先记一句口诀：地址栏先看锁，再看域名拼写，最后才看下载按钮——顺序反了，后面全白搭。
先答最耽误事的：那个小锁到底该看什么
多数人卡在这一步，以为地址栏有个锁形图标就万事大吉。不对。锁只说明“你和这个服务器之间是加密传输”，它不负责证明这个网站就是正牌官网。换句话说，骗子也能给自己的站配上证书，锁照样亮。所以看锁的正确姿势是点开它，不是扫一眼。
点开锁之后，先确认连接是加密状态，没有“不安全”“证书无效”“连接不是私密连接”这类警告。浏览器如果直接拦截、弹红色页面，别点“继续访问”，直接关掉重来。这一步的判断标准很硬：有警告就是有问题，没有“大概没事”这一说。
再往下看证书是颁给谁的。证书详情里有个“颁发给”或“使用者”字段，那里写的域名，应该和你地址栏里正在访问的域名对得上。对不上，比如你输的是 A 域名，证书却发给了一个不相干的 B 域名，这就属于典型的挂靠或跳转风险，停手。
域名本身的拼写也别放过。香港宝典这类名字容易被做近似域名，多个字母、少个字母、换个后缀、加个“-”，肉眼一晃就过去了。核对时把域名逐字符念一遍，比整体扫一眼靠谱。港澳宝典相关的搜索里也常见这种仿冒链接混进来，来源不明的一律先当可疑处理。
剩下几件顺手要核的
下载按钮的位置能说明点问题。正牌官网的下载入口通常在页面结构里位置固定、说明清楚，点了之后是正常的文件下载或应用商店跳转。如果按钮点下去先弹一串广告、先让你注册、先跳到一个完全不同的域名再给安装包，这个链路就不干净。遇到跳转，看清跳转后的域名再决定，别一路点“下一步”。
账号这块，原则很简单：下载环节不需要你交密码。本页侧重阅读路径和注意事项，具体能力以屏幕上可见内容为准。真需要账号的操作，也应该发生在你主动确认过的正牌入口里，不是从一个下载弹窗里被牵着走。
还有一类容易忽略：页面里嵌的第三方下载站链接。看着像官网风格，实际文件托管在别处。这种情况至少确认两件事——文件来源域名是否可解释，以及页面有没有把这个来源写明白。写不明白的，宁可不下。香港电子竞技相关内容如果出现在页面里，也只当内容看，别因为它出现就默认整个站可信。
核对完发现不对怎么办？最省事的做法是关掉当前页面，重新从你确认过的入口进，不要在原页面里“再试一次”或点它推荐的备用链接。备用链接往往就是风险来源。
这套流程适合什么情况用：你今天打算下载、但入口是从搜索、聊天转发或页面广告里点进来的，拿不准来源，就按上面的顺序走一遍。如果你本来就在自己长期使用、确认过的入口里操作，锁和域名的核对仍然值得做，但不用每次都把整条链路重新怀疑一遍。
