定期强制改密、必须含符号、改过不能重复，这三条老规矩在近年的官方指引里已经被弱化甚至否定。本文说明现行主流口令建议的方向、为什么轮换频率不等于安全性，以及在账户被泄露证据驱动时才该改密的实际逻辑。

输入框的自动补全来自你自己的历史记录，也来自公共热词库。在借来的手机、家里共用的电脑、别人登录过同一浏览器账号的设备上，这串回显会替你交代你在用什么平台、在找什么产品。本文讲清它的数据来源与暴露边界，并给出可执行的清理与习惯清单。

密码管理器把几十个账户密码收进一个加密库，钥匙就是主密码本身。本文讲清主密码在机制上保护的是什么、离线解锁与云端同步的关系、改密时哪些内容会被重新加密，以及忘记主密码后真实存在的恢复路径与不存在的路径。

你打开的网页不只有一个来源，客服挂件、统计工具、广告与字体脚本都跟着页面一起运行。本文讲清第三方脚本在页面里能做什么、卡号与账号在什么环节可能被读走，以及普通用户在输入前后可以执行的收窄动作。

不少邮箱会给不是本机构或本账号体系发来的邮件顶部加一条警告横幅。本文讲清这条横幅的判定依据、它对钓鱼名单上的假域名为什么有效、对真域名冒名与熟人号失守为什么沉默，以及把它当线索而非结论的使用法。

把伪造的登录页打包成一个HTML文件当附件发给你，链接审查就全部失效：它没有域名，不经过浏览器地址栏的常规审视，却照样能摆出以假乱真的表单。本文拆解这类附件的运作方式、它绕开了哪些防线，以及读信端的处置纪律。

「张三-钱包备份」这样的文件名，在云盘列表、文件管理最近记录、分享预览、维修送检这些场景里会主动交代你的资产结构。本文讲清文件名和路径作为明文元数据的暴露机制，以及改名、清目录、发送前检查的可操作纪律。

手机上那个「总是用此应用打开」的勾选，会把某类文件永久固定交给一个应用处理，而处理可能包括云同步、存草稿、建相册。本文讲清系统交接文件的机制、几类常见的暗副本路径，以及盘点默认处理程序的可执行清单。

邮箱的自动摘要、智能回复、润色改写这类功能，底层动作都是把邮件正文交给服务器端的模型处理一遍。本文拆解这条处理链路会把哪些内容交出去、哪些内容最不该交出去，以及普通用户能逐项执行的收窄清单。

到达某个地点就连上车载、一条短信进来就自动回复、电量低了自动关功能，这类规则让人少按几下，也可能长期替你对外发消息。本文讲清自动化的触发结构、三类与资产相关的暴露面，以及把规则读一遍的可执行方法。