我以为自己很谨慎：越是标榜“免费”的这种“免费资源合集”，越可能用“安全检测”吓你授权
很多人（包括我自己）在网上找免费模板、字体、插件、素材包时都会提高警惕。可奇怪的是，越是那些大张旗鼓地标榜“免费资源合集”的页面，往往越喜欢弹出所谓“安全检测”“授权验证”的窗口，逼你用 Google 帐号或安装扩展来“通过检测”才能下载。那一刻，哪怕你心里有数，也难免手一抖点了允许——后果有时并不只是被广告轰炸那么简单。
下面把这类套路拆开讲清楚，告诉你如何识别、如何防护以及出现问题后怎么收拾残局。语言尽量实用，操作步骤可直接照做。
一、常见套路：为什么会弹“安全检测”？
- 伪装成必要步骤：页面写着“为了您的账户安全，我们需要进行安全检测”，然后跳出 OAuth 登录或要求安装浏览器扩展。语言越官方越让人信任。
- 要求广泛权限：让你授权查看/管理 Google Drive、发送邮件、管理联系人、读取浏览器所有网站数据等。很多权限对普通下载并非必要。
- 用“未验证”或模糊开发者信息做掩饰：开发者名字、网站、支持邮箱模糊或不存在，或者显示“此应用未经过 Google 验证”，但页面却催你立即通过。
- 绑定广告/订阅/数据采集：获取权限后，可能会在你名下上传共享文件、发送垃圾邮件、建立邮件代理或把文件设为公开以散布恶意链接。
二、权限能做什么？别小看那些字眼
- “查看和管理您在 Google Drive 中存储的所有文件”：等于给了读写、删除、分享文件的能力，能上传带木马的脚本、修改或删除文件，甚至把文件变成公开链接。
- “以您名义发送电子邮件”：用你的账号发垃圾邮件、钓鱼邮件或欺诈信件。
- “查看您的联系人/创建联系人”：把联系人变成营销名单或投递诈骗。
- 浏览器扩展权限如“读取您在所有网站上的数据”：能窃取网页上的登录凭证、抓取表单数据，或注入页面脚本做钓鱼。 这些能力一旦被滥用，恢复起来比想象中麻烦得多。
三、识别红旗（点到即止）
- 要求的权限明显超过下载所需范围，例如下载一个图片包却要“发送邮件”或“管理 Drive”。
- OAuth 页面显示“此应用未经过验证”，或开发者信息不可查。
- 要求安装非官方扩展或可执行文件（exe、pkg），而没有提供开源代码或明确来源。
- 页面用急迫话术催促“限时免费下载”“必须先授权”“否则无法下载”。
- 下载按钮被设计成“授权”按钮，真正的下载链接隐藏或不存在。
- 网站域名看上去像正版但有微小拼写错误，或TLS证书信息与页面内容不符。
四、授权前的快速检查清单（操作性强）
- 看权限说明：在 OAuth 授权页面点“查看权限详情”，问自己这些权限对下载是否必要。
- 检查开发者信息：授权页面或网站有没有明确的开发者邮箱、公司名、隐私政策和可核实的域名。
- 搜索评价和投诉：把网站域名或产品名在搜索引擎、Reddit、微博、知乎搜一搜，看看有没有负面反馈。
- 用一次性/备用账号测试：不想用主账号，创建一个限制权限的备用 Google 帐户做试验。
- 下载来源优先官方/开源：若资源有 GitHub release、Figma Community、官方站点等优先从那里获取。
- 若必须通过第三方授权，尽量只给最低权限（只读、只查看），不要给“管理”“发送”“删除”等高风险权限。
- 在沙箱或虚拟机里打开不确定的压缩包或可执行文件，并且先用杀软扫描。
五、如果已经授权了，如何快速收拾残局 1) 先撤销权限（最关键）
- Google：登录 Google 帐号 -> 安全 -> 第三方应用访问权限（或“已连接的应用和网站”）-> 找到可疑应用并移除访问权限。
- 对于浏览器扩展，在扩展管理页（chrome://extensions）卸载可疑扩展并清除其数据。 2) 检查 Drive 和邮箱
- Drive：查看最近活动、检查是否有被上传或共享的文件，删除不明文件并取消公开分享权限。
- Gmail：检查“已授权的邮箱转发”“已创建的自动过滤器”“委托访问”是否被更改，撤销不明设置。 3) 改密与多因素
- 修改账号密码并开启两步验证（2FA）。 4) 扫描设备
- 用可信杀毒/反恶意软件全盘扫描，尤其是下载或运行过的文件。 5) 检查可疑发送/登录记录
- Google 帐号安全里可查看“设备活动与安全事件”，发现异常登录及时登出并更改密码。 6) 如有被用来发送垃圾邮件，通知联系人并告知可能的情况，防止进一步被利用。 7) 必要时联系支持
- 向 Google 报告滥用应用或请求进一步协助，若损失较大考虑报警或求助相关平台。
六、更稳妥的替代方式
- 优先选择官方渠道或知名开源平台（GitHub Releases、npm、Figma Community、Unsplash、官方插件市场等）。
- 若资源是免费合集但来源不明，尝试只下载单个资源并在本地离线检查再使用。
- 使用密码管理器与专用浏览器配置：给重要账号专设浏览器/配置文件，避免在同一环境授权不可信应用。
- 对浏览器扩展，优先看源码或在 Web Store 查看开发者历史与评分，安装后立即查看权限并定期清理不常用扩展。
七、最后一句话（也算行动箴言） “免费”并不等于“无代价”。当某个“免费资源合集”要求你交出访问权限时，把它当做一道一道必须过的安全门：不合逻辑就不通过；看不清就不点；必要时先撤回再查询。
