Web3 安全

用邮件客户端收信时，验证码、对账单、工单往来究竟存在服务器上还是只存在这台电脑里，取决于你用的是 IMAP 还是 POP 式的下载模式。本文按协议分工讲清两份账的差别，并给出本地存档的暴露面与处理顺序：全盘加密、按需导出留存、送修与二手前的清理，以及备份盘带来的多副本问题。

换手机之后，旧的那张 SIM 卡常常没注销，而是插进备用机、旧平板、车载盒子或孩子的手表继续收短信。本文讲清验证码究竟投递到哪里、双卡与实体卡加 eSIM 并存时会发生什么，并给出一份号码与设备的清点顺序：谁在用那台机器、它登录了谁的账号、丢了以后按哪两条线处置。只讲识别与预防，不涉及攻击手法。

邮件格式标准把「这封从哪来」和「回信寄给谁」定义成两组不同的字段，邮件客户端在你点回复时读的是后者。本文讲清回复地址的合法用途与恶意剧本——发件栏一切正常、回复却被引到骗子的信箱，以及为什么「往来串在同一线程里」远比看起来脆弱，和回敏感内容前只需多做的一步核对。

一条来自陌生号码、要求回复确认登录的短信，风险点不在内容而在回复这个动作：发件号码栏只是可填写的文本，回复等于向不确定对象确认了号码可用并开启对话通道。本文拆解回付类短信的剧本结构、真服务的核对短信为什么不需要你回复，以及收到后的四步处置与长期卫生。

代理型钓鱼搭一个会转发的假登录页：你的密码、甚至手机上的一次性验证码，都被它原样递交给真网站换来登录资格，再回头收割你的会话凭据。本文按标准文本讲清会话凭据为什么一旦发出就临时等同最强认证、这场转发为什么能在验证码有效期内完成，以及普通用户能从页面节奏里认出的信号与处置动作。

临时记下新密码的备忘录、浏览器收藏夹里带账号参数的网页、相册里那张「拍一下以防万一」的截图——这些暂存位没有密码管理器的隔离设计，却各有各的同步与共享通道。本文按三类暂存位讲清默认会跟谁走、谁能看到，并给出一份从排查、迁移到清扫的顺序清单。

浏览器弹证书警告时，人们以为被警告的一定是网站。本文拆解证书校验依赖的四个前提——时间、有效期、域名、发证与签发方——解释为什么系统时钟跑偏会让一个正常网站弹出过期警告，为什么酒店和公司的网络也会「制造」警告，以及这几种情况分别怎么处置，哪些「继续访问」可以点、哪些不该点。

美国联邦系统的口令标准近年两次转向：2020 版已建议不强制定期改密，2025 年 7 月定稿的 800-63B-4 进一步把单因素口令最短长度提到 15 个字符，并明确不应强制定期更换。本文按标准原文讲清「不用定期改」的准确含义与它保留的义务——出现泄露证据时必须改——并给出加密资产账户真正需要改密的四种时机。

电话银行里的声纹验证用几十秒语音样本判断「像不像你」，而这段样本可能本来就公开可得。本文按英国广播公司两次实测（2017 年双胞胎模仿通关、2024 年克隆声两家银行通关）与银行方的公开回应，讲清声纹通道的工作方式、失效场景与正确的使用位置，并给出开通前先想三件事的清单。

一个被拿下的邮箱或社交账号，值钱的不只是里面的验证码，还有它多年攒下的信任：同一线程里顺势回复的邮件、通讯录里的熟人、群聊里你认识的那个头像。本文讲攻击者的对外收割怎么用这些信任资产，朋友收到什么信号该起疑，以及你恢复控制权后怎么发一条真正的报平安通知——以及为什么不该直接回复原邮件问「刚才是你吗」。