冷门但关键的真相：这种跳转不是给你看的，是来拿你信息的
你每天在手机或电脑上点开的那些“跳转链接”——看似只是把你从A页带到B页——很多时候并不是为了让你更方便地阅读内容，而是为了悄悄收集你的信息。下面把这个被忽视的风险讲清楚，并告诉你该怎么保护自己或为自己的网站修补漏洞。
为什么这些跳转危险？
- 链接跟踪：发送方在链接中嵌入唯一ID（例如 uid、mc_eid、email、token），每次点击都会把你的身份、时间、IP、设备信息上报给追踪者。新闻邮件里的“阅读统计”就是靠这种跳转实现的。
- URL短链接与隐藏真实地址：短链把目标地址隐藏起来，方便把你导向恶意页面或中间的收集链路，增加了钓鱼成功率。
- 开放重定向（open redirect）被滥用：恶意站点先跳到一个信誉站点的重定向接口，再被转到钓鱼页，用户看到的浏览器地址栏短暂显示可信域名，更容易被骗。
- 引荐信息泄露（referrer leakage）：如果目标URL包含敏感参数（例如重置密码的token），在跳转时可能暴露给第三方域名。
- 广告与流量中转链：一次点击可能被多个中间域名依次转发，它们会层层收集指纹信息，实现精准追踪或滥用。
如何在点开之前辨别可疑跳转
- 悬停或长按预览真实链接：在桌面上把鼠标放在链接上看左下角或复制链接再粘贴到记事本；手机上长按预览。
- 注意短域名和不常见后缀：bit.ly、t.co之类的短域名需要用“展开工具”查看原地址。
- 查找参数关键词：链接中出现 uid、id、email、token、rid、track 等，先别急着点。
- 查看是否通过中转域名：重复的中间跳转或陌生域名链提示追踪或中间人行为。
- 右键在新标签页打开并留意跳转过程：如果先重定向到一个你不认识的域名，再被带到目标，就要警惕。
如果已经点开该怎么办
- 立刻关闭该标签页；不要在可疑页面输入任何账号或密码。
- 清除该站点的 cookies 和站点数据，或直接清理浏览器缓存与cookie。
- 如果在可疑页面输入了账号/密码，尽快在正式站点修改密码并启用双因素认证。
- 用杀毒或反恶意软件工具扫描设备，排查是否有下载或恶意脚本执行。
保护自己的实用措施（普通用户）
- 在邮件客户端和浏览器中禁用远程图像自动加载，避免邮件“打开就被追踪”。
- 安装隐私类扩展：uBlock Origin、Privacy Badger 等可以阻断常见追踪脚本和域名；HTTPS Everywhere/强制HTTPS也能降低中间劫持风险。
- 关闭第三方Cookie或使用浏览器的严格防追踪模式（例如 Firefox 或 Brave 的隐私保护）。
- 对可疑短链使用 URL 展开服务或在线扫描（VirusTotal、URLVoid 等）先验查。
- 用密码管理器自动填充凭据，能帮助你识别假冒域名（密码管理器通常只在匹配的域名下填充）。
给网站或产品负责人的安全清单
- 避免在URL里放置敏感信息（如token、邮箱、密码重置链接），把敏感数据放在POST体或短期的单次使用令牌中。
- 禁止开放重定向：对所有重定向目标做白名单校验或使用内部重定向映射ID。
- 设置 Referrer-Policy、Content-Security-Policy 和 SameSite Cookie 属性，减少信息泄露和跨站利用面。
- 在邮件和链接中，用不可追踪的通用链接或在链接后加上提示，向用户说明为什么需要收集数据并提供取消选项（即合规与透明）。
- 定期审计第三方SDK与广告链，清理不必要或有风险的中间方。
速查清单（快速行动项）
- 看到短链或长参数的链接：先展开再点。
- 邮件中点击前：禁图、预览URL、注意域名是否一致。
- 网站开发者：修补开放重定向、移除URL敏感参数、加上Referrer策略。
- 已泄露凭据：改密+开启双因素+检查设备安全。
