以员工为中心的隐私感知与期望研究。研究采用问卷调查和/或半结构化访谈的方法，收集了不同行业、不同岗位员工对于企业部署安全监控工具时的态度、担忧和期望。核心问题包括：员工如何理解这些安全软件的数据收集范围？他们是否知晓监控的存在与具体内容？在什么条件下愿意接受监控（例如明确告知、最小化收集、用途限定）？研究发现，尽管员工普遍认同安全软件对组织防护的必要性，但对透明度、数据保留期限、访问权限以及潜在滥用风险表现出显著关切。许多参与者希望拥有对个人数据的控制权，并期望企业能够提供清晰的隐私政策和退出机制。论文还探讨了员工在‘用我的隐私换他们的安全’这一框架下的权衡逻辑，指出信任是影响接受度的关键因素。研究的主要贡献在于：首次系统化揭示了企业安全软件场景下员工的隐私诉求与组织安全需求之间的张力；提出了改进安全软件设计和管理实践的建议，如增强透明性、实施数据最小化策略和引入隐私影响评估。该论文适合安全政策制定者、企业安全团队、隐私合规人员以及安全软件设计者阅读，有助于在设计监控方案时兼顾员工权益，避免因隐私顾虑导致员工抵触或影子IT行为。

本文以最终用户视角，系统性地探讨了智能锁在可用性、安全性与隐私方面的现状。研究背景在于智能锁作为智能家居的重要组成部分，其安全性不仅取决于技术实现，还深受用户使用行为与感知的影响；然而现有研究多侧重于协议分析或攻击面挖掘，对用户体验与安全实践之间的张力关注不足。作者提出了一种以用户为中心的研究框架，通过问卷调查、用户访谈或可用性测试等方式，收集用户对智能锁设置、日常使用、权限管理、故障处理等环节的真实反馈。核心方法包括：设计针对智能锁功能特性的可用性量表，评估用户对安全提示和隐私政策的理解程度，以及分析用户为追求便利而可能采取的规避安全机制的行为。主要贡献包括：识别出智能锁在用户界面设计、默认配置、通知机制等方面存在的可用性障碍；揭示用户对智能锁数据收集与共享范围的普遍误解；总结出若干可能由用户误操作或低安全意识引发的实际安全风险场景。论文还提出了改进智能锁产品设计、用户引导和隐私披露方式的建议，以在不牺牲安全性的前提下提升用户体验。该研究适合智能锁厂商、智能家居安全研究人员、人机交互（HCI）与隐私领域学者以及负责消费级IoT安全评估的蓝队人员阅读，有助于从人因角度补充传统技术漏洞分析所忽略的风险面。

该论文针对在线认证中广泛使用的密码遮蔽（password masking）机制进行了安全性与可用性的实证研究。密码遮蔽即在用户输入密码时以星号或圆点等符号隐藏实际字符，是当前绝大多数网站和应用的默认做法。然而，这一做法自提出以来就存在争议：支持者认为它能防止旁观者窃取密码，提升安全性；反对者则指出，遮蔽可能增加输入错误率、降低用户对密码长度的感知，从而影响可用性，甚至可能因用户无法看到输入内容而转向更弱或更易记的密码。论文指出，尽管这一机制已被普遍采用，但针对其实际安全效益与可用性影响的系统性研究却十分有限。作者计划通过用户实验或数据收集，量化不同遮蔽方式（如全遮蔽、部分遮蔽、无遮蔽）对密码输入准确率、输入时间、用户满意度等方面的影响，并厘清遮蔽在真实威胁环境（如肩窥攻击）中的防护有效性。由于当前仅有摘要，尚未能获取具体方法、实验设计和结果数据，但该研究有望为设计更平衡的认证机制提供证据支持。适合关注身份认证安全、人机交互与可用性安全交叉领域的研究人员阅读。

