授权页面上那一行小字决定了对方能拿到什么：只有昵称头像，还是包括邮箱、通讯录、云盘文件。同一句「使用某账号登录」，权限可能完全不同。
「使用某账号登录」已经是最常见的注册方式。它省掉了记密码的麻烦，代价是把你的一部分信息交给了另一个服务。到底交了什么，取决于授权时那几行小字。
四个权限等级
**第一级：基础身份**。昵称、头像、一个唯一标识。这一级基本没有额外暴露，对方拿不到你的邮箱和手机号，也不知道你在别处做了什么。
**第二级：联系方式**。加上邮箱或手机号。这意味着对方可以给你发营销邮件、可以做跨站识别，也可能把你的联系方式存进它的用户库。
**第三级：社交关系**。好友列表、关注列表、所在群组。这一级的信息价值远高于前两级，因为它暴露的是关系网络，不只是你自己。
**第四级：数据访问**。读写云盘、读取邮件、访问日程、代表你发消息。这一级已经不是「登录」，是「把账号的一部分控制权交出去」。
绝大多数登录只需要第一级。看到第三、第四级的授权请求，先问一句：这个功能真的需要吗？
授权页要看的地方
点「同意」之前，页面通常会列出请求的权限。多数人直接滑过去点同意。至少看三处：请求了哪些权限、是「仅本次」还是「长期」、以及授权后能不能在别处撤销。
怎么查已经授权了什么
主流账号体系都有「第三方应用」或「已授权应用」的管理页，能看到列表和授权时间。建议每季度看一次，重点处理三类：
- 一年没用过的应用 - 权限明显超出用途的应用（比如一个壁纸站要读云盘） - 名字看起来像官方、实际不是的应用
撤销权限的实际效果
撤销授权通常能阻止对方继续用你的账号登录，但不一定删除它已经拿到的数据。也就是说，撤销是止损，不是回滚。
更彻底的做法是两步：先撤销授权，再单独去那个服务里删账号。删账号这一步经常被忽略，因为入口藏在设置深处。
一个实用原则
能给最小权限就给最小权限。只让填邮箱的站，不要用社交账号登录；只需要昵称的授权，不要同意读取通讯录。这条原则的成本很低——多填一个邮箱——但能省掉后面很多解释不清的暴露。