“我就点了个登录，它非要读我通讯录，这正常吗？”
不正常。至少，一个正常的登录动作不需要通讯录权限。权限弹窗这东西，多数情况就是在这时候暴露问题的——你想进的是HG2020在线平台，它想拿的却是你手机里跟登录八竿子打不着的东西。
下面按几种常见弹窗症状分开说，每种只讲这一类的判断和处理。
症状一：打开就弹“允许访问存储/相册/通讯录”
先别点“允许”。看它弹的时机。
正常的网页或客户端，权限申请一般发生在你要用某个具体功能时，比如你要上传截图才问相册，你要保存文件才问存储。如果页面刚打开、你还没登录、什么都没操作，权限框就跳出来了，这属于权限申请越界。处理办法很简单：点“拒绝”，看它还能不能往下走。多数正牌站点被拒之后照样能登录，只是相关功能受限；如果一点拒绝就卡死、反复弹、不让你进，那这个来源本身就要打问号。
还有一种情况是浏览器弹的，不是网站弹的。浏览器问“是否允许此网站发送通知”，这种直接选“禁止”。正经的HG2020官网入口查询不需要靠通知栏给你推消息。
症状二：下载时弹“允许安装未知来源应用”
这一步容易踩坑。安卓机上出现这个弹窗，说明你装的包不是从系统应用商店来的。
不是说非商店渠道一定有问题，但你要多核对一件事：这个安装包的下载页，是不是你从HG2020官网入口查询确认过的那个域名。HG2020怎么下载这个问题，卡点往往不在“下不下来”，而在“从哪下”。如果你是从搜索广告、群聊链接、短链跳转过来的，先退出去，回到你能确认的域名再走一遍。安装包的名字、图标可以仿，域名仿不了那么随意——多看一眼地址栏。
装之前还有个动作：看它要什么权限。一个资讯类或平台类应用，上来就要短信读取、悬浮窗、无障碍服务，这类组合权限要警惕。无障碍权限尤其敏感，它能看到你屏幕上的内容并代为点击，正常应用很少需要。
症状三：登录后跳转到别的域名
你本来在A域名，点完登录，地址栏变成了B域名，甚至是个短链。这就是跳转风险。
判断标准是：登录前后域名主体应该一致。子域名可以不同，比如从首页跳到账号页，但主体部分变了，就要停下来。做法是别在那个新页面上输任何东西，尤其别输密码和验证码。退回原页面，手动核对地址栏，再决定要不要继续。
有些跳转是支付环节发生的，那种更要注意——支付页域名跟平台主域不一致，钱可能付给了别的收款方。
症状四：验证码收不到，或者收到一堆无关短信
收不到验证码，先排除你自己的信号和拦截设置；如果反复点“发送”都收不到，而手机随后收到其他平台的验证短信，这可能是号码被拿去批量试了。遇到这种，停止操作，别再反复请求验证码。
什么情况适合用上面这套
这套核对办法适合你第一次接触某个入口、或者换了设备、换了网络之后重新登录的时候。如果你已经长期在用某个确认过的入口，日常登录不必每次都走一遍全套。
反过来，如果你是在公共网络、他人设备上操作，或者入口来自别人转发，那这套步骤一个都别省。权限弹窗怎么选，说到底就一句：跟当前操作无关的权限，一律先拒。拒了还能用，说明它本就不该要；拒了就用不了，那你要问的不是“怎么授权”，而是“我是不是进错地方了”。
