记住我"和缓存：方便背后的账号风险
保持登录意味着什么
在 凯发官网 这类平台登录时，通常有一个"记住我"或"保持登录"的选项。
很多人默认勾上，但它的实际含义值得说清楚。
它不是把密码存在本地（正规实现不会这么做），而是服务端签发了一个长期有效的会话凭证，存在你的浏览器或应用里。
这带来两个结果：
你不用每次输密码。
任何能拿到这个凭证的人，也不用输密码。
第二条是关键。 拿到会话凭证，等于拿到了你的登录状态——不需要知道你的密码，也可能绕过二次验证（因为二次验证通常只在登录那一刻校验）。
会话是怎么维持的
理解机制才知道该防什么。
Cookie。 浏览器保存的一小段数据，每次请求自动带上。 会话凭证通常存在这里。
本地存储。 应用或网页在设备上存的数据，清缓存不一定会清掉它。
刷新令牌。 一个长期凭证，用来在短期凭证过期时自动换新的。它的有效期可能是几周甚至更久。
由此推出几个现象：
"我明明没登录，打开就是登录状态" ——凭证还在有效期内。
"换了个浏览器就要重新登录" ——凭证存在原来那个浏览器里。
"改了密码但另一台设备还登着" ——取决于平台的实现。 有些平台改密码会作废所有会话，有些不会。这一点很重要，后面说。
"清了缓存还是登录状态" ——本地存储没被清掉。
公共设备与共享设备
这是风险最集中的场景。
公共电脑（网吧、酒店、图书馆）：
不要勾"记住我"。
用无痕/隐私窗口。 关闭窗口即清除该窗口的数据。
用完主动退出登录，不要只关标签页。关标签页不等于退出——会话在服务端仍然有效。
退出后再清一次浏览数据。
共享设备（家人共用的平板、电脑）：
用不同的系统账户或浏览器配置文件。
不要在共享设备上保持登录。
注意自动填充。 浏览器的密码自动填充在共享设备上等于把密码交出去了。
旧设备转手前：
先在设备上正常退出登录，再卸载。 退出登录会让服务端清除该设备的会话，卸载不会。
这一步很多人漏掉：直接恢复出厂设置或者卖掉，服务端的会话可能还有效。
定期该清理和检查什么
几件事，建议养成习惯。
第一，看登录设备列表。
它显示当前有哪些设备处于登录状态、登录时间和大致位置。
这是发现账号异常最直接的途径，但很多人从没打开过。
建议每月看一次。 看到不认识的设备：立即远程下线 → 改密码 → 检查绑定信息有没有被改。
顺序很重要：先下线再改密码。 如果先改密码而平台不作废旧会话，对方可能还在里面。
第二，改密码后确认旧会话是否失效。
方法：在另一台设备上保持登录，然后改密码，看那台设备是否被踢出。
如果没被踢出，说明平台不会自动作废旧会话 ——那么每次改密码之后，都要手动去设备列表里把其他会话下线。
这个测试花两分钟，但结论很有价值。
第三，检查绑定信息。
手机号、邮箱有没有被改。 账号被盗后，攻击者通常第一步就是改绑定，切断你的找回途径。
第四，清理不用的授权。
支付平台的免密支付/自动扣款列表。
第三方登录授权（如果用过）。
第五，确认找回途径是通的。
绑定手机号还在用吗？邮箱还能收信吗？二次验证的恢复码在哪？
特别提醒：如果二次验证绑在手机的验证器应用里，而恢复码只截图存在同一部手机的相册里——那就会一起丢。恢复码必须离线保存（写在纸上，或存进能跨设备同步的密码管理器）。
关于二次验证
既然说到账号安全，这一条值得单独强调。
短信验证码不是最强的方式。 它可以被 SIM 卡补办攻击绕过——攻击者用伪造材料到运营商补办你的号码，之后所有短信都到他手里。
验证器应用（TOTP）更可靠。 它不依赖手机号，验证码在设备本地生成。
但要注意：验证器应用的恢复码必须离线保存。 换手机、手机丢失、应用被误删，没有恢复码就找不回来。
一个常被忽略的点：二次验证通常只在登录那一刻起作用。 如果会话凭证被窃取，攻击者可以直接使用现成的登录状态，不会再触发二次验证。
所以"开了二次验证就安全了"是不完整的 ——还得管好会话。
如果发现异常
按这个顺序处理，顺序本身很重要：
一、在设备列表里把所有其他会话下线。
二、改密码。 用没在其他地方用过的密码。
三、检查并恢复绑定信息（手机号、邮箱、收款账户）。
四、检查资金记录。 看账变明细，不是看余额。
五、检查有没有被开通免密支付或自动扣款。
六、开启或重设二次验证。
七、联系平台客服报备。 从应用内或已核实的官网进入，保留工单号。
期间不要做的事：
不要在原设备上继续操作（如果怀疑设备本身有问题）。
不要点任何"客服"发来的链接——账号出问题后，仿冒客服会主动找上来，这是常见套路。
不要为了"快点解决"而提供密码或验证码给任何人。
常见问题 FAQ
问："记住我"到底存了什么？
不是密码，是服务端签发的长期会话凭证。任何能拿到它的人都能以你的身份登录，且通常不会再触发二次验证。
问：关掉标签页算退出吗？
不算。会话在服务端仍然有效。公共设备上必须主动点退出登录。
问：改了密码，其他设备会被踢下线吗？
看平台实现，有的会有的不会。建议自己测一次；如果不会，那么每次改密码后都要手动去设备列表下线其他会话。
问：短信验证码够安全吗？
不够。它可被 SIM 卡补办攻击绕过。验证器应用更可靠，但恢复码必须离线保存。
问：凯发国际 的登录设备列表在哪看？
通常在账户中心的安全设置里。建议每月看一次，发现陌生设备先下线再改密码。
理性对待，量力而行。保持登录换来的方便，代价是会话长期有效——定期看设备列表，是成本最低的一道防线。