标签页咬钩：浏览器里那张等你回来的旧标签页

你早上打开某个平台标签页查了行情，中午点开一篇新闻，下午回到那张一直没关的旧标签页——它显示”登录会话已过期，请重新登录”。这个画面太日常了，日常到没人会多看一眼地址栏。而”换页术”（tabnipping）赌的就是这一点：不需要骗你点进任何链接，只需要等你自己回到那张旧页面上去。

一、经典剧本与它现在的样子

早期形态靠一个网页机制：被新开的页面可以通过脚本改写来源标签页的地址，等你回头点击那张旧页时，看到的已是仿冒的登录框。后来主流浏览器把新开页面的隔离从提醒改成了默认，公开可用的经典通道被大面积堵上。但结构性的暴露面没有消失：换页不再需要”恶意页动手”，正规站点的会话过期机制自己就会制造同样的画面——任何长期挂着的登录型标签页，回来时都可能合理地长成”重新登录”的样子。攻击者不需要新的漏洞，只需要预测这个行为，再想办法把你常挂的会话时间搞短、或让你的登录态以某种方式失效。

二、新变体：出现在奇怪位置的”会话过期”

值得警惕的不是登录页本身，而是它出现的语境：你没做任何操作它就跳到了登录页；跳转过程中经过了陌生的中间域名；“重新登录”后账户设置、地址簿或安全设置出现了你没做过的改动。尤其是最后一条——部分场景里，攻击者不需要你的密码，只需要你的浏览器”替他们完成一次重登”，比如借助被盗的会话令牌或插件被投毒后的静默请求。所以判断标准要从”页面像不像官网”升级为”这次跳转该不该发生”。

三、几条便宜的纪律

把动账操作集中到你亲手打开、全程留在同一个域名下的标签页：先手动输入或从官方书签进入，再登录再操作，永远不在”挂了一上午的旧标签”上补登录。签名与大额转账前做一个固定动作：关掉其他所有标签页再开始——既避免切错窗口，也消除旧页面残留的会话干扰。另外把”登录”和”授权”当成两种动作：对登录型签名请求（只读验证身份那一类）也保持地址与域名核对，别因为它”不转账”就跳过。

四、浏览器侧能做的收束

保持浏览器自动更新是性价比最高的一项——这类换页通道的封堵正是靠版本迭代完成的；检查插件最小化，尤其是内容脚本能注入所有页面的那一类，它们既是你防钓鱼的助手，也是被投毒后能改写”登录页”的隐形页面；企业或二手设备上的托管策略值得打开设置页看一眼，被异地管理的浏览器不配管你的钥匙。最后一句总结：钓鱼进化的方向不是骗你点新链接，而是改造你已经信任的旧位置——旧标签页、书签、桌面图标都算。

五、把”该不该跳转”变成日常反射

训练自己识别一个不寻常的时刻：页面在没有任何点击的情况下换了地址栏域名；“登录已过期”出现在一个你刚刚还在正常操作的会话里；登录框出现在与平时不同的子域甚至完全不同的域名上。遇到这些时刻的标准动作是：不动这个页面，新开一个标签页从官方书签进入，在新页面完成登录，再回头关闭旧的。旧标签页上的”重新登录”永远不值得响应——真正需要你登录的时刻，都由你亲手打开的页面发起。顺手做一件小事：定期清理登录态过期的站点授权应用列表，连接过的第三方越多，可被利用的”合理跳转面”就越多。

风险提示：本文仅提供通用识别与浏览器防御习惯建议，不构成投资建议或买卖建议。