Steam 交易链接到底能不能发给别人？

第一次在第三方交易网站看到“请填写 Steam 交易链接”时，我的手停了下来。

会不会只凭这一个链接，就能把我库存里的物品全拿走？我是不是等于把账号权限整个交给了这个网站？地址后面还跟着一串看不懂的数字和 token。它和我平时见到的个人资料链接长得也不一样。没有任何解释就复制粘贴，实在让人心里没底。

网站给出的说明通常很短：这是用来发送交易报价的地址。可一个第一次见的网站亲口告诉我它很安全，这句话到底能证明多少？我正是因为不知道能不能信它才来到这里，结果第一步还是要先相信它自己的解释。

能亲手做的验证也没多少。

要么先拿不重要的物品或小金额试一次，要么就直接相信它继续操作。说到底，选择差不多只有这两种。第一次交易顺利结束后，才会觉得“至少这里确实能用”。明知一笔小额交易证明不了整个平台，普通人能做的也往往只有这些。

后来我甚至想过：

如果真有人要把我的物品全部弄走，与其只拿着一条交易链接，直接盗走 Steam 账号不是更快吗？可那时的我连交易链接能做什么都不知道。因为不懂，没法比较；因为没法比较，这条长地址看起来就像账号的钥匙。

现在，我已经不会再用当时的眼光看这条链接了。但我也不想说“完全没有风险，放心分享就好”。交易链接不是密码，和可以随便交给任何网站，是两回事。

我也不准备先定下“它很安全”的结论，再想办法说服读者。先看看这条地址究竟能把门打开到哪一步。边界看清了，哪些事不必害怕、到了什么情况必须停手，也就会明白得多。

第一次看到它时，我以为这不是链接，而是一份授权#

真正让人不安的，不是地址，而是没人把边界讲清楚

对于第一次看到交易 URL 的人来说，partner、token这样的词没有任何实际含义。开发者或交易经验丰富的人或许很熟悉，但在我眼里，它们更像是进入账号内部所需的秘密参数。

更何况，索要这些参数的是 Steam 之外的网站。把从 Steam 里复制出来的地址填进第三方服务，仅仅这一步就像跨过了一条心理界线。它看起来不像告诉别人昵称或公开个人资料，反而像是在允许网站做某件事。再说得直白一点，像是在转交权限。

我不觉得这种反应是过度敏感。即使 Steam 用了很多年，如果只是买游戏、玩游戏，也可能从没接触过交易 URL。没有人教过这条地址由什么组成，在把一个自己不懂的值交给外部服务时感到不安，才是很自然的反应。

为了消除顾虑去搜索，常会看到一句很短的回答：“它只是一条交易链接，没关系。”这话也许没错，但我真正想知道的不是这条地址叫什么。

拿到这条链接的人，究竟能做到哪一步？

他能不能在没有我允许的情况下接受报价？能不能登录我的账号？能不能随意从库存里拿走物品？我把链接填进网站后，即使交易已经结束，网站还能不能继续做些什么？

这些问题一个都没消失，只给出“安全”这个结论，几乎无法让人安心。那时我需要的不是一句“别担心”，而是这条地址能力的边界。

它打开的门，只到“发送交易报价”为止#

Steam 交易 URL 通常长这样：

https://steamcommunity.com/tradeoffer/new/?partner=123456789&token=ABCDEFGH

第一眼看上去很复杂，拆开以后真正需要留意的地方并不多：真实的 Steam Community 域名 steamcommunity.com、用于打开新交易报价的路径 /tradeoffer/new/、指向对方账号的 partner，以及让非好友也能发送报价的 token。

根据 Steam 对 Trade Offers 的官方说明，拿到专属交易 URL 的人即使不在好友列表里，也可以向该账号发送交易报价。省去了每次先加好友的步骤，因此在物品交易里，它更像一个专用的联系地址。

交易 URL 本身直接能做的事，到这里就结束了。

发送报价和批准交易，完全不是一回事

只凭交易 URL 不能登录 Steam 账号，不能得知密码，也不能代收 Steam Guard 验证码。它同样没有修改账号设置、替账号主人批准已收到交易报价的权限。

知道这条地址，也不会让库存里的物品自动转走。对方可以制作报价，但要把哪些物品交给谁，仍然要在 Steam 内再次核对。需要手机确认的交易，还会保留单独的确认步骤。

明白这点以后，我才确定交易 URL 并不是一份转让账号权限的授权书。与其说它是账号钥匙，不如说它是接收交易报价的地址。知道住址的人可以把东西送到门口，却不能因此直接进屋。

当然，这不等于可以把链接随手贴到各个公开论坛。拿到链接的人也能发送你不想要的报价或垃圾报价。如果不知道某个网站会保存地址多久，交易结束后，这个接点也可能继续存在。

它不是和登录信息同等敏感的秘密密钥。但也没有理由不分场合，把它交给需要或不需要的任何人。这才更接近交易 URL 的实际位置。

“本站安全”这几个字，什么也证明不了#

判断第三方交易网站时，最麻烦的是证据来源。用户想先看到依据再决定是否相信，可页面上的依据几乎都由网站自己提供。安全承诺、交易计数和徽章都能做得很有说服力，访客却未必能独立核实。评论本身也不能替用户下结论。

