pg导航要警惕的两样东西：二维码与短链接为什么风险更高
它们的共同问题：地址不可见
关于 pg导航 类的入口辨识，通行建议是"核对域名"。这个方法有效，但它有个前提——你得能看见域名。
而有两样东西恰恰把域名藏了起来：二维码和短链接。
二维码本质上是一段编码后的文本，肉眼完全无法解读。你扫之前不知道它指向哪里。
短链接（形如 xx.cc/aBc123）把原始地址映射成一个短字符串，同样看不出目标。
这两样东西在正常场景里很常用——二维码方便线下扫描，短链接便于在字数受限的地方分享。它们本身不是恶意的，但它们移除了你判断的依据。
而一旦判断依据被移除，你就只能依赖"发这个的人可不可信"——而这恰恰是社交工程攻击最擅长利用的地方。
二维码的风险结构
几种具体的风险方式。
替换贴纸。 线下场景中，在原有二维码上覆盖一张新的。这在实体场所是真实存在的攻击方式，而且成本极低。
动态二维码。 这一类值得单独说：二维码本身指向一个中转地址，中转地址的目标可以随时被修改。也就是说，同一个二维码今天指向正常页面，明天可能就指向别处。
这意味着"这个码我以前扫过没问题"不构成任何保证。
伪装成官方物料。 印在看起来正规的宣传材料上。
社群里流传的"官方群二维码"。 加入后遇到的往往是荐单群、代充推销，或者更直接的诈骗。
处理原则：
扫完先看地址栏，确认域名再操作。 多数手机的扫码功能会先显示目标地址，不要跳过这一步直接打开。
不扫来源不明的码。 尤其是不扫要求立即输入账号密码的。
线下扫码前留意码是否被覆盖。 边缘有贴纸痕迹、位置歪斜、材质与周围不一致，都是信号。
涉及付款和登录的场景，优先手动从书签进入，而不是扫码。
短链接的风险与展开方法
短链接的风险类似，但有几点不同。
它可以做重定向链。 短链 A 跳到中转 B，B 再跳到最终地址 C。你在浏览器地址栏看到的可能只是最后一站，中间发生了什么不可见。
它可以带追踪参数。 用于识别是谁点击的。这本身不一定恶意，但意味着你的点击行为被记录了。
它可以按条件跳转不同目标。 比如判断你的设备类型、地区、甚至是否为第一次访问，然后给出不同页面。这让"我朋友点了没问题"也不构成保证。
它的目标可以随时更改。 和动态二维码一样。
怎么在打开前看到目标：
部分短链服务支持预览。 在短链后加特定字符（不同服务规则不同）可以查看目标而不跳转。
用长按/右键复制链接，粘贴到文本编辑器里看。 至少能看到短链本身的域名——如果连短链服务的域名都很可疑，直接排除。
在电脑上悬停查看。 浏览器状态栏会显示目标，但对短链只能看到短链本身。
最稳妥的做法：不点。 需要访问平台时，从自己的书签或已安装的应用进入。这条建议听起来消极，但它是不依赖判断力的做法。
为什么"熟人发的"不构成保证
这一点值得单独强调，因为它是最常见的心理漏洞。
第一，熟人自己可能也是转发的。 他从别处看到，觉得有用就转了，同样没核实过。信息在传播链上经过几手之后，源头是谁已经无从追溯。
第二，账号可能被盗。 如果对方账号被控制，攻击者会用他的身份发送链接——这正是钓鱼最有效的形式，因为收信人的信任是真实的。
第三，群里的"管理员"未必是管理员。 昵称和头像可以模仿，新成员很难分辨。
处理方式不需要伤害关系： 你不需要质疑对方的动机，只需要不通过这个链接进入。从自己的书签进入，同样能到达目的地。 这个动作不需要解释，也不会得罪谁。
如果确实需要确认，可以问一句"你这个是从哪里来的"。 多数情况下对方也说不出来源——而这个回答本身就说明了问题。
建立不依赖判断力的入口习惯
前面讲的都是识别方法，但更根本的解法是让自己不需要每次判断。
第一步，通过多个来源交叉验证官方地址。 对比应用内显示的官网地址、正规应用商店的开发者信息页、其他可靠渠道给出的地址，看是否一致。
第二步，核实后立刻加书签。 之后每次从书签进入。
第三步，移动端把入口添加到主屏幕。 效果等同书签但更方便。
第四步，安装官方应用后以应用为主要入口。 完成 pg最新导航 相关的官方应用安装之后，日常走应用，需要网页时走书签。
第五步，用密码管理器作为第二道保险。 它按域名逐字符精确匹配——形近字符对它无效。如果它没有自动填充，那就是一个警报，先停下来核对，而不是手动输入密码。
第六步，定期确认书签有效。 平台偶尔会换域名。如果书签打不开了，不要去搜索——先通过应用内公告或其他已知官方渠道确认。"旧地址打不开于是去搜索"正是仿冒站等待的时机。
已经扫了或点了怎么办
如果事后觉得不对劲，按这个顺序处理。
第一，如果输入过账号密码，立即改密码。 这是最优先的。
第二，退出所有设备。 在账户安全设置里执行，使可能被窃取的会话失效。
第三，检查绑定信息有没有被改。 攻击者常做的第一件事是修改绑定的手机号或邮箱，切断你的找回途径。
第四，开启二次验证。 如果还没开的话。优先选验证器应用而非短信，并把恢复码离线保存。
第五，检查账变记录。 确认有无异常资金变动，相关记录截图保存。
第六，如果安装了什么，卸载并检查权限。 特别留意是否被授予了辅助功能服务或设备管理器权限——这两项权限很高。
第七，从官方入口联系客服。 注意：搜索引擎里的"客服电话""客服 QQ"有大量是仿冒的，专门守着这类求助场景。从应用内或已核实的官网进入。
第八，如果这个密码在别处也用过，那些账户一并改掉。
全程守住一条：不向任何人提供密码、支付密码或短信验证码。 正规客服不会索要这些，有人索要就是冒充的，无论他自称是谁。
常见问题 FAQ
问：二维码扫之前能看到地址吗？
多数手机的扫码功能会先显示目标地址再询问是否打开。不要跳过这一步。若某个扫码工具直接跳转不给预览，换一个。
问：短链接怎么看到真实目标？
部分短链服务支持加特定字符预览。更稳妥的做法是不点，改从自己的书签或应用进入。
问：以前扫过没问题的码还安全吗？
不一定。动态二维码的目标可以随时被修改，短链同样如此。历史上没问题不构成当前的保证。
问：熟人发的链接能点吗？
不建议直接点。对方可能也是转发的，或者账号被盗。从自己的书签进入同样能到达，不需要质疑对方。
问：pg官网导航 类页面可信吗？
取决于它本身是不是官方的。判断方法仍是核对域名。第三方导航站可能夹带仿冒链接，优先用自己核实过的书签。
理性对待，量力而行。二维码和短链接的问题是移除了你判断的依据——最可靠的办法是建立固定入口，不依赖每次的判断力。只用闲钱，设好上限。