公共 Wi-Fi 到底有多大风险：加密保护了什么、没保护什么
先分清事实
关于在公共 Wi-Fi 下访问 开云入口 这类站点，流传的说法从"完全没事"到"一概不能碰"都有。
实际情况在中间，而且和几年前不一样了——因为现在几乎所有站点都用 HTTPS（加密传输）。
先把结论放前面：加密普及之后，"密码被明文截获"这类经典威胁大幅减少；但仍有几类风险真实存在，其中一类被普遍低估。
这篇逐条说清楚：加密保护了什么、没保护什么。
加密保护了什么
HTTPS 加密了你和服务器之间的通信内容。
所以这几类经典威胁被大幅削弱：
明文窃听。 过去在公共网络上抓包能直接看到账号密码，现在传输内容是加密的，中间人看不到具体内容。
会话劫持（通过嗅探 Cookie）。 同样因为加密而大幅减少。
这两类曾经是"公共 Wi-Fi 很危险"的主要依据，现在已经不是主要威胁了。
但有例外：如果站点没有全站 HTTPS（现在很少见），或者你忽略了证书警告继续访问——那加密的保护就不成立了。
加密没保护什么
这一节是重点。加密只保护"内容"，不保护下面这些。
一、你访问了哪些域名。
内容加密了，但你访问了哪个站点、什么时候、多少流量，这些仍然可见。
二、假冒热点。
攻击者建一个和商家名称相同或相似的热点，你连上去，所有流量都经过他的设备。这不需要破解任何东西，只需要你选错一个名字。
三、DNS 劫持。
连上恶意热点后，你的域名查询由攻击者控制，你输入正确的网址却被送到他的服务器。
这里 HTTPS 帮了大忙：攻击者拿不到正主的证书，所以浏览器会报证书错误。但前提是你得在意那个警告。
被低估的那一类：证书警告被忽略
这是最需要强调的一条。
上面说的 DNS 劫持、假冒热点，最终都会在一个地方露馅：证书警告。
当有人在中间拦截你的连接时，浏览器会弹出"证书颁发者不受信任""证书名称不匹配"这类警告。
很多人习惯性点"继续"——而在公共 Wi-Fi 下，这个警告的含义很可能就是"有人正在中间拦截"。
处理原则：
任何证书警告都不要点继续，尤其不要在有警告的页面上输入任何东西。
换个网络再试——如果换了网络就没有警告，说明问题在原来那条链路上。
必须说清楚的反面：证书正常（有小锁）不代表网站可信。 仿冒站同样有小锁，证书免费且几分钟可签发。锁只说明通信加密，不说明这个域名是你想去的那个。
还有一类：强制门户页面
连接公共 Wi-Fi 时弹出的登录页（输手机号、看广告那种），叫强制门户页面。
它由热点提供方控制，可以是任何内容——包括要求你"用社交账号登录"或"下载一个应用"。
处理：门户页面只做最低限度的操作，不输入任何账号密码，不下载任何东西。
实际该怎么做
按可靠程度排序。
一、涉及资金的操作，用移动数据。
最简单有效的一条。充值、提款、改密码、改绑定信息——这几类直接切到手机流量。移动网络也谈不上万无一失，但比来路不明的热点强得多。
二、关掉自动连接。
手机默认会自动连接曾经连过的同名热点。攻击者只要建一个同名热点，你的设备就会自动连上去，全程无感。这一条很多人不知道，而它是假冒热点能得手的主要原因。
做法：关闭"自动连接"，并把不再用的旧热点从已保存列表里删掉。
三、连接前跟商家确认热点名称。
四、看到证书警告立即停止。
五、用固定书签进入。
这条在任何网络下都成立——不搜索、不点转发、不扫码。配合密码管理器（假站上不自动填充，是一个不依赖注意力的警报）和二次验证（验证器应用优于短信，恢复码离线保存）。
六、用完断开并"忘记网络"。
一个五分钟的检查
现在就能做：
一、打开 Wi-Fi 设置，看已保存的网络列表，删掉不再用的（尤其酒店、咖啡馆这类）。
二、关闭自动连接。
三、检查各平台的登录设备列表，发现陌生设备先远程下线、再改密码（顺序不能反）。
四、确认二次验证已开启，恢复码在手边且不只存在手机里。
几条边界：
用 VPN 不是万能解药 ——它把信任从公共热点转移到 VPN 提供方，免费服务尤其要想清楚收入从哪来。另外用它改变访问来源通常违反平台的用户条款，可能导致账户被关闭。
在开始之前设定金额和时间上限，用限额工具锁定。
顺带说酒店和别人的热点
除了咖啡馆这类公共 Wi-Fi，还有两个场景性质类似。
酒店网络： 门户页面的控制权在酒店方，共用的房间电脑风险更高——不要在上面登录，实在要用就用无痕窗口，用完主动退出登录而不是只关标签页（关标签页不等于退出，会话在服务端仍然有效）。
别人的手机热点： 用朋友的热点，流量经过他的设备。多数情况没问题，但值得知道。
这两种场景的通用原则和公共 Wi-Fi 一样：涉及资金的操作切自己的移动数据，看到证书警告立即停，从固定书签进入。
一个容易忽略的连带点：如果在这些网络下登录过，事后去登录设备列表确认一下，看有没有异常会话——发现陌生设备先远程下线、再改密码。
常见问题 FAQ
问：公共 Wi-Fi 还危险吗？
明文窃听这类经典威胁因 HTTPS 普及而大幅减少，但假冒热点、DNS 劫持、门户页面钓鱼仍然真实存在。
问：加密没保护什么？
你访问了哪些域名（仍可见）、假冒同名热点、DNS 劫持。最被低估的是：证书警告被忽略——那往往正是有人在中间拦截的信号。
问：有小锁就安全吗？
不是。仿冒站同样有小锁，证书免费且几分钟可签发。锁只说明通信加密，不说明域名是你想去的那个。
问：最容易被忽略的风险是什么？
手机自动连接曾经连过的同名热点。攻击者建一个同名热点，你的设备就自动连上，全程无感。关掉自动连接。
问：在外面处理 开云入口 相关的资金操作怎么办？
切到移动数据，不用公共 Wi-Fi。这是最简单有效的一条。
理性对待，量力而行。加密保护内容，不保护"你连到了哪"——资金操作切移动数据、关掉自动连接、证书警告就停。