你几天没关的旧标签页，可能被脚本在背后换成一张仿真的登录页，页面地址栏还是原来的域名样子。本文讲清标签页劫持借用了哪两个浏览器机制、受害者为什么会毫无察觉、四类高危场景，以及日常浏览器卫生与签名前的强制核对动作。