# 你的浏览器正在泄露数据 PhishClean 来阻止它。 > 你的浏览器正在泄露数据。PhishClean 检测钓鱼页面、密钥泄露、令牌窃取和 HTTPS 降级 - 全部在你的设备本地完成。我们绝不会看到你浏览的内容。 Canonical: https://www.phishclean.com/zh Last updated: 2026-11-05 每天有 34 亿封钓鱼邮件被发出 - FBI 实时捕获钓鱼页面、泄露的密钥和被盗的凭据 - 100% 在你的设备上完成。 [安装到 Chrome](https://chromewebstore.google.com/detail/phishclean/kloceclooedmphmnnpgoekolaggejgca) [安装到 Firefox](https://addons.mozilla.org/en-US/firefox/addon/phishclean/) [安装到 Edge](https://microsoftedge.microsoft.com/addons/detail/phishclean/jeilenifcaoenlglebpmmphbfmbfkgbj) 已上线 Chrome、Firefox 和 Edge 7 天免费试用，无需信用卡 [Chapters and transcript](https://www.phishclean.com/video/phishclean-in-40-seconds) 免费安全工具 立即试用 - 无需安装、无需注册、100% 私密 - [钓鱼链接检测器](https://www.phishclean.com/zh/check-link): 粘贴任意网址，点击前先检查它是否安全 - [密码强度检测器](https://www.phishclean.com/tools/password-checker): 测试你的密码到底有多强 - [二维码扫描器](https://www.phishclean.com/tools/qr-scanner): 安全扫描二维码，查看它们指向哪里 [查看全部 7 个工具 →](https://www.phishclean.com/zh/tools) 问题所在 你面临的风险比你想象的更大 ### 与真实网站一模一样的钓鱼页面 一个与你银行登录页像素级一致的克隆站，托管在 `secure-bankofamerica.com` 上。你输入密码，它就发送给了另一个国家的某个人。黑名单只有在网站被收录后才能发出警告，而许多钓鱼页面几小时内就消失了。 ### 从 URL 和存储中泄露的令牌 查询字符串中的 JWT 会被记录在各处 - 分析工具、代理、浏览器历史、任何有 URL 权限的扩展。页面上只要有一个 XSS 漏洞，localStorage 里的令牌也会丢失。 ### 被发送到错误服务器的认证头 一个被入侵的第三方组件悄悄把你的 Authorization 头复制到外部域名。你的会话被劫持。页面看起来完全正常。除非有东西在监控网络请求，否则你永远不会知道。 ### 客户端代码中的密钥 AWS 密钥（`AKIA...`）、Stripe 正式密钥、GitHub 令牌 - 硬编码在 JavaScript 包中，任何访客都能读取。机器人不停地抓取这些模式。一个泄露的密钥就可能造成数千美元损失。 ### HTTPS 被悄悄降级为 HTTP 咖啡店的 WiFi。中间人攻击降级了你的连接。你看到的是银行的真实内容 - 但没有加密。 27 种检测信号 PhishClean 监控的一切 #### [链接安全悬浮提示](https://www.phishclean.com/features/link-safety-tooltips) 悬停在任意链接上即可查看安全检查 - 绿色对勾、黄色警示或红色警报。 免费 #### 密码字段检测 标记含有可能是钓鱼的登录表单的页面。 免费 #### 域名不匹配 捕获将凭据提交到不同域名的表单。 免费 #### 密钥泄露扫描器 检测页面源码中的 AWS、Stripe、GitHub、Slack、Twilio、SendGrid 密钥。 Pro #### 私钥检测 捕获暴露的 RSA/EC 私钥 - 严重安全风险。 Pro #### HTTPS 降级警报 当你被从 HTTPS 重定向到 HTTP 时发出警告。 Pro #### HTTP 密码警告 当密码字段出现在未加密页面上时发出警报。 Pro #### JWT 令牌泄露检测 发现直接暴露在 URL 中的 JWT 令牌。 Pro #### 认证头监控 检测发送到第三方域名的 Authorization 头。 Pro #### 隐藏 iframe 检测 发现可能窃取凭据的不可见 iframe。 Pro #### [反向链接仿冒](https://www.phishclean.com/features/backlink-impersonation-detection) 标记借用真实品牌政策链接、logo 和客服资源来伪装可信度的页面。 Pro #### 视觉异常启发式 检测与典型登录不符的异常表单结构。 