公共 WiFi 安全使用完整指南 2026 - 咖啡馆/机场/酒店网络防护
咖啡馆、机场、酒店、高铁、商场的免费 WiFi 极大方便了我们的生活，但同时也是网络攻击的高发场景。攻击者可以利用公共 WiFi 窃听你的通信、窃取账号密码、注入恶意代码、伪造登录页面。本文按国际网络安全最佳实践，详解公共 WiFi 的真实风险、5 大典型攻击手法、HTTPS 防护原理、VPN 加密使用、DNS 安全、移动设备防护清单，让你出差旅行也能安全上网。
1. 公共 WiFi 的 4 大真实风险
风险 1：流量被嗅探
未加密的 HTTP 流量在公共 WiFi 中可被同一网络下的任何设备捕获。攻击者可看到你访问的每个页面、提交的每个表单（包括登录密码）。
风险 2：中间人攻击（MITM）
攻击者伪装成「无线路由器」或「网关」，所有流量先经过攻击者再转发到真实服务器。即使 HTTPS 也会因伪造证书导致用户被诱导信任。
风险 3：恶意热点钓鱼
攻击者创建名为「Starbucks_Free_WiFi」「Airport_Free」的虚假热点，引诱用户连接后窃取所有数据，或弹出伪造登录页骗取账号。
风险 4：同网横向攻击
连接同一公共 WiFi 的其他设备可能感染蠕虫、SMB 漏洞（如 EternalBlue），可能扫描并攻击你的设备。
2. 5 大典型攻击手法拆解
手法 1：SSL Strip / 降级攻击
攻击者拦截 HTTP→HTTPS 跳转，让你停留在 HTTP 版本网站并提交密码。防护：浏览器启用 HSTS、地址栏确认 https:// 与锁形图标。
手法 2：Firesheep 类 Cookie 劫持
攻击者嗅探未加密 Cookie，复制后直接登录你的账号（如早期 Facebook、Twitter）。防护：现代网站已强制 HTTPS + Cookie Secure 标志。
手法 3：DNS 投毒
攻击者篡改 DNS 响应，让你访问的 bank.com 实际指向伪造 IP。防护：使用 DoH（DNS over HTTPS）或 DoT（DNS over TLS）。
手法 4：伪造登录页（Captive Portal 钓鱼）
虚假热点弹出「请输入手机号 / 邮箱 / 密码登录」页面，骗取凭证。防护：不在公共 WiFi 弹窗中输入任何凭证。
手法 5：路由器漏洞利用
老旧公共 WiFi 路由器存在 WPA2 KRACK、WPS PIN 漏洞，攻击者可解密已捕获流量。防护：保持设备系统更新，启用 VPN。
3. HTTPS / TLS 的防护与局限
HTTPS（HTTP over TLS）通过加密、完整性校验和证书验证保护浏览器与网站之间的数据。多数主流网站已启用 HTTPS，但用户仍需确认域名正确并重视浏览器的证书警告。
HTTPS 提供的保护
- 流量加密，防止嗅探
- 证书校验，防止伪造
- 完整性校验，防止篡改
HTTPS 的局限
- 不隐藏访问的域名：SNI（Server Name Indication）明文暴露访问的网站
- 不加密访问时间、流量大小：可被流量分析识别行为
- 无法防止 DNS 查询泄露：DNS 默认明文
- 无法防止用户主动信任伪造证书：用户点击「仍然继续」即绕过保护
https:// 开头、锁形图标完整、点击锁形可查看有效证书。任何「证书无效」「不安全」警告应立即关闭页面。
4. 使用 VPN 加密公共 WiFi 流量
VPN 可以降低同一局域网内流量被直接观察或篡改的风险，但不能替代 HTTPS、系统更新和钓鱼识别。公共 WiFi 下如需处理敏感信息，可使用单位批准的企业 VPN 或本人可信的合规服务；无法确认网络与工具安全性时，优先改用蜂窝数据或本人手机热点。
使用要点
- 连接公共 WiFi 之前就开启 VPN
- 启用 Kill Switch：VPN 断线时自动切断网络
- 启用 DNS 泄露保护：DNS 查询走 VPN 隧道
- 启用 IPv6 泄露保护：避免 IPv6 流量绕过 VPN
- 选择合规商业 VPN 或企业自建 VPN
VPN 选择标准详见 VPN 选择标准指南。
5. DNS 安全与加密 DNS
DNS 是「互联网的电话簿」，将域名（如 bank.com）解析为 IP。传统 DNS 是明文协议，攻击者可篡改响应把你导向钓鱼网站。
