Web 安全设计太难：Cloudflare 新产品被安全专家误判为钓鱼攻击

网络安全专家 Eric Lawrence 近日分享了一次令人啼笑皆非的经历：他险些将 Cloudflare 正式推出的新产品误认为是网络钓鱼攻击。事件起因是 Lawrence 看到 Cloudflare 推广其名为“Wallet”的新功能，出于对该公司的信任，他点击链接进行注册。然而，跳转后的登录界面使用了 `cloudflare.pay` 这一非主域名，且 `.pay` 顶级域名仅需 20 美元即可注册，缺乏像 `.bank` 那样的严格验证机制，这引发了 Lawrence 的强烈怀疑。随后的授权页面设计极为粗糙，类似常见的“同意钓鱼”攻击，且界面上的绿色对勾图标位置诡异，极易误导用户。由于在 Cloudflare 主仪表板和文档中无法找到该功能入口，Lawrence 询问了内置的 AI 智能体，得到的反馈也确认这是钓鱼攻击。最终，经过一番慌乱的反钓鱼报告流程，Lawrence 才确认这确实是 Cloudflare 的合法产品，但其糟糕的 UI 设计完全违背了安全最佳实践。Lawrence 指出，当正规大厂的网站表现得极具欺骗性时，不仅让普通用户难以招架，连 Microsoft SmartScreen 和 Google SafeBrowsing 等自动化信誉系统也难以在避免误报的同时有效拦截恶意网站。

事件分析

💡 核心观点：当正规产品的安全设计违背直觉导致连专家和 AI 都无法分辨真伪时，Web 开发者必须重新审视用户体验与安全信任的边界。