这个域名看起来像 Xiaomi，但它根本不是。

看一眼地址栏

老浏览器照原样显示；现代 Chrome 会提醒你

下面的模拟地址栏演示“没有防护时会看到什么”。

现实：现代浏览器会拦

Chrome 会显示 Punycode 并弹出警告

用现代 Chrome 打开本域名，你会看到：地址栏显示的是 xn--80ayf0a9fd.com（Punycode），并弹出「您是不是要前往 xiaomi.com？」。这是浏览器的 IDN 显示策略 + 同形域名（skeleton）检测在起作用 —— 它把可疑域名“降级”为 Punycode，并提醒用户。

• 链接的文字与真实地址不一致（如邮件/聊天里写着 xiaomi.com，实际指向别处）。
• App 内嵌浏览器（微信/Twitter/邮箱内置 WebView）往往没有同样的 IDN 防护。
• 旧版浏览器或某些平台不会发出警告，地址栏照原样显示。
• 截图、二维码、印刷材料里根本无法触发浏览器检测。

结论：防护只在你「用主流浏览器直接访问」时生效；钓鱼更多发生在别的入口。

逐字拆解

点开每个字符，看看它到底是什么

同形对照

西里尔 vs 拉丁：长得一样，码点不同

原理

IDN 与 Punycode

国际化域名（IDN）允许用非拉丁字符注册域名。DNS 只认 ASCII，于是浏览器把 Unicode 域名编码成带 xn-- 前缀的 Punycode 再查询。攻击者正是利用“显示用 Unicode、解析用 Punycode”这一层差异，注册与品牌高度相似的域名。

• 本页面的真实域名
   ⟶ 

小测验

你能分辨吗？

如何防护

普通人也做得到的几件事

• 别只靠浏览器：Chrome 会警告并显示 punycode，但邮件预览、App 内嵌浏览器、旧浏览器可能不会。
• 看前缀：域名里出现 xn--，说明它是 IDN（非拉丁）域名，务必核对。
• 别信外观：把链接复制到文本编辑器，或粘贴进搜索框，看清每个字符。
• 走入口：用官方 App、书签或密码管理器打开，而不是点别人发来的链接。
• 看证书与登录页：正规服务有对应证书；同形域名通常没有，或证书主体对不上。