作为一个Steam库里有上千款游戏的深度玩家，我几乎每天都会登录账号。但有一个场景让我至今心有余悸——线下登录。不是指家里的离线模式，而是那种在公共电脑、或者临时借用别人设备时的登录。你可能觉得，登录个账号能有什么风险？但在我亲身经历了一次差点被洗劫一空的事情后，才明白这里面全是坑。
一次网吧登录引发的噩梦
那是2019年春天，我和同事去外地出差，晚上闲着无聊，就找了家网吧准备开黑。网吧的机器配置不错，我习惯性地打开Steam，输入账号密码，然后顺手点了登录。当时没留意任何异常，连手机令牌都没弹出来（因为之前在家信任了设备）。玩了两个晚上，回去后一个周末，我打开Steam发现邮箱里躺着一封提醒邮件：有人在乌克兰基辅登录了我的账号，并且尝试购买CSGO的皮肤。我瞬间头皮发麻，赶紧改密码、撤销API密钥、检查交易记录。还好发现及时，只是库存里几块钱的贴纸不见了。后来我琢磨，问题就出在那次网吧登录上。
风险一：键盘记录器与内存嗅探
网吧的电脑你永远不知道前任使用者做了什么。有些恶意程序会常驻在后台，专门捕获Steam的输入框内容。我当时没有开启二次验证的手机令牌，密码就是纯文本暴露在那台机器上。即便我之后在家改了密码，但恶意软件可能已经记录了我的Cookie或本地凭证，这才导致了后续的异地登录。
风险二：信任设备的滥用
Steam为了便利，推出信任设备功能——只要你在一台电脑上勾选了“记住密码并自动登录”，该设备就会被记录为信任设备。这意味着后续登录可以绕过短信或令牌验证。我在网吧的那个举动，相当于把信任权限拱手交给了那台完全不受我控制的电脑。而网吧的系统往往是同态还原的，你前脚下机，后脚下一个人用同一个账号开机，只要Steam还保留着本地令牌文件，他就能直接登录进去。
我后来是怎么应对的
那次事件后，我直接把家里电脑的Steam设置为任何时候都要求令牌验证，并且每周检查一次授权设备列表。如果有陌生设备，立刻撤销。线下登录我只在家里自己的笔记本上进行，去朋友家玩也只用他们的网络，但登录用的是Steam手机版扫码——不输入密码。这招是跟一个老玩家学的：在手机上打开Steam App，用扫码登录代替手动输入，这样密码永远不会被键盘记录。
至于离线模式，我也踩过坑。有一次出差到山区，没网络，想玩之前买下的《巫师3》，结果发现离线模式进不去。后来才搞清楚：必须在有网络时先进入一次游戏并让Steam记住这台电脑的授权，然后才能在断网时切到离线模式。所以我现在每次出远门前，都会把想玩的游戏先打开运行一次，确保授权缓存生效。
还有一种线下登录是在自己的第二台电脑上，比如我把旧笔记本放在父母家，过年回去想玩。但经常会出现“新设备登录验证”的弹窗，导致无法离线游玩。我的办法是用家庭库共享，但前提也是主账号要在那台电脑上登录并验证一次。总之，所有安全措施的基础都是：不要在你不信任的硬件上暴露密码或授权。
现在我已经养成了习惯，只要是在非私人电脑上，绝对不输入Steam密码。哪怕多花几分钟用手机扫码，甚至开热点用笔记本登录一次，都比冒险好。
当然，Steam本身也在不断收紧安全策略，比如强制手机验证、新的家庭视图功能。但用户自己的意识永远是第一道防线。那些年因为线下登录损失的案例太多了，我不希望再看到有人重蹈我的覆辙。
