太长不看版：
1、绑定Steam手机令牌（五位随机码），这是基础中的基础
2、Steam社区市场是最安全的官方交易场所
3、陌生人加Steam好友要警惕，若提出想要购买你的饰品并向你发送不明链接，不要点击，直接拉黑删好友
4、不要使用Steam账号登录任何可疑的网站，若已登录请立即修改密码、取消设备授权、注销API Key并更新交易URL
5、不要信任所谓的“大商”、“中介”，再次重申本吧吧务组不支持、不承认、不推荐任何所谓的“中介”
6、拒绝任何形式的“先钱”、“先货”交易，如今最不值钱的就是信用
7、使用第三方平台交易时严格按照平台指定的步骤进行操作
8、最重要的，不贪小便宜

正片：
首先来解释几个名词
1、API Key
这是Steam免费提供的一种接口，对于饰品相关来说，通过API可以查询你的交易报价内容（交易物品、留言等）以及【取消】和【拒绝】交易报价（记住通过API无法主动【发起】报价），API劫持诈骗核心之一

手机新版steam

ps如果不需要uu加速器，尽量直挂，不然会要求你在网页上再登录一次

迟了，已经被盗了

2、手机令牌
Steam手机令牌是Steam手机应用（App Store及各大应用市场可下载）最重要的一项功能，它是保护账号安全的最终防护手段，没有令牌你买卖饰品将会受到很大限制，比如交易暂挂。注意令牌不是绑定手机、下载手机应用就开启了的，要自己在手机应用里手动开启令牌功能。
上一楼就有开启令牌
3、交易URL
有人会问，既然通过API不能主动发起报价，非好友之间也无法直接发起报价，那骗子小号是如何向自己发送报价的呢？这就要提到交易URL了。Steam的机制规定非好友之间无法直接发起报价，但是通过特定的交易URL，他人就可以在尚未添加好友的情况下向你发送报价，API劫持诈骗核心之一

手机新版查看方式

4、确认
保护库存安全的最终防护手段。你在Steam市场出售、发起己方有物品的交易报价（若己方没有东西不需要确认），都需要在Steam手机应用侧边栏的“确认”一项里进行最终确认，防止库存被恶意盗取。确认功能只能在绑定了令牌的手机上使用，即使骗子盗了你的号，确认仍要号主本人进行，换句话说，自己是否被骗取决于【你自己】【但是如果骗子劫持了你的账号，可以通过steam市场出售你的饰品，1美元以下可以不需确定】

常见骗术介绍：
1、【API劫持】
这是目前最为常见的骗术之一。顾名思义，API Key被骗子恶意劫持，通常是由于玩家使用Steam账号登录了钓鱼网站造成的。此时你的账号、API以及交易URL全在骗子手上，等的就是你用手机进行确认的那一步。若API Key被劫持，骗子就可获取你的交易信息，别人向你发起报价，骗子通过被劫持的API在一瞬间拒绝掉真正的报价，并通过小号换上对方的昵称、头像，向你发送伪造的假报价，在确认阶段稍微不注意核实就接受了假报价，导致被骗
P.S. 理论上来讲，点击钓鱼网站链接但不登录是不会有事的，除非你手贱去登录。但保不齐哪天骗术又升级了，所以只是点击链接也请视为API已被劫持
行骗过程：
1、骗子添加好友，声称想要购买你的某一件饰品（理由很多，包括但不限于：你中奖了，快去XX领奖、跟你组队打游戏、新网站送你XX余额等等）2、骗子声称可以走第三方交易平台，但要求你先去“检查物品参数是否为他想要”，向你发送不明链接3、点击钓鱼网站并登录后Steam账号被盗取，API和交易URL因此泄露，此后通过报价进行交易就会被骗
4、【①交易对象向你发送正常报价，②此时你的账号除了令牌、确认都在骗子手上，骗子拒绝掉，③同时用小号伪装成交易对象（如头像、昵称）向你发送一个一模一样的假报价】
5、【或①你向交易对象发送正常报价，②此时你的账号除了令牌、确认都在骗子手上，不等你确认，骗子立马取消掉你发送的原报价，并用你的账号向骗子的高仿号发起假报价】
5、确认时不认真核对对方信息，接受了假报价，饰品被骗
或：
在个人主页留言板下留下信息，声称想要购买你的某一件饰品（理由很多，包括但不限于：你中奖了，快去XX领奖、跟你组队打游戏、新网站送你XX余额等等），附带不明链接

API劫持变种：
部分玩家会遇到以下情况：自己的头像变为VAC、好友被清空，“Steam客服”声称立即将被VAC封禁，但给你时间“转移有价值的库存”，急忙转移库存却发现饰品不翼而飞。此种骗术主动引诱你进行交易，而这时你的账号几乎就是被骗子控制，并在交易时下手补救措施：
更改账号密码、取消设备授权、注销API、更新交易URL，在完成上述要求前不要进行任何交易行为

如何判断自己遭到API劫持？
1、向他人发送报价怎么都发不出去，均显示已取消
2、上面说过，通过API可以拒绝掉真正的交易报价，那么就在交易时查看报价历史里是否有被非本人取消/拒绝掉的报价，若有，那么你的账号就遭到了API劫持。你可以找一位好友试着向你发起报价（发起前请确保好友自己没被API劫持），如果你在报价历史发现了不是被自己拒绝的原报价，那么你已经遭到了API劫持（警告：部分API劫持会忽略掉价值低的报价，可能测试不出来，真正交易时则凶相毕露）
3、骗子可以模仿真正交易对象的昵称、头像甚至Steam等级，但有一点是几乎不可能模仿的：Steam注册时间（除非骗子为了钓你这条大鱼特意找了个注册时间相同的账号）。在第三方平台交易时平台会提醒你真正交易对象的注册时间，发起/接受报价时也能看到对方的注册时间，若两者不一致，这说明很有可能已经遭受API劫持，请立即中止交易。

差不多这些了，还有一些Dota老哥也用不上，再讲讲网易buff平台

网易buff是，网易和v社合作搞定第三方饰品交易平台，很多饰品在buff上买比steam平台更便宜，比如大圣至宝就便宜了将近55块，英雄澎湃游戏里卖35，buff只要3块钱不到