第 1 章：账号、设备和风险 — 先保护最重要的门¶

📋 本章概览¶

邮箱通常是密码重置入口，GitHub 可能存放代码，云盘可能存放证件和作业，AI 平台可能绑定费用。先保护“能打开其他门”的账号。

第一次练习：只做盘点，不改设置¶

打开一个空白笔记，写下你实际使用过的服务名称，例如“校园邮箱、教务系统、代码托管、网盘”。每个服务只记录下面五项：登录入口、用途、能否找回其他账号、是否开启第二因素、丢失后的影响。不要记录密码、验证码、恢复码或密钥。

如果你不知道“第二因素”在哪里看，就先只写“未确认”，不要因为找不到设置而点击陌生邮件里的链接。完成后挑影响最高的一项，从学校官网或服务商官网的首页重新进入；能找到官方帮助中心，就说明盘点任务已经有了可验证结果。

先画出你的数字钥匙串¶

很多人只在“密码忘了”时想到账号安全，但账号真正的价值还包括里面保存的资料、能够恢复哪些其他账号、是否绑定支付方式，以及当前设备是否仍然保持登录。把这些关系画出来，你会发现最应该优先保护的通常不是刚注册的普通网站，而是主邮箱、校园身份和代码托管账号。

画图时不需要写任何秘密。只记录服务名称、用途、恢复入口、是否开启第二因素和丢失后的影响等级。这个动作的目的，是把“我应该注意安全”变成一个可以逐项检查的清单。

1.1 账号里有哪些东西¶

用户名告诉服务“你是谁”；密码证明“你知道秘密”；验证码或设备确认增加第二道验证；恢复邮箱和恢复码帮助你在设备丢失时重新进入。API Key 则是程序代表你调用服务的凭证，不应当当作普通密码到处粘贴。

1.2 设备也需要保护¶

电脑、手机、浏览器和云盘都可能保存登录状态。公共电脑上不要勾选“记住我”，离开前退出账号并关闭窗口；自己的电脑也要设置锁屏密码，不要把设备交给陌生人解锁操作。

1.3 第一次注册或登录时¶

1. 从学校、软件官网或书签进入，不从陌生消息的链接进入。
2. 看完整域名和 HTTPS，不只看页面 Logo。
3. 输入邮箱前确认页面用途和隐私说明。
4. 创建唯一密码，不要复用社交账号密码。
5. 保存官方提供的恢复方式，确认自己知道去哪里找。

✅ 验证步骤¶

列出邮箱、代码托管、支付、云盘、校园系统和 AI 平台，标记是否有 2FA、恢复邮箱和登录提醒。不要把密码或真实密钥写进表格。

❌ 常见情况¶

📝 本章总结¶

• 先保护主邮箱和能恢复其他账号的入口。
• 账号、设备和登录会话都属于需要保护的资产。
• 能恢复账号和能证明账号属于你同样重要。

✏️ 课后练习¶

给账号按“丢失后影响”分成高、中、低三档，为最高档账号写出官方登录入口和恢复路径。

🔮 下一章预告¶

下一章创建唯一且可恢复的密码体系。