加密 DNS 方案
| 方案 | 端口 | 说明 |
|---|---|---|
| DNS over HTTPS (DoH) | 443 | HTTPS 加密 DNS 查询 |
| DNS over TLS (DoT) | 853 | TLS 加密 DNS 查询 |
| DNS over QUIC (DoQ) | 853 | 基于 QUIC 的新一代方案 |
主流加密 DNS 服务
- Cloudflare：1.1.1.1 / 1.0.0.1（DoH:
https://cloudflare-dns.com/dns-query） - Google Public DNS：8.8.8.8 / 8.8.4.4（DoH:
https://dns.google/dns-query） - Quad9：9.9.9.9（带恶意域名拦截）
- AdGuard DNS：94.140.14.14（带广告拦截）
dns.google 或 cloudflare-dns.com。
6. iOS / Android 设备防护设置
iOS 防护设置
- 「设置」->「Wi-Fi」-> 关闭「询问是否加入网络」（避免自动连虚假热点）
- 已保存的陌生公共 WiFi 全部「忘记此网络」
- 开启「iCloud 私人中继」（iCloud+ 订阅用户）
- 安装可信 VPN App，开启自动连接
- 开启「锁定模式」（高威胁用户）
Android 防护设置
- 「设置」->「网络和互联网」->「Wi-Fi」-> 关闭「自动连接开放网络」
- 「私人 DNS」设置为
cloudflare-dns.com或dns.google - 安装可信 VPN App，开启「随时 VPN」
- 禁用 WPS（部分老路由器）
- 启用 Google Play Protect
7. 出差旅行 12 项 WiFi 安全清单
- 出发前更新操作系统和 App 到最新版本
- 安装并测试可信 VPN，开启自动连接
- 配置加密 DNS（DoH / DoT）
- 关闭自动连接公共 WiFi 功能
- 「忘记」历史陌生公共 WiFi
- 仅在必要时开启 WiFi，平时用蜂窝数据
- 不连接名称可疑的热点（如
Free_Airport_WiFi_VIP） - 不在公共 WiFi 弹窗中输入任何凭证
- 优先使用手机热点代替公共 WiFi
- 访问银行、支付、邮箱前确认 HTTPS 证书有效
- 开启账号双重认证（2FA）
- 出差归来后修改重要账号密码
8. 常见问题 FAQ
Q1: 公共 WiFi 一定不安全吗？
公共 WiFi 的配置和运营质量不同，但即使使用较新的加密方式，也仍可能存在恶意热点、门户钓鱼和同网攻击。处理敏感事务时优先使用蜂窝数据；必须使用公共网络时，确认热点名称、保持系统更新并使用单位批准的安全连接。
Q2: 只访问 HTTPS 网站是不是就安全了？
基本安全，但仍有局限：HTTPS 不隐藏访问的域名（SNI 明文）、不防止 DNS 查询泄露、不防止用户主动信任伪造证书。最佳实践是 HTTPS + VPN + 加密 DNS 三层防护。
Q3: 手机热点比公共 WiFi 安全吗？
安全得多。手机热点使用蜂窝网络，独立 WPA3 加密，攻击面远小于公共 WiFi。出差旅行优先使用手机热点，仅在必要时使用公共 WiFi。
Q4: 公共 WiFi 弹出「登录」页面要输入手机号怎么办？
先向场所工作人员确认热点名称和门户页面是否真实。只有在确有必要且符合当地规定时，才填写本人能够长期控制的真实联系方式；不要填写密码、银行卡或与联网无关的信息。如果不愿提供信息或无法确认页面真伪，应取消连接并改用蜂窝数据或本人手机热点。
Q5: 在公共 WiFi 下登录银行 App 安全吗？
银行 App 通常使用 TLS，但公共网络仍会增加恶意热点和钓鱼风险。处理银行、支付等高敏感事务时优先改用蜂窝数据；同时确认 App 来源、保持系统更新并开启账号双重认证。
Q6: VPN 连接后公共 WiFi 就绝对安全吗？
不是。可靠 VPN 可加密设备与 VPN 服务器之间的流量，降低同网窃听风险，但无法阻止钓鱼页面、恶意下载、账号泄露或不可信 VPN 服务本身收集数据。仍应确认 HTTPS、保持系统更新、开启双重认证，并避免在可疑网络中处理高敏感事务。