你有没有遇到过这种情况：朋友发来一个链接，点开却发现是乱码、广告，甚至是诈骗页面？明明对方说分享的是旅游攻略，结果你看到的却是赌博网站。这很可能就是链接内容在传输过程中被篡改了。
为什么链接会被篡改？
公共Wi-Fi是最常见的“重灾区”。比如你在咖啡馆连上免费网络，准备看看同事分享的产品文档链接，但中间有人利用网络劫持技术，把原始链接悄悄替换成钓鱼页面。你输入的账号密码，可能直接进了别人的服务器。
另外，一些劣质路由器或代理工具也会植入广告脚本，自动在你访问的网页中插入弹窗或跳转代码。你以为是原内容，其实早就“变味”了。
用HTTPS确保传输安全
现在大多数正规网站都支持HTTPS，地址栏会显示一个小锁图标。这个“S”代表Secure（安全），意味着数据在传输过程中是加密的。即使被人截获，也很难解密篡改。
如果你自己建站或维护页面，务必配置SSL证书。Nginx配置示例：
server {
listen 443 ssl;
server_name example.com;
ssl_certificate /etc/ssl/certs/example.crt;
ssl_certificate_key /etc/ssl/private/example.key;
root /var/www/html;
}短链接有风险，转发时要留心
很多人喜欢用短链接方便传播，但这也给了攻击者可乘之机。你看到的是 bit.ly/xxxx，实际指向哪里根本看不出来。建议使用带预览功能的服务，比如新浪短链点击前能显示目标网址。
更稳妥的方式是自己搭建短链系统，掌控跳转逻辑，避免第三方注入恶意参数。
启用内容安全策略（CSP）
如果你负责网站开发，可以设置HTTP头中的Content-Security-Policy，限制页面只能加载指定域名的脚本资源。这样即使攻击者注入了外部js，浏览器也不会执行。
Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted.cdn.com;这样一来，就算有人试图通过中间代理插入广告脚本，浏览器也会直接拦截。
普通用户怎么自我保护？
最简单的办法是尽量不用公共Wi-Fi处理敏感操作。非要连的话，打开手机热点更安全。安装浏览器扩展如 HTTPS Everywhere，强制优先使用加密连接。
收到链接先别急着点，把鼠标悬停在上面，看看底部状态栏显示的真实地址。发现可疑域名立刻关闭。
家人群里转发的“健康秘方”链接，点开却是充值页面——这种情况越来越多。提醒长辈们不要随意点击陌生来源的链接，尤其是带奇怪参数的。
文件分享也能被劫持
不只是网页链接，网盘分享的文档、图片也可能出问题。某些运营商会在你下载PDF时插入广告页，导致内容错乱。解决办法是压缩文件后加密码再分享，相当于给包裹贴了封条。
比如用ZIP打包文件，设个简单密码告诉对方，既能防篡改，又能防止被自动扫描抓取。