那个 Wi-Fi 登录页是真的吗？输密码前先核实

你连上场所的 Wi-Fi，一个页面弹出来，要求用电子邮箱或公司账号登录。网络名称和前台说的一样，标志看着也对。这两样都不算证据，因为一个下午就能复制出来。在输入任何内容之前，先通过一个不是眼前这个页面的来源确认登录方式。

先看场所的说明，不是看页面

方法就这么简单：先用独立渠道核实，再作决定。下面说的都是该比对什么、该拒绝什么。

听起来慢，但做过两次之后大约只要两分钟。

看域名，不看设计

问一下场所的访客网络怎么用，或者读一读订房时给的门卡、收据或确认邮件。把登录域名和它索要的信息跟那些说明对照。场所确实会用外部门户服务，所以陌生的域名需要核实，而不是先往任何一个方向下结论。域名对得上说明不了安全，但对不上就是该停下的理由。

看地址栏，别看页面排版。挂锁只说明与那台主机的连接是加密的，并不说明那台主机就是场所指定的。

HTTPS 警告是停车标志，不是点一下就能过去的东西。

看页面在要什么

Wi-Fi 准入页面的活儿很窄：收房号、凭证码、电子邮箱，或者勾选条款。它没有理由要你的 VPN 私钥、工作密码、恢复码，也不该为一个免费网络要支付卡。 那些属于别的服务，而开口要它们的页面已经把自己的身份说清楚了。把这个请求本身当成你能拿到的最强信号。

页面说要装信任证书或辅助应用才能上网，就拒绝。合规的管理要求走你的单位，不会从强制门户弹出来。

页面要是要这两样里的任何一样，断开，换一个网络。

自动连接决定你在哪个网络上

保存过的网络名会自动连接，这意味着设备可能连上你当时并没有主动选择的网络。检查平台的自动连接设置，把不再需要的网络忘掉。就这一个习惯，就能去掉仿冒网络在没有任何决定的情况下把设备拉过去的最常见路径。它也让当前所在的 SSID 成为一个有意的选择，而不是后台事件。

同一个地方可以存在两个同名网络，设备不问就挑了其中一个。你记得自己连了哪个，这并不是可靠的记录。

核实你实际关联的那个网络，而不是你打算连的那个。

VPN 管不了这一步

VPN 要有接入路径才能连上，所以强制门户发生在隧道存在之前。这个先后顺序意味着门户的可信不能靠 VPN 换来，VPN 也无法事后保护你已经交给假页面的凭据。等门户核实过、网络可信到可以用，再连隧道。把这两步当成两个各自有证据的独立决定。

如果页面核实过了，隧道还是连不上，那是网络问题，属于另一份清单。

如果你已经把工作密码输进了现在觉得可疑的页面，就从已知干净的连接上改掉，并告诉管理员发生了什么。这里速度比确定更重要。

RFC 8952 里描述的强制门户架构值得读一遍，因为它解释了门户为什么位于你之后可能建立的任何隧道之外。这点认识能把一个可疑页面变成一次判断，而不是一次猜测。