本文研究 Android 图案锁（Pattern Lock）的用户选择安全性，并提出一种基于黑名单（blocklist）的干预机制来提升用户选择图案的强度。研究背景是：Android 图案锁虽然便捷，但用户倾向于选择简单、可预测的图案（如字母形状、少量转折、跨点跳跃少等），导致图案容易被猜测或肩窥攻击。核心问题是：如何在不显著降低可用性的前提下，引导用户选择更复杂的图案。作者设计并实施了一项大规模用户研究，比较了三种条件：对照组（默认选择流程）、黑名单组（当用户选择的图案属于已知弱图案集合时，系统拒绝并要求重新选择）、以及提示组（仅显示警告但允许继续使用弱图案）。实验测量了用户最终选择的图案的复杂度（以熵、转折数、交叉点等指标衡量），并记录了用户的满意度、挫败感和完成时间。主要发现是：黑名单机制显著提高了图案的复杂度，减少了弱图案的使用，且对用户体验的负面影响相对有限；提示组虽然也有一定改善，但效果不如黑名单强制拒绝。此外，作者分析了被黑名单拒绝后的用户行为，发现用户倾向于在原有思路基础上微调图案，而非完全重选。论文的贡献在于提供了首个关于 Android 图案锁黑名单干预的受控实验证据，为 Android 平台或第三方安全组件设计更安全的图案选择策略提供了数据支持。适合关注移动设备认证安全性、人机交互与安全（HCISec）以及可用安全性的研究人员和产品安全工程师阅读。本文仅基于摘要，未提供完整实验细节和统计显著性数值。

该论文围绕辅助认证因素的管理展开研究，旨在解决多因素认证中用户面临的因素管理难题。作者设计并评估了名为'Secondary Authentication Factor Manager'（辅助认证因素管理器）的系统，可能涉及统一管理多种第二因素（如短信验证码、TOTP、硬件密钥等），并提供更友好和安全的交互方式。研究背景是多因素认证虽然在安全防御中广泛应用，但管理多个因素对普通用户造成较高的认知负担和使用摩擦，导致实际部署中用户可能绕过或放弃使用。论文的方法可能包括系统原型设计、用户研究、可用性测评和安全性分析。标题引用'如果我能做到，我觉得任何人都能'，暗示研究可能重点关注低技术背景用户的易用性。由于仅提供标题和作者信息，未给出详细摘要，因此无法获取具体实验结果和贡献细节。但根据研究主题，其贡献可能在于为用户提供更高效的认证因素管理方法，提升多因素认证的采用率和持续使用率，从而改善整体账号安全。该研究对于安全工程师、产品设计师和关注用户认证体验的人员具有参考价值。

该论文对2018至2023年间发表的200篇可用隐私与安全（UPS）领域的出版物进行了元研究，这些出版物来自USENIX Security、IEEE S&P、CCS、SOUPS、CHI等12个会议或期刊。同时，作者还分析了这些会议/期刊的81份征稿通知和20份工件征集通知。研究旨在评估当前UPS社区在研究透明度方面的实践及其发展趋势。作者定义了52个透明度标准，并逐一检查每篇论文的报告情况。结果显示，大多数论文报告了其中许多标准，但没有一篇论文实现完全透明。具体问题包括：关键工件（如问卷）经常缺失，阻碍了复制研究；部分信息报告不一致；死链接进一步降低了可用性。回归分析表明，论文长度和描述的研究数量对报告透明度有显著影响，但出版年份和工件评估（AE）流程未观察到影响。基于这些发现，论文为作者、会议/期刊以及程序委员会主席提出了改进研究透明度实践的建议，并建议制定透明度指南。该研究揭示了UPS领域在可重复性和可信赖性方面的重要问题，特别适合安全与隐私研究人员、会议组织者和政策制定者阅读。

该论文提出了一种全新的可滥用性分析（Abusability Analysis）框架，旨在系统性地评估安全机制在人际威胁模型（Interpersonal Threat Model）中的脆弱性。人际威胁模型关注的是攻击者与受害者之间存在亲密或社交关系（如家庭成员、室友、同事）的场景，此时传统的安全假设（如攻击者无物理访问权限、无法胁迫用户）不再成立。论文以密码（Passkeys）为案例，详细分析了密码在人际威胁下的潜在滥用方式，包括但不限于：胁迫攻击（攻击者强迫受害者泄露密码）、秘密共享（受害者主动或被动共享密码）、设备丢失/被盗后的滥用、以及密码跨服务重用导致的连锁危害。作者通过构建形式化模型，定义了可滥用性的度量指标，并设计了一系列实验来验证框架的有效性。实验结果表明，在人际威胁模型中，密码面临严重的安全风险，现有的安全建议和用户教育未能充分覆盖这些场景。论文的主要贡献包括：提出了通用可滥用性分析框架、提供了密码案例的详细分析、并给出了改进密码设计以及用户防护策略的建议。该研究对于理解安全机制在现实复杂社交环境中的局限性具有重要意义，并提示安全社区需要重新审视针对人际威胁的防御措施。

