无痕窗口挡不住的那一半：隐私模式在查资产、连钱包、登交易所时管什么、不管什么

「我用无痕模式操作的」——这句话在安全讨论里出现的频率，和它被误解的程度成正比。浏览器厂商自己的帮助页就写着隐私模式不是隐身模式，但直觉不停解释：窗口关了就什么都不留，听起来很合理。要把它当工具用，先要把它当一份范围明确的承诺读：承诺的内容是「这台机器上不留浏览记录和 Cookie」，没承诺的全都不在范围内。

无痕模式真实覆盖的那一层

打开隐私窗口后，浏览器主要改变三件本地行为：访问历史不写入常规历史、窗口关闭时该窗口的 Cookie 与站点数据清除、表单自动填充与部分缓存不落地。也就是说，它防的是这台设备上、这些浏览器数据目录里的下一双眼睛——共用电脑的人翻历史、找回站自动填充、下一个使用者继承登录态。对「偶尔用别人电脑查一次资产」这个场景，它确实是对的工具，用完关窗就走，比在主人浏览器里留下满屏记录体面得多。

四个它管不到的方向

第一，网络路径。无痕模式不改你的出口地址，局域网管理员、网络运营商、任何能看见流量的中间方，看到的与常规窗口完全一致；公共场合查资产，该走的隔离措施一条都不能因为开了无痕而省。第二，扩展与钱包插件。隐私窗口里插件默认往往仍是启用状态（或由扩展自己的「允许在隐身模式运行」设置决定）——扩展能读到的页面内容、能挂的注入脚本，不区分你是不是无痕窗口。反过来也有坑：部分钱包扩展在隐私模式下不能正常工作，用户于是改用「常规窗口+装一堆插件」，隔离反而更差。第三，服务端会话。无痕窗口清的是本地 Cookie，服务器侧的登录会话、设备记录、访问日志照旧生成；如果会话令牌此前已被窃取，攻击者用不用你的无痕窗口毫无关系。第四，已经输入过的东西。无痕模式不阻止键盘记录类威胁、不阻止钓鱼页对输入内容的处理，也不阻止你在无痕页面上授权签名——签名一旦上链，跟窗口模式没有半点关系。

三个场景分开说

查余额：无痕窗口适合「临时、只读、不装东西」的查法，但要接受它只解决本机记录问题；想真正收窄暴露面，用只读地址在独立环境查，比在任何窗口模式里连钱包查更干净。连钱包：隐私窗口与钱包扩展的组合要么失效要么半残（扩展被禁用，于是用户换回常规窗口），这不是隔离手段而是摩擦来源；需要临时隔离的正确形态是独立的浏览器配置文件——专用配置文件、干净扩展列表、与日常购物账号完全不同的登录态，这是常规窗口就能做到的、比无痕强一档的隔离。登交易所：公共设备上登交易所时，无痕模式的价值只剩「关窗清 Cookie」这一条；真正决定安全的是不输入密码（扫码登录优先）、以及离手前的登出与事后改密——把安全寄托在无痕模式上，等于把密码交给一个只保证本机不留存的工具。

比无痕更实在的替代清单

一，把「查」和「动」分开：查询用只读地址与独立配置文件，签名动作永远在固定干净环境。二，浏览器用配置文件做永久隔离而不是靠临时窗口：一个只放钱包与交易所书签、不登任何社交与购物账号的专用配置文件，隔离效果稳定可复现。三，公共设备场景升级应对：能扫码不输密码、用完退出、事后改密并检查会话列表；一台「别人登录过」的设备按半失陷处理。四，扩展审计优先于窗口模式：把钱包扩展的站点权限收到「点击时」，禁用不用的扩展——这条对日常常规窗口的保护力，远大于任何一次临时开无痕。

一句话收束：无痕模式是关窗时帮你抹掉桌面的工具，不是隐身衣。桌面抹不抹得干净只是资产安全里最小的一个变量，网络路径、扩展权限、服务端会话这三个方向上，它一次忙都帮不上。本文只提供浏览器侧的识别与防御方法，不构成任何投资建议。