Web3 安全

摄像头、门锁、扫地机配网时发生的三件事很少被用户看到：凭据被写进设备、账号绑到厂商云、管理入口顺带开放。本文按配网、使用、换号、退役四个阶段拆解家用智能设备的暴露面与可执行防御清单。

家里的光猫多数人从没改过密码，却同时管着拨号、无线和远程下发配置。本文讲清这台设备的两类管理入口、远程配置通道能替你做什么和能改你什么，以及普通用户可执行的检查、记录与退役顺序。

邮箱的自动分类会把营销特征明显的通知归进推广或垃圾箱，而登录提醒、提币确认这类关键邮件恰好具备那些特征。本文说明误判是怎么发生的、漏看一封通知的真实代价，以及建立「专用收信通道 + 定期巡检」的具体做法。

发件人一栏先渲染的是可读名称，域名小字要靠点开才看得见。这个渲染顺序让冒名成本极低：攻击者不需要相似域名，只要把显示名写成官方名字。本文拆解显示名的来源与渲染规则、它如何与通讯录、线程回复互相加固，以及核验顺序该改在哪一步。

手机连上电脑或配件时那句授权提示，会留下一条长期有效的配对关系。本文讲清这类信任记录存在的位置、借线借机与外出场景下的暴露面，以及离手前后各自该做的收回动作。

现代相册靠文字识别与图像模型建索引，让你能按画面里的字搜照片。功能便利的另一面是：截图里的地址、金额、账户名变成了可检索的文本，而这一步通常发生在云端。本文讲清索引机制、哪些内容最不该进相册，以及收窄的具体做法。

应用里的发送反馈、上传诊断日志、导出问题记录，往往会把运行环境、内存快照、剪贴板与本地目录一并打包。本文拆解这类日志文件通常包含哪些内容、哪些字段对加密用户敏感，以及在提交前该做的脱敏与最小化提交清单。

定期强制改密、必须含符号、改过不能重复，这三条老规矩在近年的官方指引里已经被弱化甚至否定。本文说明现行主流口令建议的方向、为什么轮换频率不等于安全性，以及在账户被泄露证据驱动时才该改密的实际逻辑。

输入框的自动补全来自你自己的历史记录，也来自公共热词库。在借来的手机、家里共用的电脑、别人登录过同一浏览器账号的设备上，这串回显会替你交代你在用什么平台、在找什么产品。本文讲清它的数据来源与暴露边界，并给出可执行的清理与习惯清单。

系统大版本升级与回滚，会连带影响生物识别录入、系统密钥库和已安装的签名工具。本文按升级前、升级中、升级后三段列出加密用户在用机上的检查顺序，重点是把恢复前提在动手之前确认住。