一个让人安心的小图标，回答的问题可能比我们想象的小得多。
一家店可以装着牢固的门锁，却依然卖着令人失望的商品。网上也是如此。HTTPS 保护的是你与某个网站之间的连接，并不替经营者的人品打包票。与其搜集“网页看起来很专业”之类的模糊印象，不如学会认清网址中的几个关键部分。
路途安全，不等于目的地值得托付。
HTTPS 实际承诺了什么
在通过浏览器证书检查的正常 HTTPS 连接中，加密能帮助防止网络路径上的其他人读取或篡改传输内容。证书还把这个连接与正在访问的主机名关联起来。尤其在输入个人信息时，这是一层重要的保护。
但不诚实的网站经营者也可以为自己的域名取得有效证书。无论浏览器显示小锁还是其他连接状态图标，都不能证明退货政策、商品质量，或证书验证范围之外的公司身份。一个看起来很真的标志，证据分量更轻：它只是网页内容的一部分。
先找出真正的主机名
常见的网址包含 https 这样的协议方案、主机名，有时还有端口，随后是路径、查询参数和片段。当你想知道将要去哪里时，首先要把主机名找出来。网址其他位置的文字可能对网站有意义，却不一定标识你本来想访问的服务器。
比较 https://example.com/account 和 https://example.com.example.org/account。后者的主机名是 example.com.example.org；其中的 example.com 已经变成 example.org 下面的一组标签。不能因为整行文字中出现熟悉的名字，就认为目的地正确。本文只使用保留的示例域名，实验没有打开其中任何一个。
相同的文字，可以扮演不同角色
在 https://example.com@example.org/account 中，@ 前面的文字属于用户信息，主机名却是 example.org。在 https://example.org/example.com 中，熟悉的名字只是路径的一部分。查询参数里甚至可以放进另一个完整网址，而不改变当前主机。这些只是阅读练习，不是建议你点开的链接。
实际网址还可能包含国际化域名、跳转、短链接，以及由多个部分组成的公共后缀。“取最后两段”并不是通用的域名判断规则。碰到难懂的地址，不必在催促中把它解出来。从已保存的书签或官方应用进入，往往是更稳妥的起点。
解析器能拆开地址，不能判断人
我们在离线状态下解析了八个网址字符串。演示规则刻意设得很窄：只接受 HTTPS、主机名恰好为 example.com、不含用户信息，以及默认端口或 443 端口。只有两个字符串符合。主机名中的大写字母和明确写出的 443 不影响结果；HTTP 和 8443 端口则不符合规则。
其余六个字符串并不是经过测量的“危险网站样本”，只是没有通过这条示例规则。十九项断言检查了主机名、判断结果、通过数量及两个格式错误案例。实验没有测试网页、证书、DNS 返回值或跳转。Python 文档也明确提醒：解析网址并不等于对它进行全面验证。
给自己留一条别的入口
消息催你修复付款、确认包裹或解锁账户时，先把“请求”与“链接”分开。用平时就在使用的应用或书签打开服务，看看账户里是否也有同样的问题。需要联系支持时，独立查找联系方式，而不是直接采用那条令人紧张的消息提供的号码。
面对不熟悉的商家，要调查商家本身，也要核对网址。查看退货条款、可信的外部信息，以及付款方式是否提供适当保障。浏览器出现连接警告时，应当停下来，而不是因为网页声称“这是正常的”就绕过警告。
按实际发生的事处理
打开网页，与输入密码、下载软件或授权付款，是不同的情况。关闭可疑网页，不再继续操作。如果已经输入密码，从独立确认的入口进入服务后修改密码，并检查账户登录会话。其他账户若复用了同一密码，也要修改；条件允许时，启用更强的登录保护。
如果涉及款项或付款资料，应尽快通过核实过的联系方式联系支付机构。说明发生了什么，不要寄希望于那个网站替你撤销操作。学习读网址，不是为了怀疑每一个链接，而是为了发现：眼前的证据，是否足以支持对方要求你做的事。