先說結論：公共 Wi-Fi 不是完全不能用，但你不應該把它當成「預設可信網絡」。在酒店、機場、咖啡店這類環境裏，公共 Wi-Fi 安全的關鍵不是盲目恐慌，而是不要裸連處理敏感事務，尤其是登入電郵、網上銀行、公司後台和支付頁面。［1］［2］

VPN 在這裏確實有價值，因為它能先把流量加密，再離開你的裝置；但 VPN 也不是萬能藥，它擋不住假登入頁、惡意下載，裝置中毒後也救不了你。［1］［3］真正穩妥的做法，是把 VPN、HTTPS、系統更新和操作習慣一起配合。

關鍵要點

公共 Wi-Fi 最大的問題不是「慢」，而是你無法確認熱點是否可信、旁邊是否有人在看流量。［1］［2］

VPN 對公共 Wi-Fi 安全很有幫助，因為它能降低竊聽、旁路觀察和本地 DNS 暴露風險。［1］［4］

但 VPN 不能替你識別釣魚頁，也不能清理木馬或阻止你把密碼輸入假網站。［2］［3］

改密碼、轉帳、處理公司敏感資料這類高風險動作，最好優先切回可信流動網絡。［1］［2］

你要的不是神化某個工具，而是把連線保護和終端保護一起補上。

公共 Wi-Fi 安全到底危險在哪裏？

很多人以為只有「完全不加密的開放熱點」才危險。其實不止如此。FTC 提醒得很直接：即使是看起來正常的公共網絡，你也很難確認它的實際管理者、接入策略和數據保護水平。［1］

從攻擊面看，公共 Wi-Fi 常見風險主要有四類：

惡意熱點或同名熱點：攻擊者可以搭一個名字很像的熱點，誘導你連錯網絡。
局域網內旁路觀察：如果裝置配置差、服務暴露多，攻擊者可能嘗試掃描、投毒或誘導跳轉。
DNS 劫持或入口頁重定向：酒店、機場常見的強制認證頁會先攔截請求；惡意網絡也可能借此把你帶到假頁面。
弱密碼和舊協議環境：有些公共網絡本身缺少足夠加密保護，或配套設備長期不更新，風險會被放大。［2］

這也是為甚麼我更建議你把這篇文章和在線安全完整指南一起看。單個熱點看似只是「能不能上網」的入口，但背後其實是一個你完全無法審計的外部網絡環境。

VPN 在公共 Wi-Fi 上到底能防甚麼，不能防甚麼？

風險	VPN 是否有幫助	為甚麼	你還要補甚麼措施
竊聽	`有明顯幫助`［1］［4］	VPN 會先加密流量，再透過隧道轉發	優先訪問 HTTPS 網站
惡意熱點	`幫助有限`	VPN 能保護後續流量，但不能保證熱點本身可信	核對 SSID，向店員確認網絡名稱
DNS 劫持	`有幫助`［4］	可靠 VPN 通常會接管 DNS 請求，減少本地解析暴露	結合加密 DNS 流量指南一起看
會話劫持	`有幫助但不絕對`	加密隧道能減少中途攔截機會	同時開啟 HTTPS、及時登出
釣魚頁	`基本無能為力`［3］	VPN 不會替你判斷頁面真假	檢查域名、別點陌生連結
裝置已中毒	`無能為力`［4］	惡意軟件可在流量進入隧道前竊取數據	用防毒軟件和系統安全更新
HTTPS 頁面登入	`有幫助`	HTTPS 已保護網站到瀏覽器這段，VPN 再補本地連線	仍需 MFA 和強密碼
銀行/支付操作	`有幫助但不建議只靠它`［1］［2］	VPN 能減少連線暴露，但支付風險不只來自連線	能不用公共網就不用，優先流動網絡

一句話總結：VPN 解決的是「數據在路上不要被輕易看見」，不是「你從此不會被騙」。如果你還未釐清 VPN 和終端安全工具的邊界，可以順手看VPN 和防毒軟件有甚麼分別？你該選哪個。

VPN 最有價值的場景是甚麼？

答案很簡單：**你必須使用外部網絡，但又不想把自己的連線直接暴露給本地網絡。**例如出差連酒店 Wi-Fi、在機場登入電郵、在咖啡店處理聊天和工作檔案，這時 VPN 的邊際價值最高。［1］［4］

VPN 最容易被誤解的邊界是甚麼？

就是「開了 VPN 就萬事大吉」。這不成立。你如果主動點進假登入頁，把驗證碼和密碼輸入進去，VPN 不會提醒你「這個頁面是假的」。同樣，裝置如果早已中了木馬，惡意程式可以在數據進入隧道前先把內容拿走。［3］［4］

在酒店、機場、咖啡店連網時，正確做法是甚麼？

如果你經常在外工作或旅行，公共 Wi-Fi 安全更適合用「步驟清單」來執行，而不是靠臨場判斷。

1. 先確認你連的是誰的網絡

不要只看熱點名字像不像。最穩妥的做法是直接問前台或店員，確認準確 SSID。有些惡意熱點會故意起成「Cafe_Free_WiFi」「Hotel_Guest_5G」這類很像真的名字。

