开了两步验证还会被会话劫持吗？

会。两步验证挡的是"用密码登录"那一步，但令牌一旦泄露，攻击者已经跳过登录，验证不再触发。

改密码能踢掉偷令牌的人吗？

部分能。改密码会作废一部分旧会话，但要彻底清除，还得手动"登出所有设备"。

有读取页面内容权限的插件理论上可以。所以只装必需、来源可信的插件。

明文流量有被嗅探的风险。能用手机热点就别用开放 Wi-Fi，或者确保连接是加密的。

你改了复杂密码，开了两步验证，结果账号还是被人登进去了。这种情况越来越常见，原因往往不是密码，而是一串叫"会话令牌"的东西被偷了。它比密码更隐蔽，因为攻击者拿到它之后，不需要知道你的密码就能一直赖在账号里。

每次你登录成功，服务器会发给你一个会话令牌，相当于这张门票有效期内你不用再验票。浏览器把它存在本地，之后每次请求都带着它。问题在于：门票一旦被人复制走，对方就能凭它直接进入，哪怕你中途改了密码。

注意，这里没有一条是"密码太弱"。令牌盗窃专门绕开密码这一层，所以你密码再强也挡不住。

第一步是把"退出登录"当习惯，尤其在别人的设备或公用电脑上。第二步是浏览器插件只装必需的，来源不明的坚决不装，因为插件能读到的内容比你想的多。第三步是登录页地址一定核对清楚，X 的域名只有那一个，多一个字母都该警觉。

第四步经常被忽略：定期到"已登录设备"列表里把不认识的设备踢掉。这一步等于把可能已经泄露的令牌当场作废，比等出事再补救省心得多。很多人从没点开过这个列表，直到账号出问题才想起来。

先改密码。虽然令牌还在，但改密码能逼出一部分旧会话，给攻击者制造障碍。然后去"登出所有设备"，这是直接让偷到的令牌失效的关键一步，很多人漏掉这步，只改了密码以为没事。最后检查账号里有没有被偷偷改过的资料、绑定的邮箱或转发规则，有的话一并还原，并留意有没有陌生的已授权第三方应用。

除了账号被发了奇怪推文这种明显信号，还有更隐蔽的征兆：登录地突然变成陌生城市、已登录设备里多了一台不认识的手机、绑定的邮箱收到改密提醒但你没操作。这些往往比被盗发帖更早出现。养成每月看一次安全日志的习惯，比出事后再补救成本低得多。一旦看到异常登录，立刻走前面的收流程，别等更多证据。

如果你担心自己多年发的推文里已经泄露了手机号、住址这类信息，可以先做一次本机体检，把风险点列出来再决定怎么清理。digital-footprint-health.shop 的体检在首页就能开始，说明在博客。