我有个朋友，网页前阵子用公共Wi-Fi登录了银行账户，浏览第二天卡里少了八千块。安全警察查了半天，隐患最后发现是网页路由器被人做了手脚——黑客在网页里塞了一段代码，他输密码的浏览时候，数据已经悄悄转发到了境外服务器。安全这不是隐患什么高深攻击，网上教程一抓一大把，网页成本不到一百块。浏览

网页浏览这事儿，安全看着人畜无害，隐患其实处处是网页坑。你以为你访问的浏览是官方网站，可地址栏里那个小锁图标，安全早就不代表安全了。钓鱼网站做得比真站还像，字体、配色、Logo一模一样，就差在网页源码里藏个“请把你的密码交给我”的注释。我见过最离谱的案例，是黑客伪造了一个银行登录页，连客服电话都接得通，受害者打过去问“你们是不是钓鱼网站”，对方还一本正经地回答“我们不是”。

更阴险的是那些不起眼的第三方脚本。很多网站为了省事，直接调用外部统计、广告、分享插件。这些插件背后的服务器一旦被攻破，整个网站都成了帮凶——你在这边浏览新闻，那边脚本已经偷偷读取了你的剪贴板、键盘输入记录，甚至摄像头权限。我检查过自己博客的源代码，光一个“分享到微信”的按钮，就向外发送了三次请求，每次包含我的浏览器指纹。

还有Cookie追踪。你以为关掉网页就没事了？那些“同意并继续”的弹窗，点下去等于把你在网上的行为轨迹全卖给了数据贩子。更恶心的是，有些网站用“EverCookie”这类技术，你删了缓存它还能从Flash存储、WebSQL、甚至浏览器历史记录里把你捞回来。我试过用隐私模式访问某个电商网站，结果推荐栏里还是精准出现了我上周聊过的登山鞋——鬼知道它是怎么做到的。

当然，有人会说“我装了杀毒软件”。可杀毒软件自己都不可靠，前阵子某知名安全软件被爆出把用户数据卖给广告商，比黑客还勤快。浏览器自带的“安全警告”也经常误报，有时候真危险它放行了，有时候你访问个正常博客它却吓得要死。我女朋友的电脑就中过招——她只是点开一封看似来自物流公司的邮件，网页自动下载了一个伪装成PDF的exe文件，然后整个系统就瘫痪了。

那怎么办？总不能不上网吧。我的个人经验是：重要操作只用独立设备，比如专门拿一台不装乱七八糟软件的旧手机查银行；公共Wi-Fi永远别输密码，宁可开自己的流量；看到“下载插件才能观看”的提示，直接关页面——正经网站不会这么干。还有个小技巧，手动输入网址，别点搜索链接里的“官网”二字，那玩意儿十个里八个是广告。

网页浏览就像走夜路，你永远不知道哪块砖头下面藏着蛇。但至少，穿双结实的鞋，别光着脚跑。