Pro #### 令牌存储扫描 检查 localStorage 中暴露的令牌和密钥。 Pro #### URL 参数扫描 标记 URL 中 token、auth、session 等敏感参数。 Pro #### HTTPS 上下文切换 检测从 HTTPS 网站跳转到 HTTP 页面的行为。 Pro #### 登录区域分析 将登录区域布局与典型模式进行比对。 Pro 工作原理 三个步骤。零浏览数据收集。 1 ### 安装扩展 从 [Chrome 应用商店](https://chromewebstore.google.com/detail/phishclean/kloceclooedmphmnnpgoekolaggejgca)、[Firefox 附加组件](https://addons.mozilla.org/en-US/firefox/addon/phishclean/) 或 [Edge 加载项](https://microsoftedge.microsoft.com/addons/detail/phishclean/jeilenifcaoenlglebpmmphbfmbfkgbj) 安装 PhishClean，点击安装并确认权限提示。保护立即开始 — 无需账户，无需银行卡。已举报钓鱼网站的拦截、链接安全检查和密码字段检测将永久运行，其余 22 项信号免费运行 7 天。试用结束后，这 22 项会暂停，三项永久信号继续运行。针对要求你粘贴命令的虚假 CAPTCHA 和虚假求职面试页面的警告，也对所有人免费。支持 Chrome、Firefox、Edge 以及任何基于 Chromium 的浏览器（Brave、Vivaldi、Arc）。 2 ### 每个页面都会被检查 - 悄无声息 每次页面加载时，PhishClean 都会在你的浏览器内运行检测信号。它检查 DOM 中[暴露的 API 密钥](https://www.phishclean.com/features/secret-leak-scanner)，检查表单 action 是否存在域名不匹配，寻找[隐藏的 iframe](https://www.phishclean.com/threats/hidden-iframe-attacks)，并标记 HTTPS 到 HTTP 的降级。这一切都在本地完成。页面的任何信息都不会发送给我们。 3 ### 只在重要时刻提醒你 没有通知轰炸。如果 PhishClean 发现问题 - 将凭据发送到其他域名的登录页、源码中泄露的 Stripe 密钥、可疑的 iframe - 你会收到一条清晰的警报，说明问题所在以及你可以怎么做。 价格 简单、公道的价格 按月 按年 省 45% 7 天试用 $0 共 7 天 - 7 天完整保护 - 包含全部 27 种检测信号 - 无需账户、无需银行卡 — 安装即开始 - 本地白名单管理 - 内置 60 多个可信域名 - 隐私优先架构 [开始免费试用](https://www.phishclean.com/zh#install) Pro $9 /月 - 包含 7 天试用的全部内容 - 密钥泄露扫描器（AWS、Stripe、GitHub、Slack 等） - 暴露私钥检测 - HTTPS 降级警报 - JWT 令牌泄露检测 - 认证头监控 - 隐藏 iframe 检测 - 令牌存储扫描 - 全部 27 种检测信号 - 订阅需要账户 [安装](https://www.phishclean.com/zh#install) 7 天试用在安装时即开始 — 无需账户，无需银行卡。试用结束后，已举报钓鱼网站的拦截、链接安全检查和密码字段检测仍免费运行；订阅即可恢复其余 22 项信号。针对要求你粘贴命令的虚假 CAPTCHA 和虚假求职面试页面的警告，也对所有人免费。 开发者 API 安全扫描 API 服务 免费套餐 - 每小时 30 次请求 ### 将钓鱼检测集成到你的应用中 8 个 REST 端点，涵盖 URL 扫描、密码分析、邮件钓鱼检测、认证头检查、JWT 安全审计、密钥泄露扫描、整页风险评分和反向链接仿冒检测。 免费套餐：无需密钥，每小时 30 次请求。升级到 Pro（$19/月）、Business（$49/月）或 Enterprise（$700/年），通过 API 密钥认证可获得最高不限量的请求。 通过我们的 MCP 服务器，可与 Claude、Gemini、Copilot 及任何 HTTP 客户端配合使用。 # Check a URL for phishing POST /api/v1/check-link POST /api/v1/check-password POST /api/v1/check-email POST /api/v1/analyze-headers POST /api/v1/decode-jwt POST /api/v1/scan-secrets POST /api/v1/scan-page POST /api/v1/analyze-backlinks # Example curl -X POST /api/v1/check-link \ -d '{"url":"https://paypal-secure.xyz"}' #### 8 个端点 URL、密码、邮件、请求头、JWT、密钥、整页扫描、反向链接 #### 免费套餐，无需密钥 每小时 30 次请求免费。