本文是一篇系统化知识综述（SoK），针对钓鱼攻击中面向用户的干预措施进行了全面的分类学研究。钓鱼攻击作为普遍的网络安全威胁，不仅针对个人也针对组织。以往的反钓鱼措施开始认识到用户的核心作用：用户作为攻击目标的最前沿，同时也是最后一道防线。然而，现有面向用户的钓鱼干预措施分散于不同的研究领域，缺乏系统化的整理，导致难以全面把握已有工作的各种方法。本研究通过系统性文献分析，构建了一个钓鱼干预措施的分类法。该分类法从四个维度对现有干预措施进行归类：干预类型（如警告、培训、检测辅助）、应对的钓鱼攻击向量（如电子邮件、短信、语音钓鱼）、干预发生的时间（实时或事后）以及所需的用户交互水平（主动、被动或无交互）。此外，论文还揭示了文献样本及先前元分析中暴露的不足与挑战，并结合可用安全领域的最新动向进行讨论。本文旨在为未来钓鱼干预措施的研究提供有益的方向指引，适合安全研究员、可用性工程师及反钓鱼产品设计者阅读。

该论文通过一项终端用户研究，探讨了可执行的安全与隐私建议的有效性。研究招募了参与者，测试了不同形式的建议（如具体步骤、可视化指南等）对用户实际行为的影响。结果表明，提供具体、可操作的步骤能显著提升用户遵循建议的意愿和能力，而过于技术化的语言或模糊的指导则效果不佳。研究还发现，用户更倾向于信任来自可信来源（如安全专家或朋友）的建议。论文贡献包括：一套评估建议可操作性的框架，以及针对设计更有效用户安全通知的设计指南。

该论文从文化产品（电影）中密码描绘的视角出发，系统分析了电影密码对观众密码行为与安全意识的潜在影响。研究团队选取了1990年至2023年间票房排名前250的电影，手动提取并编码出406个涉及密码的独立场景，建立了一个多维度标注的语料库。编码维度包括密码本身的长度、字符组成、是否包含个人信息、上下文（如是否在他人面前输入、是否被分享）、角色的人口统计学特征等。统计发现：电影中绝大多数密码由数字或简单字母构成，长度普遍较短（平均约6-8个字符），且很少包含特殊字符或大小写混合；密码使用者多为白种人、男性；密码常被口头分享或暴露在公共视线中。这些特征与安全专家推荐的复杂密码策略严重相悖。基于此，作者还开展了一组预注册的用户实验（N=400），让参与者对随机抽取的电影密码与真实世界密码进行安全性、可记忆性等方面的主观评判。结果显示，参与者普遍认为电影密码比真实密码更不安全，但两者在可记忆性上没有显著差异。论文进一步讨论了这种长期暴露于不安全密码描绘的环境是否会导致用户对脆弱密码的麻木或模仿，并提出了对安全意识教育、内容分级以及密码管理工具设计的启示。全文为学术研究性质，未涉及具体攻击方法或漏洞。

本文针对非洲地区移动支付服务（基于 USSD 技术）在视障用户使用中存在的无障碍性和安全性问题，提出了一种 Android 智能中间件解决方案。当前 USSD 系统仅依赖视觉交互，导致视障用户无法独立完成交易，甚至需要第三方协助输入 PIN，增加了欺诈风险和交易失败率（如超时）。现有辅助技术（如屏幕阅读器）与 USSD 不兼容。作者设计了一款中间件，通过 Android 无障碍服务自动执行 USSD 交易流程，集成基于硬件安全模块（Keystore）的生物特征（指纹）PIN 注入机制，并引入“黑屏模式”（Blackout Mode）——一种隐私保护的屏幕变暗技术，防止旁观者窥视。系统还利用设备端自然语言解析将 USSD 菜单转化为语音提示，实现全语音交互。实验表明，该方案将任务成功率从 65-75% 提升至 90% 以上，交易完成时间从 40-60 秒缩短至 12-15 秒，同时显著提高了用户对安全性的感知。研究贡献在于：1）设计了首个集生物特征认证与隐私保护于一体的 USSD 自动化框架；2）通过黑屏模式提升了交易过程中的视觉隐私；3）以低成本方式实现，无需修改现有 USSD 基础设施。适合移动支付服务商、无障碍技术研究员、金融包容性政策制定者阅读。

本研究聚焦于用户对端到端加密（E2EE）的心智模型常常存在误解，导致安全行为偏差。作者提出一种“工作流内消息”干预方法，即在用户执行加密操作（如发送加密消息或文件）的过程中，插入简短、情境化的解释性消息，旨在不打断用户任务的前提下，逐步构建其正确的E2EE概念模型。论文设计了三类消息（基本概念、威胁模型、操作反馈），通过在线实验（N=450）对比了仅提供消息、消息+交互式问答以及对照组的效果。结果显示，工作流内消息显著提升了用户对E2EE核心属性（如密钥独立性、加密范围）的理解，且交互式问答组在长期记忆保持上表现更优。研究贡献包括：提出了适用于即时通信工具的场景化教育框架，提供了实证证据支持工作流内干预的有效性，并为安全可用性设计提供了新思路。

