简短答案
公共Wi-Fi的风险没有早期互联网时代那么简单，也没有完全消失。今天大多数正规网站和App使用HTTPS加密，附近的人通常不能像过去那样直接读出网页内容和密码。更现实的风险包括连上名称相似的假热点、被伪造登录页骗取账号、忽略证书警告、设备开放文件共享、使用未更新软件，以及在不可信网络上处理高敏感事务。风险取决于设备、连接、网站和操作的组合，而不是“免费Wi-Fi必然危险”。
HTTPS改变了公共网络的风险结构
早期网页大量使用未加密HTTP，同一网络上的攻击者可能直接观察或篡改流量。现在HTTPS在设备和网站之间加密内容，并验证设备连接的域名证书。即使咖啡馆Wi-Fi本身没有加密，正确的HTTPS仍能保护网页正文、密码和表单在传输中不被普通旁观者直接读取。
美国FTC在更新后的消费者指南中指出，由于加密已经广泛使用，连接公共Wi-Fi通常是安全的；用户仍应确认地址栏中的HTTPS或锁形标志，并保持系统和浏览器更新。FTC：Are Public Wi-Fi Networks Safe?
这项变化意味着“任何公共Wi-Fi都能轻易偷走所有密码”的说法过度简化。但HTTPS保护的是设备到目标网站之间的通道，不证明目标网站诚实，也不阻止用户主动把密码交给假网站。风险从单纯窃听，更多转向身份欺骗、终端漏洞和错误决定。
假热点比开放热点更值得警惕
Wi-Fi名称不是唯一身份。攻击者可以创建“Airport_Free_WiFi”“Hotel Guest”或与咖啡馆官方网络只差一个字符的热点。设备连上后，攻击者可能展示伪造登录页，要求输入邮箱、社交账号、信用卡或所谓验证信息，也可能引导下载证书、配置文件或App。
澳洲网络安全中心建议从场所标识或工作人员处确认官方热点名称，关闭自动连接，使用后“忘记”网络；有疑问时改用可信家庭、办公室或移动网络。Cyber.gov.au：Connecting to public Wi-Fi and hotspots
真正需要关注的不是热点是否有一个公开张贴的密码。有密码的访客网络可能所有住客共享，假热点也可以模仿登录。密码能加密设备到接入点的一部分无线通信，却不证明运营者身份和后续互联网路径可信。
登录门户是容易混淆的环节
机场、酒店和咖啡馆常使用captive portal，在正式联网前显示条款或房号登录。设备为了打开门户，可能先发出未加密连接，浏览器再被重定向。合法门户本身不一定危险，但它让用户习惯“Wi-Fi会把我带到另一个页面”，给仿冒页面留下空间。
如果门户要求邮箱，先判断场所是否真的需要；如果要求主要邮箱密码、银行资料、安装根证书、下载不明配置或关闭安全功能，应停止。网络运营者通常没有理由知道你的邮箱密码。浏览器出现证书错误时，不要因为“只是酒店Wi-Fi”就继续绕过。
同一网络上的设备暴露
电脑可能把新网络误设为“私人”或“家庭”，从而开放文件共享、打印、设备发现或远程服务。在公共场所应选择“公共网络”配置，关闭不需要的共享和AirDrop接收，启用防火墙，并确保系统补丁及时安装。Cyber.gov.au也建议公共Wi-Fi上关闭文件共享。
风险不只来自网络流量。拥挤场所还有肩窥、设备被拿走、充电接口、遗留登录会话和屏幕通知。一个人在机场打开客户资料，即使HTTPS完美，也可能被旁边的人看到。网络安全不能替代物理与屏幕隐私。
VPN有用，但不是可信证明
VPN在设备和VPN服务器之间建立加密通道，可以减少本地热点和网络运营者看到的流量，并改变网站看到的出口IP。经常使用公共Wi-Fi、远程访问公司系统或面临特定网络监控时，它很有价值。
但VPN把一部分信任交给VPN提供商。服务商可能看到连接元数据，客户端本身需要更新，恶意或质量低劣的免费VPN可能收集数据。VPN也不会识别假银行网站、阻止用户在钓鱼页输入密码、修复感染恶意软件的设备，或使登录账户匿名。选择应基于运营主体、隐私政策、独立评价、更新记录和商业模式。
我的判断：公共Wi-Fi是“降低信任等级”，不是“完全禁止”
从系统角度看，网络只是交易链条的一层。安全连接还依赖正确域名、有效证书、更新设备、可信App、账户验证和用户行为。把公共Wi-Fi一律称为危险，容易产生两种误导：人们可能不必要地恐慌；也可能认为换成移动数据后，钓鱼网站和弱密码就不再危险。
更好的规则是降低信任等级。普通阅读、地图和低敏感查询，在更新设备和HTTPS下通常风险较低；银行转账、发送身份证件、修改主要邮箱安全设置、管理企业系统和处理客户机密，若可以等待，就改用移动热点或可信网络。风险越高，越不应依赖单一防护。
连接前、使用中和离开后的做法
连接前向工作人员确认网络名称，关闭自动加入，优先使用自己的移动数据或热点。使用中检查网址和证书警告，不安装陌生配置，不在异常门户输入主要账户密码；开启多因素验证，保持系统、浏览器和App更新。
离开后“忘记”该网络，防止设备未来在附近自动连接到同名热点。关闭不需要的VPN或共享设置前，确认没有文件传输。若曾在可疑门户输入密码，应通过可信网络立即更换该账户及所有复用密码，检查登录记录，并撤销陌生会话。
一分钟检查清单
还应把“网络名称正确”与“网络由谁运营”分开。酒店大堂里显示的名称可能与房卡相同，攻击者仍可建立同名热点；向工作人员核对名称只能降低误连概率，不能替代HTTPS、更新和账号保护。
- 热点名称是否从工作人员或正式标识确认？
- 设备是否关闭自动加入并设为公共网络？
- 浏览器是否显示正确域名和HTTPS，且没有证书警告？
- 门户是否要求不合理的密码、支付或安装操作？
- 文件共享、设备发现和开放接收是否已关闭？
- 当前任务是否足够敏感，值得改用移动热点？
- 系统、浏览器、App和VPN是否及时更新？
- 使用后是否“忘记”网络并检查异常登录？
结论
公共Wi-Fi的现代风险不应沿用十多年前“所有流量都是明文”的想象，也不能因为HTTPS普及就完全忽视。把它视为低信任网络：确认热点身份，依赖正确HTTPS而不是锁形图标的心理安慰，保护设备，避免高敏感操作，并在需要时使用移动网络或可信VPN。真正的安全来自多层判断，而不是一个网络名称。
相关内容
继续阅读本系列： 《数字生活的隐藏机制》全部文章
了解 Geoffrey Chen 的更多信息
订阅后即可通过电子邮件收到最新文章。