账号安全与隐私：保护邮箱、代码和 API Key¶

账号是大学学习和数字生活的总钥匙。本教程从第一次独立管理校园邮箱、教务系统、代码托管和云盘开始，带你辨认官方登录入口、设置密码、配置双因素认证、检查第三方授权、保护 API Key，并在泄露后知道先做什么。

进入大学后，你会同时拥有校园邮箱、教务系统、代码托管、云盘、支付平台和各种课程工具。真正困难的不是记住某一个复杂规则，而是看清这些账号之间的关系：邮箱常常可以重置其他账号，浏览器会保存会话，API Key 则可能让程序直接产生费用。保护账号，本质上是在保护一组互相连接的入口，而不是只给某个登录框加一道密码。

本教程不要求你成为安全专家，也不会用“永远不要犯错”作为标准。我们更关注一套出错后仍然能工作的习惯：从官方入口登录，给重要账号使用唯一凭据，准备可用的恢复方式，授权前看清权限，发现密钥泄露时先撤销再调查。你将通过一张账号地图和几次低风险检查，把这些习惯落到自己的设备上。

📖 关于本教程¶

🎯 学习目标¶

• 能区分用户名、密码、验证码、恢复码、会话和 API Key。
• 能为重要账号设置唯一密码、登录提醒和第二验证因素。
• 能从官方入口检查登录页面、钓鱼链接和第三方授权。
• 能安全保存、撤销和轮换 API Key，不把密钥提交到仓库。
• 能在账号或密钥疑似泄露时按顺序止损、检查和求助。

📋 前置要求¶

• 完成互联网与浏览器第 1–2 章，或已经会打开网页和查看地址栏。
• 有一个可以接收恢复信息的邮箱或设备。
• 不需要学习密码学，但需要认真保管恢复信息。

🧭 先学什么，暂时不用学什么¶

第一次接触账号安全时，只需要先掌握“从哪里登录、怎样恢复、谁能访问、出事先停什么”四件事。OAuth、会话、API Key 等词会在后面解释，但不要求你在第一次登录前把它们全部学会。

练习规则¶

先用低风险账号或只读设置页练习，不要把真实密码、短信验证码、恢复码、身份证件或 API Key 粘贴到教程、截图和聊天窗口中。教程要求你“登录”时，实际操作应以官方页面显示的字段和安全提示为准；如果页面要求支付、导出恢复码、删除设备或授予陌生应用权限，先停下来确认。

🗺️ 学习路线¶

🚀 开始前准备¶

第一次练习不要拿最重要的主邮箱做实验。先阅读现有设置，准备纸笔记录恢复路径；任何密码、验证码、恢复码和 API Key 都不要发给教程作者、同学或聊天机器人。

📚 延伸阅读与资源¶

先完成一个账号的安全检查，再阅读密钥与组织安全资料：

• CISA：Secure Our World —— 用密码管理器、多因素认证和识别钓鱼等日常动作建立安全习惯。
• Google：让账号更安全 —— 查看恢复方式、2 步验证、第三方授权和密码安全检查。
• GitHub Docs：Secret scanning —— 理解 API Key 提交到仓库后如何被发现，以及为什么应立即撤销和轮换。
• OWASP：Secrets Management Cheat Sheet —— 从存储、访问、审计和轮换角度理解密钥生命周期。

安全资源只用于建立防护习惯，不要拿真实密码、恢复码或 API Key 做练习。演练时使用测试账号和无权限的示例密钥。

✅ 完成标准¶

至少完成一个重要账号的 2FA 配置，并能在不打开聊天记录的情况下说明：账号入口在哪里、恢复方式是什么、密钥泄露后第一步做什么。