知识库
浏览器扩展的权限清单怎么看：安装前识别过度索权的几个信号
浏览器扩展能提升效率，但安装时弹出的权限请求往往被快速略过。这些权限可能让扩展读取你所有网页内容、修改数据甚至控制浏览器。学会看权限清单，能帮你避开过度索权的扩展。 权限清单在哪里看 在 Chrome 应用商店或 Edge 加载项页面的扩展…
钓鱼邮件为什么能骗过你：从发件人伪造、域名相似到附件诱导的识别要点
钓鱼邮件是网络攻击中最常见的手段之一。它并不依赖高深的技术漏洞，而是利用人的信任、疏忽或好奇。了解其常见手法，可以显著降低中招风险。 发件人地址：眼见不一定为实 邮件协议（SMTP）本身不强制验证发件人身份，攻击者可以轻易伪造“发件人”字段…
公共 WiFi 下的中间人风险：HTTPS 之外你还需要注意什么
在咖啡厅、机场或酒店连接公共 WiFi 时，很多人已经养成检查浏览器地址栏是否有“锁”图标的习惯。HTTPS 确实能加密你与网站之间的通信，但它并非万能。中间人攻击（MITM）可以在你毫无察觉的情况下窃取信息，即使连接看似安全。 HTTPS…
手机相册里的隐私地图：EXIF 元数据如何泄露你的行踪
一张照片能暴露什么 你拍下一张照片，画面里可能只有一杯咖啡。但照片文件本身，往往还带着一份看不见的"说明书"——EXIF 元数据。它记录的不只是拍摄参数，还可能包括拍摄时间、设备型号，以及最敏感的： 拍摄地点的经纬度坐标 。 把这张照片原图…
密码管理器到底安全在哪：主密码、派生与本地加密的取舍
密码管理器到底安全在哪：主密码、派生与本地加密的取舍 密码管理器让你只需记住一个主密码，就能管理所有账号。但很多人会问：把所有密码交给一个软件，真的安全吗？本文从技术原理出发，解释密码管理器的安全边界。 主密码：唯一的秘密 主密码是你解锁密…
OAuth 2.0 授权码模式中的 PKCE：为什么公共客户端必须用它
问题：公共客户端为什么不能安全保存 client secret 在 OAuth 2.0 授权码模式（Authorization Code Grant）中，传统做法是用 client secret 来证明「换 token 的请求来自合法客户端…
钓鱼邮件与仿冒网站是怎么骗过眼睛的：常见套路与识别要点
钓鱼攻击之所以屡屡得手，是因为它精准利用了人的视觉习惯和心理弱点。攻击者并不需要攻破你的系统，只要让你“看错”就够了。本文梳理常见套路，并给出可操作的识别要点。 一、钓鱼邮件：伪装成“可信来源” 1. 发件人地址的障眼法 相似域名 ：将 p…
家庭 Wi-Fi 安全加固：路由器设置里最该改的几项
家里的 Wi Fi 一旦被蹭网或被入侵，轻则网速变慢，重则摄像头、NAS、智能家居设备都可能被窥探。好消息是，绝大多数风险都能通过路由器后台的几项设置挡掉。下面是优先级从高到低的加固清单。 1. 改掉管理后台的默认账号密码 路由器出厂的管理…