我当时能想到的现实选择只有两个：拿小额试一次，或者相信运营者。这里说的是一种可能的应对办法，并不是我已经完成过、可以拿来作证的测试交易。

小额测试仍然是在承担风险，不是审计

如果有人选择用一件损失得起的物品测试，至少可以把收到的报价与网站说明逐项对照，包括机器人账号、物品和条件。即使全部吻合，也只说明那一笔交易在那个时刻正常运作。网站内部怎样管理、怎样处理资料、下一次报价会怎样，仍未得到验证。

对用户来说，这个顺序并不合理。服务没有提前给出足够证据，访客只好用自己的物品补上缺口。

陌生运营者不可能在第一笔交易前消除所有疑虑，但可以先公开交易账号、进度、库存、定价规则和限制。SteamVaults发布实用工具，也有这方面的考虑。工具能帮助用户了解我们的运作方式，却不是对今后每一笔交易的安全保证。

地址里出现 Steam，不代表它就是 Steam 链接#

收到交易 URL 后，第一件该看的事是真实域名。

地址的某个位置出现 steamcommunity.com，不等于它就是 Steam 链接。比如下面这个地址：

https://steamcommunity.com.example.com/tradeoffer/new/

只扫一眼开头会觉得很像 Steam，但真正的域名是 example.com。有人会把 Steam 字样放在地址前部或路径中，再做一个外观相似的登录页面。赶时间点进来的人，很容易忽略其中的差别。

正常的交易 URL，真实主机名应该是 steamcommunity.com。要在地址栏里确认拼写有没有被悄悄改动，后面是否还接着完全不同的域名。如果打开的是短链接，或经过多次跳转，与其看最初那条地址，不如看最终到达的页面地址。

有时我们贴的是个人资料 URL，却以为那就是交易链接

Steam 个人资料地址大多长这样：

• https://steamcommunity.com/id/example
• https://steamcommunity.com/profiles/7656119...

两者都是正常的 Steam 地址，但都不是交易 URL。展示个人资料的地址里，没有让非好友发送交易报价所需的 token。把个人资料地址贴进第三方网站却没有反应时，先别急着认定网站坏了，应该先确认自己复制的地址类型。

复制时，链接尾部也可能被截断。比如聊天软件只显示了缩略地址，或只选中了屏幕上可见的一段，导致 token 没被复制进去。也可能已经生成了新 URL，却还在使用旧链接。

检查格式时，看四个地方就够了：

• 真实域名是不是 steamcommunity.com
• 路径里有没有 /tradeoffer/new/
• 有没有 partner 参数
• token 是否缺失或被截断

四项全部正确，也不代表交易一定能成功。链接格式正确，与账号或物品当前是否可以交易，是不同的问题。物品锁定、Steam Guard 状态、交易暂挂等条件，无法只从地址的外观判断。

真正的事故，往往发生在交易链接之后#

需要再看一遍的，不是链接，而是按下确认的那一刻

仅仅分享链接，物品不会凭空消失。那真实的事故通常发生在哪里？

事情大多不是一条 URL 就能讲完的。可能是在假 Steam 登录页输入了账号信息，安装了来历不明的程序或浏览器扩展，也可能是账号或电脑早已被入侵。还有一种情况，是没有仔细阅读对方发来的报价就直接批准。

Steam 的交易建议提醒用户，不要被催促交易的人牵着走，要亲自核对对方账号和物品。Steam 关于交易重定向诈骗的官方说明也强调，应再次确认手机验证页面显示的交易对象和交易内容。名字和头像看着熟悉，并不能证明那就是同一个账号。

事后说一句“为什么不认真检查”很容易。可假登录页面和冒充账号，本来就是为了让人仓促判断而设计的。对方会催促你，仿佛马上就要错过一笔大收益；也会吓唬你，说不立刻操作账号就会受罚。它们的目的，就是让人在几分钟内做出平时明明会觉得可疑的操作。

所以，与其泛泛地说“请注意安全”，不如清楚记住该在哪些时刻停下来。

第三方网站的输入框是否在索要 Steam 密码或 Steam Guard 验证码？对方是否要求安装来源不明的程序或扩展？准备在手机应用里批准的报价，其对方账号、物品和数量，是否与最初看到的一致？你核对的是刚才聊天对象的头像，还是实际的 Steam 个人资料与 SteamID？

只要其中任何一项不对，就没有理由赶时间。

交易 URL 让交易的开头更方便，但不会替你完成最后的判断。物品真正移动之前，仍要在 Steam 内再核对一次。越有人催着尽快确认，越应该放慢速度。

让人不放心的旧地址，没必要一直留着#

重新生成 URL，是切断旧接点最简单的办法

如果以前用过的网站现在让你不再放心，或曾把交易 URL 发到公开场合，可以在 Steam 里生成一条新地址。

在 Steam 交易报价隐私设置页面生成新 URL 后，旧地址就会失效。如果不想再通过曾经发出去的链接接收报价，这是最直接的清理方法。若还有需要继续使用新地址的服务，也要记得更新该服务里登记的链接。

