公共 Wi-Fi 并不必然危险，但你无法像信任家中路由器那样确认它由谁维护、是否正确隔离用户，以及登录页有没有被替换。真正有效的做法不是“连上 VPN 就万事大吉”，而是把网络、浏览器、账号和设备保护组合起来。
先理解公共 Wi-Fi 的四类真实风险
风险通常来自仿冒热点、未加密或配置错误的局域网、诱导输入账号的钓鱼门户，以及旁观者对流量元数据的收集。HTTPS 已保护大多数网页正文，但热点运营方仍可能看到连接时间、数据量和访问的域名线索。
- 同名或近似名称的“恶意双胞胎”热点
- 要求重新输入邮箱或社交账号的伪登录页
- 开放局域网中的设备发现、共享文件与旧协议暴露
- 自动重连到曾经保存过的开放网络
连接前：用一分钟排除最危险的情况
向场所工作人员核对准确的网络名称；关闭文件共享、AirDrop/附近共享的公开接收；不要安装热点页面要求的证书、描述文件或未知应用。若页面要求银行、邮箱或企业密码，先断开网络并改用移动数据。
连接后：VPN 应该在敏感操作之前开启
先完成必要的门户认证，再立即连接可信 VPN，并确认客户端显示已连接。VPN 会加密设备到 VPN 节点之间的传输，降低同一热点内被旁观或篡改的风险；但它不能识别所有钓鱼网站，也不能替你判断下载文件是否安全。
- 优先启用自动连接或不安全 Wi-Fi 提醒
- 确认浏览器地址栏域名正确并保持 HTTPS
- 支付、网银和管理后台优先使用自己的移动网络
- 使用完毕后忘记该网络，避免日后自动连接
如果 VPN 连接失败，先不要关闭所有保护
酒店门户常在认证前阻止 VPN。可以暂时打开登录页完成认证，再连接 VPN；若仍失败，切换协议、节点或移动网络。不要为了“能上网”而安装来源不明的根证书，也不要忽略系统关于证书或域名不匹配的警告。
VPN 之外还需要两层防线
多因素验证能降低密码泄露后的账号接管风险；系统更新、屏幕锁和密码管理器则保护设备本身。公共网络安全是分层防御：任何单一工具都不应被当作匿名或绝对安全的保证。
- 为邮箱、云盘和支付账号开启多因素验证
- 及时更新系统与浏览器
- 不同网站使用不同的高强度密码
- 发现异常登录后立即撤销会话并修改密码
把公共网络当作不可信网络
最稳妥的顺序是：核对热点名称 → 完成最少必要认证 → 开启 VPN → 检查 HTTPS → 再进行普通浏览。敏感交易仍应优先使用可信网络。
参考视频
本文参考 YouTube 上关于公共 Wi-Fi 威胁与 VPN 作用边界的公开视频，并结合通用安全实践重新整理： Is Public Wi-Fi Safe With a VPN?.