当搜索结果、社交媒体帖子或转发页面显示的名称，与点击后看到的页面名称、域名不一致时，先不要急于判断其性质。更稳妥的做法是把入口过程拆成连续步骤，分别记录每一步可见的事实：从哪里发现、点击前看到了什么、观察到了哪些地址变化、最后到达哪个域名，以及页面是否要求下载或登录。这只能整理已经观察到的路径，不保证还原所有中间跳转。不要为补齐记录反复打开可疑链接，不下载文件或输入凭据。
先把“看到的名称”和“实际地址”分开
搜索摘要中的标题、社交账号发布的文字和网页本身的标题，属于不同字段，不能直接当作同一身份的证明。记录时至少保留以下内容：发现来源及其页面地址；点击前显示的标题、摘要和按钮文字；点击后的完整域名；实际观察到的地址变化时间或顺序；最终页面标题；页面是否出现下载、注册、登录或输入验证码的要求。
例如，记录“标题写着官方APP指南”只是记录展示文字，不应改写成“该页面就是官方入口”。同样，看到某个页面使用与目标名称相近的标识，也只能说明页面呈现了该标识，不能据此补写授权关系、经营关系或安全结论。
按步骤复原链接链路
可以为每一步编号，并使用统一格式：
- 发现入口：注明是搜索结果、社交媒体帖子、聊天转发，还是其他页面；记录来源页面显示的标题和链接。
- 点击前信息：抄录按钮或链接文字，记录摘要中的关键表述，不要只保存自己的概括。
- 第一次打开：记录浏览器实际显示的域名、页面标题和主要页面类型，例如资讯页、说明页或下载页。
- 继续跳转：只为实际看见或已保存的地址变化新增一行，不把未知过程补写出来。快速跳转未必在地址栏完整呈现，因此这不是完整网络跳转日志。
- 最终页面：记录最终域名、页面标题、更新时间是否显示，以及是否出现下载文件、登录、注册或支付等要求。
“跳转到不同域名”本身不等于已经证明恶意，也不能证明原入口一定可靠。但如果页面身份无法对应，或者在身份尚未核对前就要求输入账户信息，记录工作应暂停在这里，不要继续提交密码、验证码、支付资料或其他敏感信息。
假设案例：从搜索标题到下载页
以下仅为假设案例，不描述任何真实搜索结果、社交账号或域名。某搜索结果的标题显示“官方APP指南”。读者点击后，第一步到达一个资讯页，页面标题为“移动端安装说明”；资讯页中的按钮文字为“前往下载”。点击按钮后，第二步跳转到另一个不同域名的下载页，页面标题改为“应用安装”，并出现“登录后继续”的提示。
这个案例应拆成三条事实，而不是一句“官方页面跳转到下载地址”：第一，搜索结果显示了什么标题；第二，点击后先打开了什么页面；第三，资讯页又把读者带到哪个不同域名，以及下载页要求什么操作。现阶段可以指出名称、域名和页面身份之间存在断点，但不能据此断定页面一定是钓鱼页，也不能声称下载文件、证书、授权关系或平台归属存在某种特征。
在核对不到正式说明之前，较稳妥的处理是停止登录和下载，保存页面截图或文字记录，并从已知的、可独立核对的说明入口寻找对应关系。保存证据时应遮盖真实账户名、密码、验证码、支付信息和身份号码。
链路记录模板与证据等级
把前面的假设案例填入记录后，可以得到下面三行。甲、乙只是案例中的域名代号，不是真实网址；三个阶段的观察时间均未保存，所以统一注明“时间未记录”。未知的中间跳转保持未知，不事后猜测。实际使用时，应替换为当时已经保存的文字和地址，而不是再次打开可疑链接补齐。
| 步骤 | 来源或前页显示 | 实际域名与页面标题 | 页面要求与备注 |
|---|---|---|---|
| 0 | 搜索结果标题“官方APP指南” | 点击前地址未保存；目标身份未确认 | 仅记录搜索标题，不认定官方；时间未记录 |
| 1 | 从“官方APP指南”结果打开 | 域名甲；标题“移动端安装说明” | 资讯页出现“前往下载”按钮；时间未记录 |
| 2 | 域名甲的“前往下载”按钮 | 域名乙；标题“应用安装” | 出现“登录后继续”；停止输入，未下载；时间未记录 |
证据可以分为三种等级。第一类是搜索摘要：只能证明搜索页面当时展示了某段文字，不能证明目标页面身份。第二类是站内页面：可以记录页面实际写了什么、显示哪个域名和标题，但仍不自动证明其声明真实。第三类是下载页：可以记录下载按钮、版本文字和登录要求等可见信息；在没有进一步核对前，不应把它当成来源、授权或文件安全性的证明。
记录完成后的停止点
完成链路后，检查是否存在以下断点：点击前后的名称不同；域名在未解释的情况下改变；页面标题与按钮文字指向不同对象；更新时间只出现在某一页；或者下载、登录要求出现在身份尚未核对之前。发现任一断点时，应把它标记为“待核对”，而不是用推测补齐链路。
最终记录应区分三件事：已经看到的页面事实、无法确认的关系，以及因此采取的暂停动作。这样的记录既便于之后向相关页面索要正式说明，也能避免把搜索摘要、资讯页和下载页混成同一个入口。