优先认官方授权页面

规范的第三方客户端通常会把你带到服务自己的授权页面，让你登录并确认权限。这样客户端不需要直接拿到你的账号密码。

如果一个陌生 App 要求你在它自己的输入框里填写主站密码，却没有说明官方授权机制，风险明显更高。

权限范围比“它有名吗”更重要

只读你的动画列表，和允许修改列表、读取私密数据、代表你发内容，不是一个级别。授权前先看权限清单，能少给就少给。

同时确认有没有撤销入口。以后不用这个客户端时，可以直接在主站账户设置里撤销授权，而不是只能寄希望于“卸载 App 就结束了”。

开源也不是自动安全

能看到源代码是好事，但普通用户很难每次自己审计。更实际的是看项目是否持续维护、下载来源是否官方、有没有明确隐私说明，以及社区有没有长期使用记录。

如果是冷门客户端，先用低权限授权测试，别一上来给它所有账号能力。

授权页面的网址要看清

钓鱼应用也会做一个“很像官方”的登录页。真正 OAuth 授权时，浏览器地址栏应该是主站自己的域名，而不是客户端开发者随便注册的相似域名。对重要账号来说，这一眼很值得养成习惯。