公共 Wi-Fi 到底有多大风险：加密保护了什么、没保护什么
加密保护的是什么
关于公共 Wi-Fi，流传两种极端说法：一种说"现在都 HTTPS 了没风险"，另一种说"连上就会被盗号"。两种都不准确。
先说清楚 HTTPS 保护了什么：
内容加密。 你传输的数据（包括账号密码）在链路上是加密的，中间人看不到内容。
完整性校验。 数据被篡改会被发现。
服务器身份验证。 证书确认你连的确实是那个域名的服务器。
这三项已经挡住了最经典的攻击 ——过去在公共网络上直接嗅探明文密码，现在基本行不通了。
但还有几件事它没保护：
你访问了哪些域名。 虽然内容加密了，但连接目标在很多情况下仍可被观察到。
DNS 查询。 除非用了加密 DNS，否则"你要访问哪个域名"这个请求可能是明文的。
你连的是不是真的那个 Wi-Fi。
你有没有被引导到别的地方。
伪造热点
这是公共网络下最实际的风险。
做法很简单： 攻击者建一个和场所同名（或名字相似）的热点，比如把真热点叫 "CafeWiFi"，伪造的叫 "CafeWiFi-Free" 或干脆同名但信号更强。
设备连上之后，所有流量都经过攻击者的设备。
他能做什么：
看到你访问了哪些域名。
篡改 DNS 响应 ——你输入正确的域名，被解析到他控制的服务器上。
做 HTTPS 剥离尝试 ——如果你输入的是不带 https 的地址，可能被引导到 http 版本。
他做不到的： 在证书正常的前提下解密 HTTPS 内容。这是加密的价值所在。
关键点：如果他伪造了站点，你的浏览器会报证书错误。
所以那条规则的分量在这里体现出来了——证书警告绝不点"继续访问"。 在公共网络下，证书警告很可能就是这类攻击的信号。
顺带说：如果所有网站都报证书错误，先检查系统时间 ——时间偏差过大会导致校验失败，这是另一个常见原因。
DNS 篡改
即便不是伪造热点，公共网络的 DNS 也可能被做手脚。
表现形式： 你输入正确的域名，却被解析到别的服务器。
这种情况下，如果对方没有对应域名的有效证书，浏览器仍会报错。 所以证书检查是最后一道防线。
但有一类情况需要注意：如果被引导去的是一个"看起来很像"的域名（而不是伪装成原域名），那个域名可能有它自己的合法证书——浏览器不会报错，因为从技术上说连接是"正常"的。
这时候能救你的就只剩域名本身是否正确了。
而形近字符（数字 1 与字母 l、数字 0 与字母 o、rn 连写与 m）对人眼几乎不可分辨。
所以有两条实际做法：
从书签进入，不手输、不搜索。 书签里的地址是你此前核实过的。
用密码管理器。 它按域名逐字符精确匹配，在错误的域名上不会自动填充——这个"没填充"本身就是警报。
涉及资金时该怎么做
最简单的一条：涉及资金的操作，优先切到手机的移动数据。
移动数据由运营商提供，不存在"伪造基站"这类低成本攻击（技术门槛和法律风险都高得多）。
如果确实要用公共 Wi-Fi：
确认热点名称。 向场所工作人员核实准确名称，注意有没有相似的干扰项。
不连接不需要密码的开放热点。 有密码至少说明有基本管理。
从书签或应用进入，不通过搜索或链接。
遇到证书警告立即停止。
用完断开连接，并在设备设置里"忘记此网络"——避免下次自动连上同名的伪造热点。
关掉"自动连接开放网络"这个系统选项。 很多设备默认开启，会在你不知情时连上任意开放热点。
其他公共场景的注意事项
公共电脑：
优先用隐私模式。 关窗即清空，且默认不加载扩展——那台机器上装了什么你并不知道。
拒绝"保存密码"提示。 一旦保存，下一个人就能直接登录。
用完主动退出登录，而不是只关页面——关页面不等于退出。
离开前检查浏览历史、下载记录、剪贴板 ——尤其如果你复制粘贴过密码。
回到自己设备后，去登录设备列表把那台机器下线。 这是最后一道保险。
共享充电与数据线： 使用来路不明的充电设备时，注意系统弹出的"是否信任此设备"提示——不需要传数据就选"不信任"。
公共场所的屏幕可见性： 输入密码时留意周围。这条听起来老派，但仍然有效。
把防护做在平时
上面说的都是场景化的应对，但更根本的是平时就把基础打好。
开启二次验证。 这是投入产出比最高的一项——即便密码在某种场景下泄露，攻击者没有第二个凭证仍然进不来。 优先选验证器应用而非短信，并把恢复码离线保存（写在纸上或存进密码管理器，不要只截图放在同一部手机里）。
密码不与其他平台重复。 撞库是账户被盗最主要的途径。用密码管理器生成随机密码。
建立固定入口。 核实一次官方地址后加书签，移动端添加到主屏幕，装了应用就以应用为主要入口。这样就不存在每次辨认域名的问题。
每月看一次登录设备列表，把不再使用的会话下线。
开启异地登录提醒。 偶尔会误报，但误报的代价远小于漏报。
常见问题 FAQ
问：现在都 HTTPS 了，公共 Wi-Fi 还有风险吗？
有。加密保护了内容不被看到和篡改，但没保护"你连的是不是真热点""DNS 有没有被改""你有没有被引到相似域名"。
问：伪造热点能看到我的密码吗？
在证书正常的前提下不能——这正是加密的价值。但他可以篡改 DNS 把你引向别处，所以证书警告绝不能忽略。
问：为什么被引到相似域名时浏览器不报错？
因为那个相似域名可能有自己的合法证书，连接在技术上是"正常"的。这时只能靠域名本身的正确性——用书签和密码管理器。
问：涉及资金时该怎么做？
优先切到手机的移动数据。确实要用公共 Wi-Fi 的话，核实热点名称、从书签进入、遇证书警告立即停止、用完忘记该网络。
问：开云官网入口 在公共网络下怎么进最稳？
从此前核实过的书签或已安装的官方应用进入，不搜索、不手输、不点转发的链接。
理性对待，量力而行。加密挡住了最经典的攻击，但没挡住热点伪造和域名相似这两类。涉及资金优先用移动数据，平时把二次验证和固定入口做好。