由 dawei 隐蔽的Cookie陷阱：许多网站默认启用第三方广告追踪脚本，却未弹出合规弹窗或提供明确拒绝选项。GDPR与《个人信息保护法》均要求“主动勾选+逐项授权”，而非默认同意+模糊表述，一旦被用户截图举报，单次违规最高可罚5000万元。
备案信息“挂羊头卖狗肉”：首页底部仅放ICP备案号，却未同步展示公安备案号（如涉及交互功能）、《网络文化经营许可证》（如含评论/直播模块）或《互联网药品信息服务资格证书》（如发布健康类内容）。监管平台自动巡检时，缺失任一证照即触发下架预警。
隐私政策成“文字摆设”：条款堆砌法律术语，却未说明具体数据用途（如“优化体验”应明确写为“用于A/B测试页面跳转路径”），未公示合作方名单及数据传输场景（如“向云服务商XX公司传输日志用于CDN加速”）。用户无法真正理解授权范围，等同于无效告知。
无障碍访问形同虚设：未适配屏幕阅读器、缺乏键盘导航支持、图片无alt文本、色彩对比度低于4.5:1。看似无关紧要，实则违反《无障碍环境建设法》，视障用户投诉后，监管部门可直接要求限期整改，逾期将公示处罚。
AI提供的信息图，仅供参考
第三方插件“带病上线”：接入的在线客服、统计代码、字体库等未经安全审计，存在已知高危漏洞（如Log4j2旧版本）或强制收集设备指纹。一次未授权的数据外泄，责任主体仍是网站运营方，而非插件供应商。
内容审核“事后救火”：依赖人工抽查或关键词屏蔽，未部署AI敏感词分级模型（如区分“测试”与“考试作弊”）、未留存30天以上日志供追溯、未对UGC内容设置发布前AI初筛。突发舆情时，无法自证已履行审核义务。
应急预案纸上谈兵：仅有文档未实操演练，未明确勒索攻击时备份恢复时效（须≤4小时）、未预置网信办通报话术模板、未定期更新联系人清单（如公安网安支队最新对接方式）。真正发生事件时，黄金响应期一过，性质可能从“一般违规”升级为“重大网络安全事件”。