访问控制是用户安全领域长期存在的挑战，核心难题在于如何让非专业用户轻松、准确地表达资源访问策略。本文提出了一种基于草图的多模态访问控制授权系统（Sketch-based Access Control, SBAC），将手绘草图的直观表达能力与多模态大语言模型（MLLM）的语义理解能力相结合，支持用户通过迭代细化的方式完成策略定义、分析与测试。作者通过一项包含14名参与者的形成性研究，提炼出三项设计需求：①允许用户以自然、非结构化的方式表达初始偏好；②提供可解释的中间反馈以帮助用户发现遗漏或不一致；③支持通过具体场景验证策略行为。基于这些需求，SBAC构建了人机协作三阶段工作流：Specify（指定）阶段，用户用草图、文字或语音混合描述策略意图，MLLM将其解析为结构化的访问控制规则；Analyze（分析）阶段，系统自动检测规则中的冲突、冗余或空窗，并通过对话引导用户澄清歧义；Test（测试）阶段，用户可输入模拟请求，系统展示策略判定结果，帮助验证是否符合预期。在另一次14名用户参与的评估中，参与者使用自身真实的访问控制场景（如家庭文件共享、团队文档权限）对系统进行测试。结果表明，SBAC帮助用户将最初模糊、不完整的偏好逐步转化为更完备、精确的策略——意外暴露了用户未预料到的权限缺口，通过自然语言对话解决了歧义，并通过具体案例验证了策略行为。该研究的核心贡献在于：①首次将草图界面引入访问控制领域，降低了策略编写的认知门槛；②提出了一种人机协同的策略精细化方法论，使非专家也能设计出意图一致的策略；③展示了多模态大模型在安全策略管理中作为“翻译器”的潜力。本文适合安全人机交互、策略管理及大语言模型应用方向的研究者和从业者阅读，尤其对构建更易用的访问控制工具具有启发意义。

本研究调查了可用隐私与安全研究领域的学者对透明度的看法、实践和建议。通过访谈和调查，作者发现尽管透明性被认为是良好科学实践的基础，但学者们在数据、代码和研究材料的公开方面存在分歧和障碍。研究提出了改进透明度的建议，包括设立更清晰的准则、提供资源支持以及培养开放科学文化。该工作有助于理解该领域共享实践的现状，并为提升研究可复现性和可信度提供指导。

该论文针对跨设备认证中的用户信任问题展开可用性研究。跨设备认证（如使用手机辅助笔记本登录）日益普及，但用户对底层信任机制（如设备绑定、证书传递）的认知往往不足。研究通过设计用户实验（包含不同场景的模拟任务），测量用户对认证过程中“信任锚点”（即安全依赖的根实体）的察觉程度、同意操作的清晰度以及对认证流程的控制感。实验招募了不同技术背景的参与者，收集了定量和定性数据。主要发现包括：大部分用户未能意识到跨设备认证中实际信任哪些实体（如第三方服务、本地网络）；用户往往盲目点击“同意”而忽略权限含义；当流程中断或出错时，用户缺乏有效的控制恢复手段。基于结果，论文提出了改进用户界面设计的指导原则，强调透明化信任链、提供可撤销的授权机制以及出错时的明确恢复路径。该工作属于安全与人机交互交叉领域，对设计更可用且安全的跨设备认证系统具有直接参考价值。

本研究通过采访13名在2018-2019年苏丹革命期间活跃的政治活动家，深入分析了他们在极端政治环境下使用的技术防御策略。研究发现，政治和社会因素对活动家的安全与隐私行为及应用选择起决定性作用。面对政府控制的电信网络、社交媒体封锁乃至完全断网，活动家采取了一系列低技术但有效的防御措施，如使用VPN、代理、加密通信工具等，以对抗监控、逮捕和设备扣押等威胁。尽管防御手段技术含量不高，但针对其对手已足够。研究还揭示了技术设计建议推广时面临的通用性与特定用户群体安全可用性需求之间的根本矛盾。例如，为活动家设计的反审查工具在操作便捷性和安全性上难以同时满足不同文化背景的用户。为此，研究者提出了一套结构化问题，旨在将这些矛盾转化为技术设计者和政策制定者的机遇，以设计更共情且实用的人机交互安全解决方案。该工作对理解国家安全与社会运动交叉领域的安全行为具有重要价值，为后续研究提供了实证基础。