输入了个人邮箱地址
Alice 在工作电脑上的邮箱登录页输入了她的个人邮箱地址，然后点击“下一步”。
一次拦截、一次警告、一个文件和一条理由的完整过程
登录管控
看清最后一公里。
在个人账号登录离开浏览器之前将其拦截。确有需要的人可以申请。
登录管控在页面中被拦截
LayerT 将她输入的内容与您的规则进行比对，在请求离开浏览器之前拦下这次登录。
她申请访问权限
她说明需要访问的原因。审批人做出决定后，提示会自动更新。
批准 1 小时
审批人同意并选择时长。Alice 点击“重试”。每一步都会记入审计日志。
演示登录被拦截时您的团队看到的画面
登录管控
是提醒，而不是一堵墙。
有些规则只需要提醒一下。LayerT 说明原因，由当事人自己决定。
登录管控在工作工具上使用个人邮箱
Alice 用她的个人邮箱地址登录 Vendor Reports。此网站的规则设置为警告，而不是拦截。
在页面中收到警告
在任何内容发送之前，LayerT 显示 IT 为这条规则编写的提示信息。默认选项是“返回”，按 Esc 键效果相同。
她选择继续
Alice 点击“继续”。LayerT 替她提交表单，她顺利登录。十分钟内，这个地址在此标签页中不会再次收到警告。
两个步骤都有记录
审计日志记录了这次警告以及她选择了继续。如果警告还不够，IT 可以把这条规则改为拦截。
演示您的团队看到的警告
登录管控
文件被拦在门口。
规则同样作用于交给页面的文件：按文件名，或按纯文本文件中的文字。
登录管控把文件拖放到共享网站上
Alice 把 customers-2026.csv 拖放到文件共享网站 Sharebox 上。Acme Corp 有一条规则涵盖交给此页面的文件，并检查其中的文字。
在页面拿到文件之前被拦下
LayerT 在浏览器中读取该文件，发现其中有客户编号，于是将其拦下。被拦截规则匹配的文件从不会到达页面。
LayerT 无法读取的文件同样被拦下
她又试了 holiday.jpg。LayerT 只读取纯文本：它不查看图片、PDF 或 Office 文件的内部。针对文件文字的规则会拦下这些文件以及任何超过 1 MB 的文件，并说明它无法检查它们。
留有记录，但不含文件内容
“规则命中”页面显示这两次拦截，以及每个文件的名称、类型、大小和它交给页面的方式。文件中的文字在浏览器中读取，用于做出判断。它从不会被发送或存储。
演示Alice 浏览器中的文件共享网站
登录管控
说明理由后继续。
针对表单或粘贴的规则可以拦截，同时仍允许人员在说明理由后继续。
登录管控供应商表单中的客户编号
Alice 给供应商写支持工单，其中包含一个客户编号。这个表单的规则设置为拦截，并允许人员在说明理由后继续。
已拦截，但留有继续的途径
LayerT 在表单发送之前将其拦下，并显示 IT 编写的提示信息，以及一个供她填写理由的输入框。点击“返回”则保持拦截。
她说明理由
Alice 写下理由并点击“继续”。这里不涉及审批人；在任何内容继续之前，理由会连同她的姓名一并记录。
先记录，再发送
只有在 LayerT 的服务器记录了理由之后，LayerT 才会替她发送表单。如果无法连接到服务器，表单保持拦截，卡片会保留她已输入的内容。
理由留有记录
“规则命中”页面显示这次拦截，并在“给出的理由”下显示她的原话。理由也会出现在审计日志和导出文件中。字段的文字同样会被记录，除非规则遮盖或隐藏其值。
演示Alice 浏览器中的供应商支持表单
在输入发生的地方执行规则
- 个人账号登录，在页面中被拦下 LayerT 将登录表单中输入的地址与您的规则进行比对，并在网站代码发送之前取消提交。内置规则涵盖个人 Google 账号登录、Telegram Web 和 WhatsApp Web。
- 指向页面即可编写规则 管理员使用扩展程序的选取工具选中字段，然后在控制台中发布。无需手写选择器。
