那是一个再平常不过的夜晚，我正打算玩会儿《赛博朋克2077》，却收到了一封Steam的异地登录提醒。紧接着，邮箱提示密码被修改。我的心一下提到了嗓子眼，赶紧从手机端重置密码，用新密码登录了账号。我以为事情到此为止，但第二天登进网页查看登录历史时，赫然发现来自另一个城市的登录记录仍然存在。明明我已经改了密码，为什么还能有人登上来？这个困惑推动我深入了解Steam安全机制的真实面貌。
令牌：修改密码后依然有效的“暗门”
经过几天的资料查找和亲身体验，我发现问题的关键出在Steam的令牌机制上。当你第一次在电脑上登录并选择记住登录状态时，本地会生成一个加密的令牌文件。这个令牌有时效，也有相当的权限。即便你后来更换了密码，只要这个令牌还在有效期内，它依然可以替你完成登录。我曾做过测试：在自己的笔记本上勾选记住密码，然后修改网页端密码，结果笔记本上的Steam客户端依然能正常启动，甚至能浏览商店与好友聊天。只有在需要交易或进行敏感操作时，它才会要求输入新密码。这让我意识到，修改密码并不等于立即关闭所有访问入口。
令牌的时效与范围
我查阅了Steam官方的相关文档（当然没有公开太多细节），发现令牌分为短期和长期，长期令牌的有效期可能长达数年。这就意味着，如果你曾经在某台不安全的电脑上登录过，即使事后改密码，那个令牌依然可能在很长一段时间内成为安全隐患。特别是在网吧或公用电脑上的登录，风险极大。我自己就因为一次在网吧登录后没有及时撤销授权，导致几个月后那个令牌仍然能用。
家庭共享与离线模式：意想不到的延续
除了令牌，家庭共享功能也让修改密码的效果大打折扣。我仔细检查后才发现，之前授权给朋友的游戏库共享，在密码修改后依旧运作。朋友告诉我他还能玩我的《艾尔登法环》——这当然是我主动分享的，但假如是恶意分享呢？同样，离线模式更是一个经典的“后门”。只要某台电脑曾用我的账号登录过，并缓存了游戏，它就能直接离线启动那些游戏，完全不验证密码。修改密码后，情况依然不变。这些设计原本是为了便利，可在某些情形下却成了隐患。
一次彻底的清理行动
知道这些问题后，我立刻采取了行动。我登录Steam账户管理页面，仔细查看了所有已授权的设备，并逐一移除了那些我不再使用或不认识的设备。接着，我在家庭共享列表中撤销了所有共享授权，然后重新添加了真正值得信任的朋友。最重要的是，我强制绑定了Steam手机令牌——这是在密码之外增加的一层关键防护。手机令牌不仅在每次登录时要求动态验证码，还可以在外人尝试登录时直接拦截。我还养成了一个习惯：每次在公共电脑登录后，立刻在手机端移除该设备的授权，不让任何令牌留存。
那次检查授权清单时，我意外发现了一个几年前授权但从未移除的设备——那是一个我已忘记的旧电脑。我一惊，赶紧把它移除。从那天起，我养成了定期清理授权历史的习惯，每次用完公用电脑后都第一时间撤销授权。这些琐事虽然繁琐，但比起账号被盗的风险，我觉得值了。
