公共 WiFi 安全吗：HTTPS 时代风险变了，三档方案最实用
「公共 WiFi 别连，会被盗号」——这句话十年前是对的，现在只对一半。HTTPS 普及之后，同一热点下抓明文密码的成功率大幅下降，但攻击者换了几种更省事的方式：假冒热点、强制门户钓鱼、DNS 劫持、局域网横向扫描。这篇按「攻击者到底能做到什么」分层讲，再给三档从省事到严格的方案。
先分清：现在还能被拿走什么
| 攻击手法 | 能做到什么 | 还有效吗 |
|---|---|---|
| 同网段抓包 | 看到未加密的流量 | 大部分失效：主流网站全站 HTTPS |
| 假冒热点（同名 Wi-Fi） | 把你引到钓鱼登录页，直接拿走账号密码 | 仍然高效，最需要防 |
| 强制门户钓鱼 | 伪装成「酒店登录页」索要邮箱密码或验证码 | 仍然常见 |
| DNS 劫持 | 把域名解析到假站，证书报错是唯一提示 | 有效，但会被证书拦下 |
| 局域网扫描 | 发现开了共享的设备，读取文件或投递恶意程序 | 对 Windows 共享仍有效 |
| 会话劫持 | 窃取未加 HttpOnly 的 Cookie 冒充登录 | 比过去少，但小站仍有 |
结论：公共 WiFi 的主要风险已经从「被偷密码」变成「被引导到假页面主动交出密码」。这两件事的防法完全不同。
三档方案，按场景选
第一档：手机热点（最稳）
需要登录网银、公司后台、邮箱、处理敏感文件时，直接用手机热点，别省那点流量。这是唯一从链路上绕开公共网络问题的方案，代价只是流量和速度。
第二档：连公共 WiFi + 三条纪律
- 核对热点名：向店员确认准确名称，注意 `Starbucks_Free` 与 `Starbucks-Free` 这类细微差别；
- 关掉自动连接：手机会自动连曾经连过的同名热点，正好被假热点利用；
- 只看地址栏和证书：登录页要求输入邮箱密码、短信验证码、支付信息时，先确认域名；证书警告一律不点「继续」。
第三档：必须用公共网络办公
- 开启公司 VPN 或可信的商业 VPN，把流量加密到出口；
- 关闭文件与打印机共享，系统防火墙设为「公用网络」；
- 重要操作配双因素，优先用 Passkey 或验证器而不是短信；
- 用完点「忘记此网络」，避免下次自动重连。
VPN 不是万能药
VPN 加密的是「设备到 VPN 服务器」这一段，能防同网段抓包和 DNS 劫持，但防不了：
- 你在钓鱼页面上主动输入的密码——流量再加密，也是你自己交给对方的；
- 恶意热点在连接前就完成的诱导（比如假门户、假二维码）；
- 免费 VPN 本身收集数据、注入广告的风险。
所以顺序应该是：先确认「连的是谁」，再考虑「怎么加密」。这一点和识别钓鱼网站的逻辑一致，方法见钓鱼网站怎么识别。
这些操作别在公共网络上做
| 操作 | 风险 | 替代方案 |
|---|---|---|
| 登录网银、证券 | 钓鱼页 + 会话劫持 | 用手机流量，或回家再办 |
| 输入公司账号 | 假门户收集凭据 | 公司 VPN + 硬件密钥 |
| 公共电脑登邮箱 | 键盘记录、残留会话 | 不开；必须用则开无痕并彻底退出 |
| 扫码连 WiFi | 二维码可指向任意页面 | 手动选择并核对名称 |
| 安装「上网必备」插件 | 恶意软件分发 | 只从官方商店装 |
常见问题
有密码的公共 WiFi 就安全吗？
不一定。密码只说明「能连上」，不说明网络可信。咖啡馆的密码往往贴在墙上，任何人都能连；真正的保护仍是 HTTPS、双因素和不开自动连接。
手机连公共 WiFi 会被盗照片吗？
系统层面的隔离比电脑好，风险主要在「点了钓鱼链接」和「装了恶意描述文件」。不要安装来源不明的描述文件或企业证书，这条比连不连 WiFi 更关键。
用了 VPN 还需要注意吗？
需要。VPN 保护传输，不保护你的判断。钓鱼页、假二维码、假客服电话都不在 VPN 的保护范围内，双因素和核对域名仍要做。
小结
公共 WiFi 的风险重点已经从「被偷密码」转向「被引导交出密码」。三档方案记住：敏感操作走手机热点；普通上网连公共 WiFi 也要核对名称、关自动连接、看证书；办公场景再加 VPN、关共享、开双因素。VPN 是补充，不是护身符。