“连一下咖啡馆 WiFi 回个邮件”，这个动作的风险，可能比你想象的大。下面不用吓人的故事，只用对比讲清楚：公共 WiFi 的风险在哪，VPN 能防什么、不能防什么。
表一：公共 WiFi 的四种风险，等级对比#
| 风险类型 | 原理（一句话） | 危险等级 | 常见场景 |
|---|---|---|---|
| 钓鱼 WiFi（同名热点） | 黑客架设和商家同名的热点，你连上后流量全经他手 | ★★★★★ | 商场、机场、酒店大堂 |
| 中间人窃听 | 同一 WiFi 下嗅探未加密的流量 | ★★★★ | 任何开放、无密码的热点 |
| DNS 劫持 | 篡改解析结果，把你带到假网站 | ★★★ | 需要网页认证的热点 |
| 会话劫持 | 盗取登录后的 Cookie 冒充你 | ★★★ | 老旧网站、未开 HTTPS 的页面 |
表二：开 VPN vs 不开 VPN，防护能力对比#
| 防护项 | 不开 VPN | 开 VPN 后 |
|---|---|---|
| 流量被旁人嗅探 | 可能被看到明文内容 | 全部加密，看到也看不懂 |
| 钓鱼 WiFi 窃取密码 | 高危 | 账号密码依然加密传输，风险大降 |
| DNS 被劫持带到假站 | 可能中招 | VPN 的 DNS 通道不受本地劫持影响 |
| hotspot 服务商记录行为 | 会被记录 | 服务商只能看到你在连 VPN |
| 设备本身有病毒木马 | 防不住 | 一样防不住 |
结论很直白：VPN 是公共 WiFi 下性价比最高的安全措施，但它防的是"路上"的问题，防不住"两头"的问题——你设备中毒了、你主动输密码给钓鱼网站，VPN 也救不了。
表三：公共 WiFi 下的操作红黑榜#
| 操作 | 评级 | 说明 |
|---|---|---|
| 刷资讯、看视频 | 🟢 可做 | 即使被嗅探也没啥损失 |
| 回工作邮件（开了 VPN） | 🟢 可做 | 加密通道 + 企业邮箱本身有 TLS |
| 网银转账、证券交易 | 🔴 别做 | 能等就等，手机流量更稳妥 |
| 输入各类账号密码 | 🟡 谨慎 | 开 VPN + 确认是官网域名再输 |
| 下载安装软件 | 🔴 别做 | 公共网络下中间人替换安装包是经典攻击 |
| 关掉 VPN"裸奔"图快 | 🔴 别做 | 快的那几秒，代价可能是账号 |
表四：不同场所的公共 WiFi，风险对比#
| 场所 | 加密情况 | 钓鱼热点概率 | 综合建议 |
|---|---|---|---|
| 咖啡馆/餐厅 | 多数有密码，但密码公开 | 中 | 开 VPN 可用，问清准确名称 |
| 机场/高铁站 | 开放式居多，人流量大 | 高 | 必须开 VPN，敏感操作延后 |
| 酒店 | 房间独立密码相对好，大堂开放 | 中高 | 房间 WiFi 可用，大堂按开放式处理 |
| 商场 | 开放式 + 需网页认证 | 高 | 认证页别输真实信息，能不用就不用 |
四个习惯，比技术更重要#
- 连之前先问店员：“你们 WiFi 叫什么、全名拼写是什么？“多问一句，避开九成钓鱼热点。钓鱼手法的完整套路见防钓鱼指南。
- 关闭自动连接：手机设置里关掉"自动加入开放网络”，不然你路过一家店，它就悄悄连上了。
- 用完就"忘记网络”：连过的公共热点，用完在设置里点"忘记"，避免下次自动连上同名钓鱼热点。
- 敏感操作走手机流量：网银、支付、大额转账，公共 WiFi 再快也别用，流量才是最安全的通道。
和账号安全的联动#
公共 WiFi 最大的后续伤害不是"当时被看"，而是"账号被盗"。建议配合做好：密码管理器（参考 Bitwarden 指南）、重要账号开 2FA（换手机时看验证器迁移指南别把自己锁死）、定期检查登录设备。万一怀疑在公共网络下泄露了密码，第一时间改密码 + 踢掉其他登录设备，别抱侥幸心理。
出差党的特别提醒#
经常出差的人，公共 WiFi 是绕不开的：酒店、机场、高铁站，走到哪连到哪。给出差党三条专属建议：第一，手机开"VPN 常开 + 断开自动重连"，让加密成为默认状态，而不是每次手动想起来；第二，准备一张流量卡做"安全通道"，敏感操作一律切流量，不纠结；第三，回公司/回家后检查一遍账号登录记录，出差期间连过的公共网络越多，事后检查越不能省。安全这件事，拼的不是技术，是谁更细心、谁更不嫌麻烦。
一句话：公共 WiFi 不是不能用，是要"带着 VPN 用、挑着事情做"。安全习惯到位，咖啡馆码字一样安心。把这篇的四个习惯变成肌肉记忆，你在任何公共网络下都是最不好下手的那一个，而黑客永远挑最好下手的。