短链接与二维码：看不见目标地址的时候怎么办
问题出在"看不见"
判断一条网址是否可信，前提是能看到它。域名拼写、顶级后缀、有没有多余的连字符或数字——这些都是可以目视检查的。
但有两种情况让这个前提失效：短链接和二维码。
它们的共同点：真实目标地址被隐藏了，你在点开或扫描之前看不到它。
这一篇讲的就是这种情况下该怎么办——包括访问 凯发链接 相关入口时。
短链接隐藏了什么
短链服务把一个长网址映射成一个短的，点击后跳转到真实地址。
它本身是中性技术，用于社交平台字数限制、二维码容量、点击统计等正当场景。
但从安全角度看，它把你能用来判断的那点线索也拿走了。
几个具体风险：
目标地址完全不可见。 你看到的只是短链服务的域名加一串随机字符。
目标可以随时更改。 部分短链服务允许创建后修改指向。这意味着今天安全的短链，明天可能指向别处。
多层跳转。 短链可以指向另一个短链，中间经过几跳你都看不到。
根据来源分流。 服务端可以根据你的设备、地区、来源，把不同的人送到不同的目标。 这也是"别人打开是正常的，我打开是假站"这类情况的成因之一。
统计与追踪。 点击行为被记录，这本身不是攻击，但会暴露你的访问习惯。
先看后开的几种方法
在点开之前搞清楚目标地址，方法比多数人想的多。
一、加预览后缀。
部分短链服务支持在链接末尾加一个字符（常见的是 +）来查看目标而不跳转。 各服务的做法不同，不是所有都支持。
二、用在线的链接展开工具。
搜索"URL expander"一类的工具，把短链粘进去看最终目标。
注意：这类工具本身也可能是钓鱼站，要用知名的，而且不要在上面输入任何个人信息。
三、长按而不是点击。
手机上长按链接通常会显示目标地址预览（各系统和应用表现不同）。
四、在浏览器里查看跳转链。
开发者工具的网络面板能看到完整的跳转序列。 这个方法最可靠，但需要一点操作。
五、最简单的一条：不点。
如果这个短链是别人发给你的、而你原本就有固定书签能到达同一个地方，那就走书签。
这一条适用于绝大多数情况——你根本不需要点那个短链。
二维码的问题更大一些
二维码本质上是把网址编码成图形，问题比短链更严重：
完全无法目视校验。 短链至少能看到短链服务的域名，二维码连这个都看不到。
可以物理替换。 贴纸覆盖是常见手法——在正规二维码上贴一张自己的。
可以嵌套短链。 二维码里放一个短链，双层隐藏。
扫码动作本身很轻。 从看到到打开只需要一两秒，中间没有任何判断的机会。
扫码前后的检查点：
扫之前看物理载体。 是不是贴纸？边缘有没有翘起？有没有覆盖在另一个码上面？
扫之后先看地址栏。 多数扫码应用在跳转前会显示目标地址，别急着点"打开"，先看清域名。
看到要求登录的页面就停。 通过扫码进入的登录页，风险明显高于自己从书签进入的。
看到要求付款的页面更要停。 尤其是金额或收款方与预期不符时。
来源不明的码不扫。 邮件、私信、群里转发、贴在公共场所的，都属于来源不明。
更根本的做法：固定入口
上面这些方法都是被动防御，主动的做法只有一个：不依赖别人给的链接。
建立固定书签。
在你确认过的入口页面按下收藏。
以后只从书签进入。
不搜索、不点转发、不扫码。
为什么这条最有效：
搜索结果里有大量仿冒站。 仿冒方会买关键词广告，排在前面的不一定是正主。
社交软件转发的链接来源不可控。
"最新入口""备用地址"这类说法是典型的钓鱼话术。
书签是你自己确认过一次的结果，之后不需要再判断。
配套的两件事：
用密码管理器。 它按域名匹配，在假站上不会自动填充——这本身就是一个警报。
开启二次验证。 验证器应用优于短信（短信可被 SIM 卡补办攻击绕过），恢复码离线保存。
如果已经点了或扫了
按这个顺序处理：
一、没输入任何东西就关掉了 ——通常问题不大。清一下浏览器缓存和 Cookie 即可。
二、输入了账号密码 ——立即在真正的官方入口修改密码；如果这个密码在别处也用过，那些地方一并改。
三、输入了验证码 ——这最严重。 立即去设备列表把所有其他会话下线，再改密码，然后检查绑定信息（手机号、邮箱、收款账户）有没有被改。
四、下载了文件 ——不要运行，删除，做一次安全扫描。
五、授权了什么 ——去账号的授权管理里撤销。
共同的下一步：
检查账变明细（不是看余额，余额可能是缓存的旧值）。
检查有没有被开通免密支付或自动扣款 ——要去支付平台一侧查。
联系平台客服报备，从应用内或已核实的官网进入，保留工单号。
特别提醒：出事之后会有人主动联系你，说"帮你追回损失"。一律是二次骗局。 也不要在群里公开说自己被骗了多少——那等于给骗子发信号。
常见问题 FAQ
问：短链接为什么危险？
它隐藏了真实目标，而且目标可以被随时更改、可以多层跳转、还可以根据你的设备或地区把不同的人送到不同页面。
问：怎么在点开之前看到短链的目标？
部分服务支持加 + 预览，也可以用知名的链接展开工具，手机上长按链接通常有预览。最简单的是不点——走自己的书签。
问：扫二维码要注意什么？
先看物理载体是不是贴纸、有没有覆盖；扫完先看地址栏域名再决定是否打开；要求登录或付款的页面直接停。
问：什么办法最有效？
建立固定书签，只从书签进入，不搜索、不点转发、不扫码。配合密码管理器（假站上不会自动填充）和验证器二次验证。
问：不小心在假的 凯发手机官网客户端 页面输了验证码怎么办？
先在设备列表把其他会话全部下线，再改密码，然后检查绑定信息是否被改、有没有被开通自动扣款。
理性对待，量力而行。看不见地址就别打开，走自己存的书签，这条比任何辨别技巧都可靠。