必须在夸克浏览器中切断钓鱼网站窃取通讯录的权限链路与行为触发条件：安卓/ios端关闭通讯录权限、启用网页智能保护严格模式、禁用高危web api、手动添加钓鱼域名黑名单、清除残留脚本与缓存数据。
钓鱼网站通过伪造银行、政务或快递登录页诱导你输入手机号，再利用浏览器漏洞或恶意脚本静默调用通讯录API，导致手机通讯录被批量上传至境外服务器——必须在夸克浏览器中切断其权限链路与行为触发条件。
关闭网页对通讯录的全部访问权限
夸克浏览器默认不直接索取通讯录权限，但部分钓鱼网站会通过WebView桥接、WebRTC设备枚举或Service Worker后台驻留等方式间接获取联系人数据。需从系统层彻底阻断该能力入口。
安卓端：进入手机【设置】→【应用管理】→找到【夸克浏览器】→点击【权限管理】→将【读取通讯录】权限设为【拒绝】或【询问每次】。若选项为灰色不可改，说明该权限已被系统级策略锁定，需先关闭“智能权限推荐”开关再重试。
iOS端：进入【设置】→【隐私与安全性】→【通讯录】→向下滑动找到【夸克浏览器】→关闭开关。【此操作立即生效，且不会影响浏览器其他功能】
启用网页智能保护严格模式
该模式可识别并拦截伪装成短信链接、二维码跳转或微信内嵌页的钓鱼页面，在DOM加载前终止其JS执行链，防止通讯录API被调用。
第一步：打开夸克→右下角【三】→【设置】→【搜索与浏览】→【网页智能保护】。
第二步：开启【风险网站拦截】和【拦截网页随意跳转】，并将【防护强度】拖至最右端“严格”档位。
第三步：手动勾选【欺骗性网站警告】与【验证网页资源签名】——后者能检测页面是否被注入伪造的navigator.contacts.getContacts()调用代码，未开启则无法识别新型通讯录窃取脚本。
禁用高危Web API与脚本行为
钓鱼网站常依赖navigator.contacts、ContactsManager、Web Share API等接口发起通讯录读取请求，夸克虽未原生支持全部接口，但可通过关闭底层能力来封堵绕过路径。
方法一：关闭JavaScript高级权限
在 Linux 上通过 Chrome 挂载/VNC 自动发布小红书长笔记。Agent 撰写标题和正文后执行 xhs_publish.sh --publish --submit，触发小红书发布。
进入【设置】→【隐私与安全】→【网站权限管理】→点击【更多权限】→找到【联系人】→设为【阻止】；再返回上一级，将【JavaScript】开关暂时关闭（仅临时用于高危场景排查）。
方法二：启用实时脚本行为熔断
在【设置】→【隐私与安全】→【安全网站检测】中开启主开关，并确保【拦截可疑重定向】与【禁用危险DOM操作】已启用。【该组合可即时中断document.write('<script>...navigator.contacts...</script>')类注入行为】
手动添加已知钓鱼域名至黑名单
当某类仿冒快递单号查询页、虚假中奖通知页反复出现并尝试调用通讯录时，人工加入黑名单可实现毫秒级拦截，避免任何脚本加载机会。
进入【设置】→【网站】→【黑名单】→点击【+】→输入完整域名，例如：zhongjiang-query[.]online、kuaidi-verify[.]xyz、sms-login[.]top。
注意：不要输入http://或www.前缀，只填二级域名+顶级域；多个域名换行分隔，保存后立即生效。
清除潜在残留脚本与缓存数据
某些钓鱼页面会在本地存储恶意Service Worker或IndexedDB数据，即使关闭网页仍可在后台持续尝试调用通讯录。
打开夸克→右下角【三】→【我的】→左上角齿轮图标→【设置】→【隐私设置】→【清除浏览数据】→勾选【缓存文件和图片】、【Cookie及其他网站数据】、【网站设置】、【Service Worker】四项→点击【清除】。
【清除后需重新登录常用网站，但可彻底销毁潜伏型通讯录窃取脚本】
