办公室老张的认证电脑弹出一个陌生页面，要求输入手机号获取验证码。认证他下意识关掉，认证结果连不上网了。认证这就是认证路由器Web认证——一个你天天遇见，却未必真正理解的认证“门卫”。

说白了，认证它就是认证在你连上Wi-Fi后、真正上网前，认证强制插入的认证一个网页。你输入账号密码，认证路由器核对无误，认证才放你通行。认证这跟家里那种输一次密码就永久记住的认证Wi-Fi完全不同。家里的认证路由器是你私有财产，认证一次就够了。但公共场合的路由器，比如咖啡馆、酒店、机场，面对的是流动人群，没法每台设备都手动设置密码。Web认证就是为这种场景设计的——它不认设备，只认“人”。

技术上实现并不复杂。路由器开启一个强制门户（Captive Portal）功能，所有新接入的流量都被拦截，只有访问认证服务器的HTTP请求能通过。你打开浏览器，随便输个网址，路由器就把你重定向到登录页面。验证通过后，路由器记录下你的MAC地址和IP，放行后续流量。整个过程像极了你进小区大门，保安看一眼你的门禁卡，确认是住户，才抬杆放行。

但这里面有个反直觉的细节：很多公共Wi-Fi的认证其实不加密。你在页面上输的密码或手机验证码，在空气中裸奔。理论上，一个用抓包工具的隔壁桌，就能截获你的认证信息。别慌，大部分公共场景的认证只用来区分“谁交了钱”或“谁住这酒店”，并不承载高价值数据。真正要命的是那些要求你同时输入微信、手机号、甚至身份证的页面——这种认证页面本身就是个钓鱼陷阱，谁做的不好说。

我还遇到过一种更隐蔽的坑。某些老式路由器，认证页面是http的，不是https。你连上后，路由器偷偷在页面里注入一段JS，篡改你的DNS设置。你以为是正常认证，实际被导流到广告站。这种“劫持型认证”在廉价连锁酒店里特别常见。所以我的习惯是：公共Wi-Fi认证完成后，立刻打开一个敏感网站（比如银行App）测试，如果跳转异常，马上断开。

另一个被忽视的点是认证超时。多数路由器默认闲置15分钟就踢人下线。你以为还连着，实际流量早被掐断。刷个朋友圈没反应，得重新认证。这设计初衷是防止有人占着带宽不走，但对用户来说，体验相当割裂。有些聪明的方案会用“滑动验证码”或“点击按钮续期”，减少烦人程度，但大部分公共场所懒得优化。

个人认为，路由器Web认证是“够用但丑陋”的折中方案。它用最少的配置成本解决了“谁在用什么网络”的问题，代价是牺牲了用户体验和安全性。未来如果Wi-Fi联盟能普及更细粒度的接入认证（比如基于SIM卡的EAP-AKA），这个网页门卫迟早退休。但就眼下而言，它还是那个你躲不开的、敲着键盘问“你谁啊”的倔强前台。