我以为99tk只是随便看看，结果差点授权了敏感权限：验证码永远别外发
上周无聊点击了一个叫“99tk”的小程序，页面做得还挺像正规服务，登录按钮一按就跳出一个授权窗口：允许读取短信、管理电话、访问通讯录……我当时想着“可能只是为了方便导入联系人”，差点就点了同意。幸好最后一刻停下来再看了一遍权限说明，才意识到问题有多大——别人一旦拿到这些权限，你的验证码、联系人信息甚至通话记录都可能被滥用。
那天的惊险让我把这些经验写下来，想提醒大家：验证码绝对不能外发，授权前多问几个“为什么”。
为什么别随便授权敏感权限
- 短信权限：攻击者能读取你的验证码、银行短信，绕过很多基于短信的验证。
- 通讯录/通话记录：可用于社工攻击，冒充熟人诈骗概率大幅上升。
- 存储/相机/麦克风：窃取隐私照片、录音或植入恶意文件。
- 设备管理/账户访问：最危险，可能更改锁屏、重置密码或永久拿走账号控制权。
常见诈骗手法，别掉进这些坑
- OAuth 欺骗：伪造的第三方授权页面看起来像 Google/Apple 的登录界面，实为窃取权限。
- 假应用／山寨页面：界面精致但开发者未知或评论异常。
- 社工索要验证码：骗子假装客服/朋友，让你把验证码发给他们，说“帮你操作一下”。
- SIM 换卡（SIM swap）：通过运营商社工得到号码控制，之后短信就全部被截取。
如果已经差点授权或不慎外发验证码，先做这些
- 立即更改相关账号密码，尽量使用复杂、唯一的密码。
- 撤销第三方应用权限：以 Google 为例，进入“我的账号/安全/第三方应用访问”，撤销可疑授权；其他服务也有类似入口。
- 注销所有已登录设备：各大服务都支持“退出所有会话”或“查看已登录设备并移除”。
- 联系银行与运营商：告知可能的风险，必要时冻结账户或要求运营商设置额外验证以避免 SIM 换卡。
- 启用更安全的二步验证方式：优先使用认证器 App（Google Authenticator、Authy、Microsoft Authenticator）或安全密钥（FIDO2），避免长期依赖短信验证码。
- 检查手机权限：Android 在设置→应用→权限里逐个查看并收回不合理权限；iPhone 在设置→隐私里管理权限。
- 监控异常活动：关注银行账单、邮箱转发规则、社交账号私信和好友收到的异常消息。
授权前快速检查清单（实用）
- 看清域名/开发者：是不是官方域名或知名开发者？
- 权限是否过度：一个天气应用要读短信、通话记录合理吗？
- 是否能拒绝部分权限：很多应用在被限制某些权限后仍能工作。
- 评论与评分：除了高评分，还看负面评论里有没有“偷短信”“自动发消息”等关键词。
- 使用权衡：能否用网页版或官方 App 替代第三方小程序/插件？
一句可以用的回复模版（当有人让你转发验证码时） “验证码是我账号的唯一凭证，不能转发。需要的话请你自己操作或提供官方渠道让我确认。”
结语 那次差点误点授权的经历提醒我，越是看起来便捷的“授权一步到位”，越值得多看几眼。验证码不是普通信息，它是通往你数字身份的钥匙。碰到要求发验证码或授予短信、账户管理等敏感权限时，先停一停，查一查，必要时拒绝——这样才能把自己的账号和隐私守住。
