上周，浏览我同事老张的网页浏览器主页被劫持了。开机后，时存满屏都是全风“澳门威尼斯人”的弹窗，他花了整个下午才把那些顽固的浏览注册表项清理干净。这事听起来像是网页电脑小白的遭遇，但老张是时存干了十几年的运维工程师。你看，全风在网页里翻个车，浏览跟技术高低真没太大关系。网页

浏览网页最直接的时存风险，是全风那些伪装成正经页面的钓鱼网站。你收到一封邮件，浏览说“您的网页网银账户异常，请点击链接验证”，时存点进去的页面和真银行长得一模一样，网址就差一个字母。输完账号密码，钱就飞了。这类攻击玩的不是技术，是心理——利用你的慌张，让你来不及核对那串字母。我见过最精妙的钓鱼页，连SSL证书都有，地址栏那把绿色的小锁，反而成了最讽刺的伪装。

比钓鱼更隐蔽的，是恶意广告和追踪脚本。你可能觉得，看个新闻网页，旁边弹出个“恭喜您中奖”的广告，不点就没事。但那些广告背后常常挂着恶意代码，你光是把鼠标滑过去，页面就悄悄往你浏览器里塞东西。更常见的是追踪器——你刚搜过“颈椎病”，转头打开另一个网站，满屏都是卖膏药的。这不是巧合，是你的浏览行为被几百个第三方脚本实时记录、打包、出售。它们不偷你的密码，但把你的喜好、习惯、作息摸得门儿清，这种被“看透”的感觉，比丢钱还让人发毛。

还有一个常被忽视的坑：浏览器插件。为了下载个文档，你装了个“万能阅读器”，结果它顺便改了你的主页、弹广告、甚至读取你在其他网站的输入框内容。插件权限往往大得离谱，而大多数人装完就忘，从不去检查它们到底干了什么。我自己就中过招，为截图装了个小工具，后来发现它每五分钟向外发送一次数据。卸载后，浏览器干净得像换了台新电脑。

技术层面还有个老生常谈但总有人栽跟头的点：不更新浏览器和系统。那些“更新提示”烦人，但每次更新都在补漏洞。去年Chrome修了一个零日漏洞——攻击者早就在利用它偷数据，而普通用户因为嫌重启麻烦，硬是顶着漏洞裸奔了半个月。别高估自己的运气，攻击者最喜欢找的，就是那些“等会儿再更”的人。

说实话，完全避开这些风险几乎不可能，除非你断网。但有几个土办法挺管用：别点邮件里的链接，自己手动输入网址；装插件前看一眼它要什么权限，要“读取所有网站数据”的直接拉黑；把浏览器自动更新打开，别关。还有，重要账号开两步验证——就算密码被钓走了，对方也进不去。

网页浏览就像在陌生街区散步，大部分时候没事，但总有些巷子口蹲着不怀好意的人。你不能因为怕就永远不出门，但至少得知道哪儿暗、哪儿容易摔跤。老张清理完电脑后，把浏览器主页设成了空白页，密码管理器换了个开源的。他跟我说：“以前觉得自己懂，现在才明白，懂技术的人最容易栽在‘我觉得没事’上。”