决策矩阵：真假 Steam OpenID 网页授权安全鉴别
在 CS2 饰品交易、第三方赛事对战平台或战绩查询网站上，“通过 Steam 登录（Sign in through Steam）”是最普遍的交互。正规的 Steam 官方 OpenID 授权在技术上完全无法窃取玩家的账号密码。但网络黑产利用“浏览器中的浏览器（Browser-in-the-Browser，简称 BitB）”钓鱼技术，伪造了极其逼真的全套登录窗口。
| 鉴别特征 / 验证维度 | 官方正规 Steam OpenID 授权窗口 | 伪造的 BitB 网页内嵌钓鱼弹窗 |
|---|---|---|
| 独立窗口拖拽物理测试 | 属于独立的操作系统子窗口，可拖拽出浏览器边界到第二个屏幕 | 纯 HTML/CSS 绘制的假窗口，无法拖出主网页外部 |
| 当前浏览器已登录态识别 | 自动识别已有登录状态，仅显示头像与“登录”按钮，绝不索要密码 | 强制要求手动输入账号、密码及手机动态令牌 |
| 顶部地址栏真伪 | 真实受系统保护的地址栏，域名必须为 steamcommunity.com | 网页内部画出来的假地址栏，无法在地址栏内右键查看证书 |
| 授权给第三方的数据 | 仅仅是玩家公开的 64 位 SteamID 数字 | 账号登录名、明文密码、当前手机两步验证码 |
虚假赛事与饰品网站如何瞬间搬空你的库存？
玩家在所谓“帮朋友战队投票”或“免费领皮肤”的钓鱼网站输入信息后：
- 全自动无头会话劫持：黑客服务器在几秒内使用自动化脚本完成异地登录，并在你的账号后台生成一个未经你允许的 Steam Web API Key；
- 交易影子拦截：当你后续在正规平台交易高价值饰品时，黑客脚本秒速取消原始交易，并在 1 秒内使用一模一样头像和昵称的克隆机器人（Clone Bot）发起一笔伪造交易；
- 欺骗手机确认：玩家在手机 Steam 移动应用上不加核对便点击“确认”，价值数千元的饰品便瞬间转移到黑客的洗白账号中。
遭遇钓鱼后的紧急排查与抢救手册
第一步：掌握“窗口拖拽防钓鱼绝招”
遇到任何要求通过 Steam 登录的弹窗：
- 按住弹窗顶部标题栏，将其向显示器边缘拖动。如果弹窗被网页边界截断、无法拖到浏览器窗口外面，这 100% 是诈骗钓鱼假弹窗，立刻关闭页面！
第二步：紧急斩断黑客后门三部曲
若已在钓鱼页面输入了信息，请在 2 分钟内严格按顺序执行：
- 撤销非法 API 密钥：登录官方地址
https://steamcommunity.com/dev/apikey。如果你自己没有开发需求，此处必须为空！若看到未经授权的域名，立即点击 撤销我的 Steam Web API 密钥（Revoke）； - 踢出所有未授权设备：进入 Steam 设置 -> 安全 -> 点击 取消对所有其他设备的授权；
- 修改密码并重置交易链接：更改密码使历史会话 Cookie 立即作废；随后进入个人库存 -> 交易报价 -> “谁能向我发送交易报价”，点击 创建新 URL，废止已被泄露的旧交易链接。