Pro、Business 和 Enterprise 套餐提供 API 密钥。 #### AI 就绪（MCP） 支持 Claude、Gemini CLI 和 Microsoft Copilot [API 价格与密钥](https://www.phishclean.com/zh/developers) npm 上的 MCP 服务器 `npm i phishclean-mcp` 为什么选择 PhishClean 对比一览 | 功能 | PhishClean Pro | Chrome Safe Browsing | Norton Safe Web | McAfee WebAdvisor | | --- | --- | --- | --- | --- | | 钓鱼页面检测 | 有 | 有 | 有 | 有 | | 表单域名不匹配 | 有 | 未列出 | 未列出 | 未列出 | | API 密钥 / 机密扫描 | 有 | 未列出 | 未列出 | 未列出 | | 私钥检测 | 有 | 未列出 | 未列出 | 未列出 | | JWT 令牌泄露检测 | 有 | 未列出 | 未列出 | 未列出 | | 认证头监控 | 有 | 未列出 | 未列出 | 未列出 | | HTTPS 降级警报 | 有 | 部分 | 未列出 | 未列出 | | localStorage 扫描 | 有 | 未列出 | 未列出 | 未列出 | | 100% 本地 / 私密 | 有 | 通过 Google 检查哈希 URL | 基于云端 | 未列出 | | 检测信号 | 27 | 未列出 | 未列出 | 未列出 | | 价格 | $9/mo | 免费 | 免费 | 免费 | 隐私承诺 零浏览数据收集。永远不会。 ### 留在你的设备上 - 所有页面分析与评分 - 钓鱼检测启发式算法 - 机密与 API 密钥扫描 - URL 与令牌扫描 - 白名单与偏好设置 - 警报历史 ### 会到达我们服务器的 - 安装 ID（UUID） - 账户邮箱与许可状态（试用/付费） - 扩展版本号 - 仅此而已。永远如此。 常见问题 常见疑问 ### PhishClean 会看到我的密码或浏览历史吗？ 不会 - 而且从设计上就做不到。每个检测信号都在你的浏览器标签页内运行。你的密码、URL 和页面内容永远不会发送给我们。我们只收集激活和管理订阅所需的账户与账单信息：安装 ID、账户邮箱、许可状态和扩展版本。 ### 密钥泄露扫描器能检测什么？ 它在你的浏览器本地检查页面代码，寻找不应公开可见的机密模式 - 例如 AWS 访问密钥（以 `AKIA` 开头）、Stripe 正式密钥（`sk_live_`）、GitHub 个人访问令牌、Slack webhook、Twilio 和 SendGrid 密钥，以及 RSA/PEM 私钥。测试密钥和文档中的常见示例会被过滤掉以减少误报。详情请见[密钥泄露扫描器](https://www.phishclean.com/features/secret-leak-scanner)页面。 ### 付费之前会发生什么？ 保护在你安装的那一刻就开始，无需账户。所有信号免费运行 7 天 — 包括密钥扫描、[JWT 检测](https://www.phishclean.com/features/jwt-token-leak-detection)、HTTPS 降级告警、iframe 分析和认证头监控。试用结束后，有三项信号会永久继续运行 — 拦截已举报的钓鱼网站、悬停即可检查的链接安全性，以及当登录表单把你的密码提交到其他域名时发出的警告 — 其余 22 项则暂停，直到你订阅。针对要求你粘贴命令的虚假 CAPTCHA 和虚假求职面试页面的警告，也对所有人免费。 ### 使用 PhishClean 需要账户吗？ 不需要。保护从你安装的那一刻起就在运行，无需账户，也无需银行卡。我们只在试用期间请求一次邮箱地址，好让你的套餐能跟随你到另一个浏览器，并在重装后依然有效 — 你可以拒绝并继续使用。只有订阅时才需要账户。 ### 它会拖慢我的浏览器吗？ 我们没有观察到这种情况，但也没有公布性能测试结果。PhishClean 的检查在页面加载时于你的浏览器内运行，因此页面无需为这些检查等待服务器。 ### 它会在 Google、Amazon 或我的银行上触发警报吗？ 不会。我们维护一份内置的 60 多个可信域名列表 - Google、GitHub、Amazon、Microsoft、主要银行、支付机构、身份提供商 - 这些域名会完全跳过检测。如果你使用可信的内部工具或测试环境，也可以将自己的域名加入白名单。 ### 它支持哪些浏览器？ PhishClean 已上线 [Chrome 应用商店](https://chromewebstore.google.com/detail/phishclean/kloceclooedmphmnnpgoekolaggejgca)、[Firefox 附加组件](https://addons.mozilla.org/en-US/firefox/addon/phishclean/)和 [Edge 加载项](https://microsoftedge.microsoft.com/addons/detail/phishclean/jeilenifcaoenlglebpmmphbfmbfkgbj)。任何基于 Chromium 的浏览器 - Brave、Vivaldi、Arc - 也可以从 Chrome 应用商店安装。 ### PhishClean 和 Google 安全浏览有什么不同？ Chrome 和 Firefox 内置的 Google 安全浏览会对 Google 危险网站列表中的网站发出警告。在 Chrome 的标准模式下，这项检查实时进行；增强模式还会加入设备端 AI，应对它从未见过的诈骗。PhishClean 在你的浏览器内增加自己的检查，例如登录表单是否把密码发送到其他域名，以及 Google 未列出的检查，例如泄露的 API 密钥和 HTTPS 降级。建议两者都保持开启。[查看完整对比](https://www.phishclean.com/compare/phishclean-vs-chrome-safe-browsing)。 ### PhishClean 能发现刚刚创建的钓鱼网站吗？ 能。很多钓鱼页面上线不到一天就消失了，往往还没进入拦截列表。PhishClean 不需要事先见过某个网站。它会在页面本身寻找危险信号，例如仿冒的域名、把数据发送到其他网站的登录表单，或者冒用他人品牌的页面。 ### PhishClean 发现可疑页面时会怎样？ 它会在页面上方显示警告，并给出风险评分和原因。你可以返回、忽略一次，或者在确定安全时信任该域名。PhishClean 只警告不拦截，决定权始终在你手中。如果你已经输入了密码或卡号，请按照我们的[补救指南](https://www.phishclean.com/help/clicked-a-phishing-link)操作。 ### 为什么 PhishClean 需要读取所有网站数据的权限？ 要检查一个页面，PhishClean 必须能看到它，而钓鱼可能出现在任何网站上，所以浏览器会显示这个标准权限。检查在你的设备上进行：你访问的页面和输入的内容不会为了检测而发送给我们。如果你想核实，[源代码是公开的](https://github.com/chidhu07/phishclean-extension)。 ### PhishClean 多少钱？ 前 7 天所有检查都免费，无需绑卡。之后为每月 9 美元或每年 59 美元。在印度，价格以卢比显示。如果不订阅，有三项检查永久免费：拦截已举报的钓鱼网站、鼠标悬停时的链接安全检查，以及登录表单把密码发送到其他域名时的警告。针对要求你粘贴命令的虚假 CAPTCHA 和虚假求职面试页面的警告，也对所有人免费。 ### PhishClean 可以和杀毒软件或广告拦截器一起用吗？ 可以。广告拦截器过滤网络请求，大多数杀毒浏览器扩展会把网站与信誉列表比对。PhishClean 检查的是页面本身在做什么，所以能发现不同的问题，并且可以与它们同时运行而不冲突。看看它与[其他安全扩展](https://www.phishclean.com/compare)的对比。 ### 我点了钓鱼链接，该怎么办？ 如果只是打开了页面，请直接关闭，不要输入任何内容。如果输入了密码，请在真正的网站以及所有重复使用该密码的地方修改密码，并开启双重验证。如果输入了银行卡或银行信息，请立即联系银行。我们的[分步指南](https://www.phishclean.com/help/clicked-a-phishing-link)介绍了每种情况。 ### PhishClean 能在手机上用吗？ PhishClean 是为电脑浏览器设计的：Chrome、Firefox、Edge 以及 Brave 等基于 Chromium 的浏览器。大多数手机浏览器不支持扩展程序，所以目前它是一款电脑端工具。 ### 我可以查看 PhishClean 的源代码吗？ 可以。扩展的代码公开在 [GitHub](https://github.com/chidhu07/phishclean-extension) 上，任何人都可以查看它做了什么，并确认检测是在本地运行的。 ### 可以退款吗？ 如果有什么不正常，请联系 [support@phishclean.com](mailto:support@phishclean.com)，我们会帮你解决。退款处理取决于付款状态和问题细节，联系我们后我们会尽快审核。 联系我们 取得联系 ### 需要帮助？ 对 PhishClean 有疑问、需要支持或想报告 bug？我们很乐意听到你的声音。 你也可以直接发邮件至 [support@phishclean.com](mailto:support@phishclean.com)