先确认：这封邮件是否由你的动作触发
最强的可信信号不是 logo，也不是语气，而是时间上的因果关系。你刚刚在某个明确服务点击“发送验证码”，随后几十秒内收到对应邮件，这条链才成立。如果你没有进行任何操作，邮件即使来自熟悉品牌，也应先按异常事件处理。
不要急着复制数字，更不要点击邮件里的“取消”或“这不是我”链接。先打开该服务的官方 App，或手动输入自己保存的官网地址，检查登录活动和安全通知。意外验证码可能意味着别人输错邮箱，也可能是撞库者已经通过第一层密码。
- 请求发生在两分钟内，而且由你本人发起。
- 邮件提到的服务、动作与当前页面一致。
- 验证码只准备填回原页面，不转发给任何人。
信号一：请求时间与验证码有效期一致
正规验证码通常短时有效，并对应一次具体会话。邮件晚到十几分钟、反复到达或在你关闭页面后仍持续出现，都应降低信任。攻击者可能连续请求验证码制造“提示疲劳”，然后冒充客服索要最新数字。
遇到延迟时，最好回到原页面重新请求一次，只使用最后一封，并确认页面提示的尾号或目标邮箱一致。旧验证码应视为失效信息，而不是逐个试过去。
信号二：验证真实发件域，而不是显示名称
“账户安全中心”只是可自由填写的显示名称。展开邮件详情，检查完整 From 地址、Reply-To 是否异常，以及认证结果是否显示 SPF、DKIM 或 DMARC 通过。认证通过不等于业务一定可信，但域名拼写错误、免费邮箱发件或 Reply-To 跳到陌生域，应直接停止操作。
| 观察项 | 相对正常 | 需要警惕 |
|---|---|---|
| 显示名 | 与服务名称一致 | 制造“紧急客服”身份 |
| 完整域名 | 服务公开使用的通知域 | 多字母、漏字母、奇怪子域 |
| 回复地址 | 不要求回复验证码 | 个人邮箱或即时通信账号 |
信号三：邮件描述的动作和目标服务一致
注册验证码、登录验证码、改密验证码不是同一种授权。你在注册新账户，却收到“重置现有密码”的验证码，应立即停下。邮件应明确说明动作，但不会要求把验证码发送给客服、卖家、招聘人员或“验证机器人”。
临时注册可以使用在线一次性邮箱隔离营销追踪；但只要账户需要找回、付款或长期持有，就应改用可控制的转发别名，避免临时地址到期后失去恢复通道。
信号四：不通过邮件链接回到登录页
验证码邮件里可能包含便捷按钮，但安全路径是回到你刚才打开的页面填写验证码。若页面已关闭，重新从书签、官方 App 或手动输入的网址进入。把鼠标悬停在链接上只能发现明显问题，不能证明最终重定向安全。
二维码也属于链接。不要用另一台设备扫描陌生二维码来“完成验证”，它可能把当前登录会话授权给攻击者。密码管理器拒绝自动填充，也常常是域名不匹配的实用提醒。
信号五：设备、位置与会话细节能对上
高质量安全通知会附带设备类型、浏览器、近似地区或请求时间。地理位置可能因移动网络或 VPN 有偏差，不能单独定罪；但陌生设备、完全不同国家和非本人时间同时出现时，风险就很高。
把多个弱信号组合判断：一个城市偏差可以解释，陌生系统加异常时间再加未发起请求，则应立即修改密码、撤销会话并检查多因素认证。
收到陌生验证码后的处置顺序
- 不回复、不点击邮件链接、不把数字提供给任何人。
- 从官方入口查看最近登录与当前会话，撤销陌生设备。
- 修改该服务的独立密码；若密码曾复用，同步处理其他账户。
- 启用验证器或安全密钥，保存离线恢复码。
- 若该地址已开始持续接收攻击邮件，使用暴露面评估器判断是否需要迁移或更换别名。
验证码是一次性秘密，不是身份说明。只要把“谁发起、要授权什么、填回哪里”三件事核对清楚，大多数诱导都会在输入数字前暴露。