2. 連網後先別急着登入敏感帳戶

很多公共網絡會先彈出入口認證頁，這個階段最適合觀察網絡行為是否異常。若頁面反覆跳轉、證書報錯、要求下載描述檔或 App，最好直接斷開。

3. 先開 VPN，再處理真正敏感的操作

這一步是把預設暴露面降下來。你可以理解為：先為連線穿上外套，再開始工作。至於 VPN 到底隱藏了哪些內容，可以再讀VPN 能隱藏甚麼？哪些能藏，哪些藏不住。

4. 盡量只訪問 HTTPS 頁面

現在大多數主流網站預設都是 HTTPS，但你仍要留意瀏覽器地址欄是否正常。公共網絡裏的風險，從來不只是「有沒有 VPN」，也包括目標網站本身是否可靠。

5. 關閉不必要的共享和自動連接

Windows、macOS、iPhone 和 Android 都有自動加入已知熱點、檔案共享、局域网投屏之類的功能。出門在外時，能關就關，減少你在陌生局域網裏被看見、被掃描、被誤連的面。

哪些情況下你最好直接別連公共 Wi-Fi？

這部分比「怎樣安全使用」更重要。有些場景裏，正確答案不是「補措施」，而是「別用」。

涉及轉帳、支付或改密碼

FTC 明確建議，涉及金融帳戶或敏感資訊的操作，盡量避免在公共 Wi-Fi 上處理。［1］即使你開了 VPN，這類動作仍不值得拿陌生網絡冒險。

需要下載公司檔案、上載合約或處理客戶數據

如果你正在遙距工作，公共網絡不只是個人私隱問題，也可能變成合規和公司數據問題。CISA 的遙距工作安全資料也建議使用可信連線，並配合裝置更新、身份保護和最小暴露面。［5］

網絡要求安裝未知證書、描述檔或 App

這類情況要特別警惕。正常公共熱點一般只會要求你透過瀏覽器頁面同意條款或輸入房號，不應要求你安裝額外證書來「解鎖網絡」。

網絡行為明顯異常

例如網頁頻繁重定向、彈出假系統升級、瀏覽器提示證書不受信任、熱點名字反覆變化。只要你覺得這個網絡怪怪的，最省事的做法就是斷開並切回流動數據。

怎樣判斷你開的 VPN 真的起作用？

開了 VPN 不等於真的生效。最常見的問題，是客戶端顯示已連接，但 DNS、IP 或流量路由沒有按預期走。

看 IP 是否已經變化

這是最基礎的一步。連接 VPN 後，外部網站看到的公網 IP 應該變成 VPN 節點，而不是你本地寬頻或手機網絡的原始地址。

看 DNS 是否被接管

如果 DNS 仍然走本地網絡，那你訪問了哪些域名，公共網絡仍可能看到部分線索。要深入理解這一層，可以看甚麼是加密 DNS 流量？（深層技術解析）。

看連線是否穩定，斷線後是否自動阻斷

如果 VPN 一斷開，流量就直接回落到公共網絡裸連狀態，那你最需要的是斷線保護和自動重連，而不是更複雜的節點切換。

看自己有沒有把不該開的權限繼續開着

VPN 保護的是連線，不是定位權限、藍牙掃描權限、相簿權限或瀏覽器登入狀態。很多人以為「已經很安全」，但真實暴露點根本不在網絡層。

咖啡店、民宿和交通休息區也適用同一套清單嗎？

次序基本相同，但需要核實的人不同。在咖啡店或休息區向職員確認 SSID；在民宿向房東確認網絡和路由器資料；在交通場所查看官方指引。你仍然無法控制網絡設備，因此不能因為網絡有密碼或名稱熟悉，就把它當成完全可信。

可以使用這份旅遊版清單：

連接前關閉自動加入和不必要的共享功能。
只完成已核實的強制入口網站認證。
在電郵、工作、銀行或付款操作前開啟 VPN。
盡量把高風險操作移到流動數據上。
離開時忘記該網絡，並檢查重要帳戶提示。

機場的具體檢查可參考機場 Wi-Fi 安全清單；酒店入口網站和連線次序可查看如何處理強制入口網站網絡。［1］［2］

總結

公共 Wi-Fi 安全的核心，不是完全不連，而是別把陌生網絡當成可信環境。
VPN 對竊聽、DNS 暴露和本地旁路觀察很有幫助，但對釣魚頁、惡意下載和已感染裝置基本幫不上忙。
酒店、機場、咖啡店最穩妥流程是：確認熱點名稱、先開 VPN、再登入敏感帳戶。
涉及支付、改密碼、客戶數據和公司後台時，優先切回可信流動網絡更穩。
真正有效的做法不是迷信單一工具，而是讓 VPN、HTTPS、系統更新和謹慎操作一起工作。

常見問題（FAQ）

公共 Wi-Fi 一定不安全嗎？

不一定，但它預設不值得你信任。你無法確認熱點是誰搭建、後台怎樣管理、是否有人正在旁路觀察，所以應按高風險網絡對待。［1］［2］