本文为复合情境，不对应现实站点、应用、账号、人物或事件。实验不输入真实数据，也不安装未知程序。
阶段A / 只观察，不交互
“免费吃瓜”卡跳到陌生域名并显示登录框。学员从地址栏记录域名、证书与跳转链，不点击第三方登录。
阶段B / 对齐两个入口
“吃瓜大赛最新观看”卡最终落到同一页面，只换封面颜色。课堂登记两个入口、一个落点，不重复测试账号。
阶段C / 用决策树止损
- 未输入：关闭页面并清理站点权限；
- 已输入：从可信设备改密并退出其他会话；
- 已下载：不运行，移除文件并检查扩展；
- 已运行：断网并使用系统安全工具扫描。
实验结论只描述登录诱导风险，不认证卡片内容。课堂还检查恢复邮箱、绑定设备、浏览器扩展与站点通知权限，确保撤销路径完整。截图去除号码、头像和位置，新页面按日期另开记录，不让同学用真实账号复现实验。
更新时间：2026-11-05 · 复合权限实验