浏览器 Profile 迁移规划与用户同意

BotBrowser 可以在授权测试中重复声明的 profile、浏览器版本和 context 边界，但不能转移个人同意、保证网站接受迁移状态、删除服务器记录或证明迁移后的 profile 匿名。Profile 迁移是产品和隐私决策，不是简单复制文件。

定义迁移目的

先写用户可见目的：继续工作区、迁移测试 fixture、恢复任务或更换浏览器宿主。明确哪些状态需要移动，哪些必须保持干净。Cookie、Web Storage、IndexedDB、Cache Storage、service worker、权限、下载和扩展有不同的所有权与保留规则，不能统称为 profile。

同意必须说明用途、范围、数据类别、保留期限和撤回路径。继续工作区不等于同意复制所有权限、凭据或浏览记录。拒绝是有效状态，迁移前的状态应按既定政策保留或清理。

分开浏览器与服务器状态

浏览器状态受 profile、context、origin 或数据目录约束；服务器还可能保存会话、上传文件和审计记录。复制本地状态不会转移服务器所有权，也不会删除源端。迁移后页面能打开，不代表服务器会话已失效或账户已解绑。

为每类状态标记迁移、重建、过期或禁止复制。凭据和个人内容不应进入通用迁移归档，验证优先使用合成 fixture。公开记录只保留可见完成状态，不放 token、私有 URL 或原始存储转储。

检查浏览器兼容性

WHATWG 和 MDN 描述存储 API、origin 规则、权限与生命周期，但没有通用 profile 格式。跨版本、平台、图形路径或策略时，状态解释可能不同。使用干净基线、获准源状态和目标状态，逐项改变版本、profile、宿主、语言、路由或存储策略。

保留同意与选择

同意记录应包含用途、范围、时间、政策版本和撤回路径，但不应暴露不必要的个人数据。存储的同意标记不代表当前用户仍同意。用途、目标、数据类别或保留发生实质变化时重新询问。不能从语言、时区、profile 年龄或返回 Cookie 推断同意。

撤回后停止相关流程，分别说明本地可清理内容和需要服务器操作的内容。干净 context 可以移除本地状态，但不能保证远端删除。

规划回滚与失败状态

迁移应区分未开始、需要同意、已暂存、已应用、部分应用、拒绝、失败和已回滚。部分结果不能显示为完整迁移。目标完成可见流程并经负责人确认前，保留已接受源状态。不可迁移类别使用文档化回退，不要静默扩大复制范围。

BotBrowser 能力与限制

BotBrowser 可以为授权迁移测试提供可重复的 profile 和 context，比较不同浏览器版本的可见流程，并把 profile 身份与应用状态分开。它不能授予同意、移动服务器记录、绕过 origin 或权限规则、保证跨版本存储一致，也不能让迁移后的浏览器匿名。应用方仍负责用途限制、可访问性、保留和撤回。

迁移清单

• 写明用途、数据类别、保留和撤回路径。
• 分开本地浏览器状态与远端服务器状态。
• 测试干净基线、源状态、目标状态和可见回退。
• 保留同意范围，不能从 profile 或语言信号推断。
• 完成复核前保留回滚。
• 独立说明 BotBrowser 能力与限制。

相关内容：浏览器工作流的隐私设计 和 浏览器存储分区隐私。

Sources

WHATWG HTML storage、MDN Storage API、W3C Privacy Principles 和 BotBrowser multi-account isolation。