第一步：读实际地址
URL 通常包含协议、主机名以及路径，还可能带有查询参数和片段标识。主机名与请求的服务器有关；路径定位资源。链接显示文字可以和目标地址不同，因此“官方入口”四个字不是身份凭证。
例如 https://archive.example/guide/door?view=notes#sources 是一个仅作语法示范的虚构地址：archive.example 是主机名，/guide/door 是路径，view=notes 是查询参数，sources 是页面片段标识。这个示例不是推荐访问的网址。
第二步：把链接和来源一起看
在桌面浏览器中可以先把指针移到链接上查看目标；手机可使用浏览器提供的链接预览或复制地址功能。具体操作因浏览器而异。如果地址被短链接隐藏，或与声称的服务方不一致，就需要更多核实。
如果一条意外收到的消息要求重新输入密码，优先自己打开已确认的服务主页，再寻找对应通知。不要只根据消息里的 logo、熟悉的称呼或紧迫语气判断真假。
第三步：理解 HTTPS 能证明什么
HTTPS 保护的是连接层面的通信，并不能自动证明页面经营者和内容值得信任。诈骗页面也可能使用 HTTPS，因此锁形图标不能替代域名和来源核对。
浏览器的具体图标会变化。无论显示锁、调节图标还是连接信息，都不应把连接状态读作“官方网站认证”。如果浏览器明确报警，先停止继续输入信息；没有报警也不是可靠性保证。
第四步：检查跳转后的要求
打开页面后的地址可能已经变化。需要登录、付款或授权前，再看地址栏和操作目的；判断是否与原先要完成的事情一致。一个阅读页面突然索要验证码、联系人权限或安装陌生程序，值得停下来核实。
本指南不提供在线查验器，也不收集待检查链接。不要把包含私人邀请参数、账号标识或一次性令牌的完整地址贴到公开论坛；分享问题时先去掉敏感部分。无法确定时，可以保存非敏感线索并向服务方公开支持渠道询问。