内容摘要：浏览器地址栏左边那个小锁图标，很多人根本不会点开看。点开也看不懂。懂的人知道，那玩意儿早就不是安全证明了——它只说明你和网站之间那条线是加密的，至于网站本身是不是钓鱼站、有没有挂马，它不管。 我上周帮

浏览器地址栏左边那个小锁图标，安全很多人根本不会点开看。防护点开也看不懂。览器懂的安全人知道，那玩意儿早就不是防护安全证明了——它只说明你和网站之间那条线是加密的，至于网站本身是览器不是钓鱼站、有没有挂马，安全它不管。防护

我上周帮一个亲戚修电脑。览器她五十多岁，安全平时就看看新闻、防护刷刷短视频。览器电脑卡得不行，安全弹窗一个接一个往外蹦。防护我打开浏览器一看，览器好家伙，主页被改成了一个导航站，搜索框里输什么都会跳到另一个陌生引擎。扩展程序列表里躺着七八个没听说过的插件，什么“购物助手”“天气精灵”，名字看着人畜无害，权限却写着“读取和更改您在所有网站上的数据”。

这就是没有安全防护的浏览器的典型状态。Chrome、Edge、Firefox，默认装好的时候都算“裸奔”——不是说它们没功能，而是那些功能默认不开。安全浏览、增强保护、DNS加密，全藏在设置菜单三四层下面。普通用户不会去翻。厂商也知道你不会翻，所以把默认值设成最省事、最不打扰你的那个档位。

省事的代价是什么？我做过一个小实验。在虚拟机里用默认设置的Chrome访问一个已知的恶意测试页面。页面加载的瞬间，浏览器没有任何提示。地址栏的小锁还在，页面看起来也正常。但后台日志显示，它已经尝试调用了一个漏洞利用链，虽然最终没打穿，但那是因为虚拟机补丁打全了。真实环境里，没打补丁的机器就中招了。

更常见的是追踪。你搜完一个东西，转头去别的网站，广告立刻跟上。这不是巧合。默认设置下，第三方Cookie是开着的，指纹识别脚本可以跑，跨站跟踪没人拦。浏览器像个大漏勺，你在这头倒水，那头哗哗往外流。

有人会说，那我装个广告拦截插件不就行了。可以，但插件本身也是风险。去年有个挺火的“视频下载助手”扩展，被爆出偷偷收集用户访问的每一个URL，打包卖给数据公司。装的时候没人看权限说明，出事了才下架。浏览器对扩展的审核，远没有应用商店那么严。

那怎么办？我的做法是：换DNS。把系统默认的运营商DNS改成Cloudflare的1.1.1.1或者Quad9的9.9.9.9，能挡掉一大部分已知恶意域名。然后在浏览器里开“安全DNS”，让解析走加密通道。再进设置，把“增强型跟踪保护”调到严格模式。Firefox在这方面做得比Chrome激进，默认就拦跨站跟踪器，Chrome得手动开。

还有一个容易被忽略的：别用浏览器存密码。Chrome的密码管理器以前出过事，明文查看密码只要系统密码就行。用Bitwarden或者1Password，独立加密，浏览器被端了也不至于全丢。

最后说个真事。上个月一个做外贸的朋友，收到一封客户发来的邮件，附件是“订单详情.html”。他双击打开，浏览器直接渲染了一个仿冒的Outlook登录页。他输完账号密码，页面跳转了一下，然后正常显示了一个假订单。第二天邮箱被盗，客户货款被改到另一个账户。那个HTML文件里嵌的钓鱼脚本，浏览器默认设置下不会拦。地址栏的小锁亮着，因为钓鱼站也上了HTTPS。

没有安全防护的浏览器，就像一辆没系安全带的车。开得慢没事，出事就是大事。而大多数人，根本不知道安全带在哪。