- 针对文件的规则 当有人通过文件选择框、拖放或粘贴把文件交给页面时，规则可以按文件名，或按不超过 1 MB 的纯文本文件中的文字拦下该文件。被拦截规则匹配的文件从不会到达页面。针对文件文字的规则还会拦下 LayerT 无法读取的文件，例如图片、PDF、Office 文档或任何超过 1 MB 的文件，并说明它无法检查该文件。
- 针对输入文字的规则 规则可以对输入到其指定的输入框和编辑器中的文字采取行动。它会告知当事人，并阻止这些文字通过表单、提交按钮或回车键发送出去。它无法让这些文字不进入页面：边输入边发送的页面已经拿到了这些文字。输入规则从不读取密码框、一次性验证码框或 LayerT 填写的字段。
- 针对目录群组的规则 规则可以适用于某个目录群组，或适用于该群组之外的所有人。它依据的是在该浏览器中登录 LayerT 的人，而不论其输入什么。您目录中的变更会在大约 15 分钟内到达正在运行的浏览器。如果浏览器不知道其使用者所属的群组，它会在拦截规则指定了群组的页面上拦下相应操作。
- 监控、警告、拦截，或拦截并允许申请 先从观察开始，再决定警告或拦截。强制退出会彻底清除某个网站的会话。
- 拦截，但留有继续的途径 对于表单或粘贴规则，您可以选择“拦截（人员可在说明理由后继续）”。当事人会看到拦截提示和一个填写理由的输入框，只有在理由连同其姓名被记录之后，LayerT 才会放行该操作。这里不涉及审批人，离线时则保持拦截。文件规则和输入规则不提供申请例外，也不提供说明理由后继续。
- 是提醒，而不是一堵墙 警告规则会显示您编写的提示信息，并提供“返回”和“继续”。点击“继续”后由 LayerT 替当事人提交表单，十分钟内该地址在此标签页中不会再次收到警告。两个步骤都会记入审计日志。
- 申请访问，得到答复 被拦截的人说明原因。审批人可选择单次尝试、15 分钟，或最长 24 小时。审批人做出决定后，提示会自动更新。
- 审批人身在何处都能收到 申请会送达控制台收件箱，并通过邮件和 Slack 通知审批人。邮件中的按钮只会打开申请，在审批人确认之前不会做出任何变更。Slack 会核验每一次点击。永久例外只能在控制台中处理。
- 例外由合规团队负责 默认情况下，只有合规官或所有者可以授予永久例外，IT 永远不能。所有者可以把这项权限授予一位指定人员。任何人都不能审批自己的申请。
- 规则命中 每一次拦截、警告和监控都以列表呈现，包括是谁、在哪里，以及收到警告后是否选择了继续。有人为越过拦截继续而给出的理由，显示在“给出的理由”下。
- 命中的规则会记录什么 LayerT 只读取您的规则所指定的字段。规则匹配时，LayerT 会记录匹配到的内容，对于输入规则则会记录该字段的文字，以便审计人员核查这一判定。规则可以遮盖或隐藏其值。对于文件规则，记录的是文件的名称、类型和大小：文件中的文字在浏览器中读取，从不发送。任何规则都不会读取 LayerT 填写的密码或验证码。请告知您的员工您的规则会记录什么。
- 规则看不到什么 LayerT 只读取纯文本。它不查看 PDF、Office 文件或图片的内部，不读取也不控制剪贴板：粘贴规则对粘贴到其指定的单行输入框中的内容采取行动。页面在没有表单、粘贴、输入字段或他人交给它的文件的情况下自行在后台发送的内容，不在任何规则的范围之内。
- 查看哪些浏览器受到保护 覆盖情况页面列出每个浏览器的 LayerT 版本、浏览器自己报告的安装方式，以及哪些浏览器已停止上报。新浏览器显示在“设备”页面的“等待审批”下，在所有者或 IT 管理员批准之前得不到任何规则。
- 签名策略，失败即关闭 规则以 Ed25519 签名策略的形式下发，并在每个浏览器中校验。无法获取最新策略的浏览器会拦截有风险的操作，而不是放行。
- 紧急停止 所有者可以通过一个签名步骤在整个组织内关闭执行，此操作会记入日志。
供您的安全评审使用
底层如何运作，写给需要签字批准的人。
