地址栏里那把小锁图标，何判早就不代表“安全”了。断网去年我帮朋友看一个钓鱼网站，站否域名长得像某银行官网，安全HTTPS证书齐全，何判浏览器连个警告都不弹。断网他差点就把卡号输进去了。站否所以别再把那个锁当护身符，安全它只说明数据传到服务器时是何判加密的，跟网站本身是断网不是骗子没半点关系。
看域名，站否先看主域名部分。安全比如 mail.google.com 里，何判google.com 才是断网核心，前面的站否 mail 是子域。骗子常玩这套：google.com.security-check.xyz，你一眼扫过去看见 google，其实主域名是 security-check.xyz。还有个笨办法但管用——把域名从右往左读。遇到 paypal.com.confirm-login.top 这种，从 top 开始读，立刻露馅。
证书信息点开看看。正规网站会写明颁发给谁。如果一家叫“某某银行”的网站，证书却颁发给某个个人或不相干的空壳公司，直接关掉。我见过一个仿冒电商的站，证书是 Let's Encrypt 免费签的，这本身不说明问题——小网站也用免费证书——但证书里组织名称一栏是空的，而它又要求你输入身份证号，这就很可疑了。
页面内容会出卖它。错别字、排版歪斜、图片模糊，这些老生常谈就不说了。说个细节：真正的官网，客服电话、公司地址、备案号通常放在页脚，而且备案号能点进工信部网站查到对应企业。假网站要么没备案号，要么随便填一串数字，点进去是死链。我试过点一个假理财站的备案号，跳转到一个色情页面，这网站什么成分不用多说了。
浏览器警告别忽略。Chrome 弹“您的连接不是私密连接”或者“此网站可能损害您的计算机”，别点“继续访问”。有人觉得是浏览器抽风，其实那是 Google 的安全数据库已经标记了该站。去年一个做外贸的客户非要访问一个被标记的“供应商网站”，结果电脑被植入键盘记录器，邮箱密码全丢。
还有个反直觉的判断：网站要求你关掉杀毒软件才能下载东西，或者让你复制一段代码到命令行运行，立刻跑。正经软件不会这么干。我见过一个“视频播放器”下载页，提示“为获得更好体验，请暂时退出安全软件”，下面还附了张关闭 Windows Defender 的截图教程。这种站，百分之百是挖矿木马或者勒索软件。
最后说个简单的测试。随便输个错误的密码。真网站会提示“密码错误”，假网站有时候直接让你“登录成功”然后跳到一个空白页——因为它根本没连数据库，只是做了个样子。或者你点“忘记密码”，看它发不发重置邮件到你的邮箱。假站通常没这套流程，或者让你“联系客服QQ”。
安全判断没有一劳永逸的公式。多疑一点，慢一点，遇到要输敏感信息的时候，手动敲域名而不是点链接。那把小锁可以骗人，但你的直觉和这些笨办法，骗子很难绕过去。