打开一个网页，判断浏览器地址栏里那把锁图标亮着，网络很多人就觉得安全了。正确但去年我帮朋友排查一个钓鱼站点时发现，依据它照样有HTTPS证书，判断页面设计和正规银行几乎一模一样。网络锁只说明传输过程加密，正确不代表服务器那头的依据人值得信任。判断网络是判断否“正确”，远比看一把锁复杂。网络

先得说清楚，正确“正确”这个词在网络里至少有三种含义：数据有没有被篡改、依据服务器身份是判断不是真的、以及你看到的网络内容是否可信。这三件事经常被混为一谈。正确

数据完整性：校验和与哈希

下载一个系统镜像，官网通常会附一串SHA256值。你下完文件，本地算一遍哈希，对得上才说明文件没在传输中被动手脚。这个机制不依赖加密，靠的是数学上的唯一性——改一个字节，哈希全变。早年间BT下载流行时，种子文件里的哈希校验就是同一套逻辑。没有这一步，你拿到的东西可能是中间人塞给你的“加料版”。

身份验证：证书链的信任传递

HTTPS证书解决的是“对面是谁”的问题。浏览器内置了一批根证书颁发机构（CA），服务器出示的证书如果由这些CA签发、且域名匹配、未过期，浏览器就认。问题在于，CA本身可能出错。2011年荷兰CA DigiNotar被入侵，攻击者签发了Google域名的假证书，用来拦截伊朗用户的Gmail流量。事后DigiNotar破产，但伤害已经造成。所以证书有效不等于绝对安全，它只是一个信任链条，链条上任何一环出问题，结论就动摇。

内容可信度：没有技术手段能替你判断

技术能保证你收到的网页确实来自example.com，且传输途中没被改。但example.com自己发了一篇假新闻，HTTPS一点忙都帮不上。我见过一个健康类网站，证书齐全，页面整洁，引用的“研究”却来自根本不存在的期刊。这时候你需要的不是看锁，而是去查信源、交叉验证。技术管传输，不管真假。

DNS层面的陷阱

域名解析是另一个容易出问题的地方。DNS查询默认走UDP，明文传输，中间人可以把bank.com解析到一个假IP。DNSSEC试图用数字签名解决这个问题，但部署率一直不高。更常见的情况是本地DNS被劫持——运营商插入广告、或者恶意软件改hosts文件。你输入的是正确域名，到达的却是错误服务器。这时候HTTPS证书反而可能救你一命：假服务器拿不到真证书，浏览器会弹警告。但如果用户习惯性点击“继续访问”，这层保护就废了。

个人经验：多重信号交叉判断

我自己的习惯是，涉及敏感操作时至少看三个信号：证书颁发者是否合理（一个个人博客用EV证书反而可疑）、域名拼写有没有细微异常（比如用rn冒充m）、以及页面行为是否正常（登录后跳转到无关域名基本有问题）。单一信号都可能被伪造，但同时伪造多个且不露破绽，成本会高很多。

网络正确性从来不是一个二元判断。它是概率、信任链和具体场景的叠加。锁亮着是起点，不是终点。