解决 sub2api 开启 Google 登录后提示“欺骗性网页”的实践与建议

自己搭建服务的小伙伴可能都遇到过这种糟心事：明明是正经工具，刚把 Google 登录一开，结果浏览器直接给你弹个红脸警告——“欺骗性网页”。这两天就有朋友在折腾 sub2api 时遇到了这个问题，系统被误判，用户直接被拦截进不来。

这到底是咋回事？简单来说，Google 的安全机制非常敏感。当你开启 Google OAuth 登录时，如果 Google 认为你的域名、证书或者页面内容“看起来有风险”，就会直接触发拦截。对于个人开发者或者刚上线的中小项目来说，这其实挺常见的。既然是“误报”，咱们就得想方设法通过那一套严格的检测机制。

Google 浏览器提示“欺骗性网站”的安全警告界面

首先，域名信誉是重中之重。如果你用的是刚注册不到几天的域名，或者是一个曾经被别人拿来发过垃圾邮件、做过钓鱼站的“二手域名”，那基本是一开一个准。解决办法也很直接：要么换一个干净、注册时间较长的老域名，要么就得花时间通过站长平台提交审核申诉。在域名选择上，尽量不要用那种看起来像随机乱码的域名，使用正经的 .com、.net 等后缀通常比某些冷门后缀更容易通过审查。

其次，HTTPS 证书必须配置到位。有些朋友为了图省事，或者是在测试环境下随便搞个自签名证书，这在 Google 眼里就是“不安全”的代名词。请务必使用 Let's Encrypt 等受信任的 CA 机构签发的证书，并且确保全站（包括所有静态资源）都是 HTTPS 加载，不能有“混合内容”存在。这是建立信任的最基础门槛。

再来就是站点内容本身。Google 的爬虫不仅检查你的登录接口，还会扫描你的页面文案。如果你站点上充斥着大量的诱导性文案、夸大的宣传，或者是直接复制粘贴了一些敏感关键词，很容易被判定为“社会工程学攻击”或者是钓鱼站点。建议大家检查一下自己的落地页，文案尽量平实、专业，不要出现明显违规的内容。

还有一个容易被忽视的细节：Google Cloud Console 的配置。在申请 OAuth 客户端 ID 时，记得填写详细的应用信息，比如隐私政策链接、服务条款链接。虽然个人小站可能没有正规的律师函式的隐私政策，但你至少要有一个页面声明数据如何使用，这能显著增加通过率。同时，“已获授权的重定向 URI”一定要填写准确，不能有多余的空格或者错误的路径。

在 Google Cloud Console 中配置 OAuth 客户端 ID 及授权重定向 URI

如果已经被标记了，也不要慌。可以前往 Google Search Console 的“安全问题”板块查看具体原因，或者直接在浏览器警告页面上点击“报告此网站存在安全/垃圾信息问题”进行申诉。申诉的时候要态度诚恳，说明这是一个什么样的工具，已经采取了哪些安全措施（比如用了 SSL、域名是干净的等）。通常审核周期在几天左右。

总的来说，搭建自托管服务虽然自由，但在对接大厂的登录接口时，合规性和安全性要求是绕不过去的坎。遇到被标记的情况，按照上述步骤逐一排查，基本都能解封。希望这篇笔记能帮大家少走几步弯路。