有些钓鱼网站做得很烂，Logo 糊、排版歪、中文像机翻，这种比较好认。真正麻烦的是另一类：页面几乎和官网一模一样，颜色、登录框、图标都复制得很像，甚至 HTTPS 也正常。
所以判断方法如果还是“这个页面看起来挺正规”，基本已经进入对方最喜欢的比赛规则。
第一件事不是看网页，是看域名
假设真正官网是 paypal.com。像 paypal-security.example、paypal.verify-user.example.com 或者利用字母外观混淆的地址，都可能让人第一眼误判。
尤其长子域名要从右边开始确认。比如 paypal.account.verify.example.com，真正由站点持有者控制的核心域名是 example.com，前面的 paypal.account.verify 并不会让它变成 PayPal。
HTTPS 为什么不能证明网站是真的
HTTPS 证明的是你和“当前这个域名”之间的连接受到 TLS 保护。攻击者只要控制一个钓鱼域名，同样可以申请正常证书。因此小锁表示连接加密，不表示站点通过了信誉审核。
想继续了解这一点，可以看 Lab 的HTTPS 小锁到底保护了什么。
突然要求重新登录，要多看一眼
普通页面突然提示“登录状态失效”，然后要求重新输入邮箱、密码或验证码，是典型高风险场景。银行、邮箱、社交平台、Apple ID、Google 账号、交易平台尤其值得先确认地址栏。
验证码也不是网站真实性证明
实时钓鱼可以把你输入的账号、密码和验证码转发到真正网站。真正网站发出验证码，你再把验证码交给钓鱼页，对方就可能实时完成登录。所以“页面能触发验证码”并不能反向证明它是真的。
短链接先看最终跳到哪里
短链接天然隐藏最终目标。如果拿到陌生地址，可以先看它有没有重定向、最终落到哪个域名：
它不能给出“100% 安全”的神谕式结论，但至少能把跳转链摊开，让你不用闭眼点。
下载文件要额外小心
如果链接最后要求下载陌生的 APK、EXE、MSI、脚本文件，尤其还配着“安全验证”“账户升级”“客服工具”之类文案，应该先停下来确认来源。正规银行、支付平台或邮箱一般不会靠陌生安装包来证明你是你。
钱包场景还要看授权内容
Web3 页面常见“连接钱包”之后继续请求签名、Token 授权或 Permit。连接钱包本身和授权资产不是同一个动作。真正危险的往往是后面那一步你到底签了什么。
二维码同样要看最终地址
二维码只是把 URL 藏进黑白方块里。公开场所的二维码还可能被贴纸覆盖。扫码以后仍然要看完整域名，尤其在支付、停车、充电、快递柜等场景。
一个实用检查顺序
- 看完整域名，从右向左确认真正主域。
- 检查拼写替换、异常子域名和奇怪后缀。
- 短链接先看重定向和最终 URL。
- 遇到突然重新登录、验证码、软件下载时提高警惕。
- 涉及钱包时看清授权和签名内容。
- 不确定时，关闭当前页面，自己手动打开官方 App 或官方网站。