安全设置自查：你挡住了哪几类

这里不给分数。「安全度 7/10」这种输出没法指导行动，而「你还没挡住 SIM 挟持」可以。

为什么输出的不是分数

把安全设置折成一个分数，会造成两种误解。

一是让人以为可以互相替换：好像开三项就比开两项安全一半。实际上每一项对应一条具体的攻击路径，路径之间不能互补 —— 开了防钓鱼码不会让 SIM 挟持变难一点。

二是让人停在数字上。「7/10」不告诉你缺的是哪三分，而「还没挡住已经被入侵后的提币」是一个可以马上去做的动作。

所以这个工具输出的是一张覆盖清单：挡住了哪几类、还敞着哪几类、每一类敞着意味着什么。

有一类任何设置都挡不住

无论你勾了几项，结果里都会保留一条：你自己被说服后主动完成的操作。

上面每一项机制的设计前提都是「正在操作的人不是你」。一旦操作的人确实是你、只是被误导了，它们会一项接一项地为攻击让路 —— 你会自己登录、自己通过验证、自己把对方的地址加进白名单、自己等过冷静期。整个过程里没有任何一项防护被攻破，它们全都正常工作了。

能降低这一类的只有两条习惯，写在结果里，也写在这里：任何要动钱的事都从你自己保存的入口重新核实一遍；不在被催促的状态下转账。

如果只做一件事

勾完之后如果发现缺好几项，按这个顺序补：

1. 提币地址白名单。唯一一项在入侵已经发生之后仍然有效的设置。
2. 把短信验证换成验证器 App 或通行密钥。把运营商从链路里拿掉。
3. 独立密码。不与任何其他网站重复。
4. 防钓鱼码。成本最低的一项。
5. 存好备份码。这一条防的是你自己把自己锁在外面。

每一项的机制、它挡住什么、以及它结构上挡不住什么，安全功能对照那一篇用一张三列表逐条拆开了。

这些设置在哪里

各家的菜单位置和叫法不完全一样，但都在账户的安全设置里，通常是「安全」「账户安全」或「安全中心」这一层。名称对应关系大致是：

• 两步验证可能叫双重验证、二次验证、2FA、身份验证器。
• 提币地址白名单可能叫地址管理、提币地址簿、免验证地址、地址白名单。
• 防钓鱼码可能叫防钓鱼码、安全短语、反钓鱼验证。

找不到某一项时，先确认这家平台是否提供 —— 不是所有平台都有全部这些功能，而「有没有提供」本身就是一条可以放进入金前核对清单的信息。