不过，如果曾在可疑的 Steam 登录页输入密码，看到不是自己创建的交易，或发现陌生设备连接到账号，只换 URL 并不能解决问题。这时应该检查整个账号的安全状态，包括密码、Steam Guard、已登录设备、Steam Web API 密钥和交易记录。

交易 URL 被人知道，与账号已经遭到入侵，不是同一件事。把两者区分开，既不会因为一条 URL 过度恐慌，也不会轻易放过真正的入侵迹象。

正因为信任很难靠嘴说明，我们才先把工具做了起来#

SteamVaults 做出来以后，同样的问题依旧存在。

不管我们说多少遍“安全”，第一次来到这里的人也不会自动获得相信这句话的理由。把“安全”“值得信赖”做成醒目的文案很容易，任何网站都能这么写。

口头上说信任很重要，和真正把可信之处展示出来，是两件不同的事。后者难得多。

所以，我们开始做一些即使不交易也能先用的工具。比如检查 Steam 链接与交易 URL 的真实主机名、判断格式是否正确的分析器；从公开库存中查看物品能否交易及锁定日期的工具；还有分别了解交易暂挂条件和 Steam 市场手续费的页面。

一个 URL 检查器不能证明 SteamVaults 的全部。工具运行正常，也不意味着整个交易运营过程的每一环都得到了验证。但至少，用户可以从一无所知、只能听我们说“请相信”再往前走一步。

不交易，直接离开，也完全可以

有人把一条地址填进 Steam 链接与交易 URL 分析器，看完结果就离开网站，也没关系。查过交易暂挂期限以后，决定这次先不移动物品，也可以。算完手续费，再选择别的方法，同样可以。

做到这些，就已经够了。

如果所有工具最终都必须把人推向“交易”按钮，那它仍然只是销售流程的一部分。工具应该对不准备交易的人也有用，这样用户不用先拿自己的物品冒险，就能检查网站给出的结果。

信任不会立刻出现。不过，至少可以摆脱“小额测试是唯一验证方法”的处境。相信我们的话之前，完全可以先怀疑工具的结果。拿它和其他结果亲自比较，判断是否合理，然后离开。

我认为，这个顺序更好。

检查器一旦越界，反而会变得更危险#

我们先把它能检查的范围限定清楚

SteamVaults 的交易 URL 分析器会检查输入地址的真实主机名和路径。对于交易 URL，它还会查看有没有 partner 与 token，参数是否被截断、格式是否错误，以及能否计算出对应的 SteamID64。如果误贴了个人资料地址，或链接来自仿冒 Steam 的其他域名，它也会把差别指出来。

用于检查的链接只在浏览器内处理。我们没有因为要分析地址，就把 URL 发到服务器、保存下来或写入分析日志。既然用户认为这类信息敏感，检查它的过程就不该再制造一个新的暴露点。

与此同时，它做不到的事也很明确。

这个工具无法判断网站运营者的意图。骗子也可能使用格式完全正确的交易 URL。链接正常，不等于对方账号值得信任。一个 URL 也无法告诉你账号全部的交易限制、Steam Guard 状态，以及接下来会收到怎样的报价。

检查器查的是链接，不是整个账号，更不可能看透交易对象在想什么。

如果越过这条线去承诺，检查器反而会制造危险，因为它会让人相信工具能做到实际上做不到的事。把链接能够读出的信息准确呈现出来，同时告诉用户其余判断该从哪里继续，才更合适。

比起问“要不要分享”，更重要的是看懂以后自己决定#

最后的控制权仍然属于账号主人

如果问我 Steam 交易 URL 能不能分享，我的答案更接近有条件的“可以”。

需要向你发送交易报价的服务或交易对象，可以拿到这条地址。它不是 Steam 密码，交出链接也不等于转交账号权限。对方只能提出交易，不能凭这一条地址替账号主人批准报价，也不能自行从库存中取走物品。

但它也不是适合随便贴到任何地方的地址。弄清楚自己把它填进了什么网站、真实域名是什么、交易结束后网站是否继续保存它，都是合理的谨慎。如果不想再分享，还可以生成新的 URL。

最初的我并不知道这些边界。所以链接看起来就像权限，我也觉得除了拿小额测试或直接相信，根本没有别的选择。直到现在，我也不会要求第一次来到这里的人无条件信任。信任不会因为运营者亲口宣布就自动产生。

因此，我们把交易前能由用户亲自核对的内容一点点增加，也会同时说明工具触及不到的界线。有人只用过检查器，没有交易就离开，我并不认为这是失败。

只要他看懂了一条链接究竟意味着什么，并知道下一笔交易该检查哪些地方，就已经足够。

至少以后再粘贴地址时，不必再觉得自己正在交出一份来历不明的授权。

SteamVaults 并非由 Valve 运营，也不是经 Valve 官方批准的 Steam 服务。SteamVaults 是独立第三方服务，链接分析结果只说明可以从 URL 中读取的技术信号，不对任何特定交易对象或第三方网站的可信度作出保证。