沉浸式翻译强制收集所有用户的 token 令牌，这合理吗？

[ThinkStu]

起因是无意中看到「沉浸式翻译」中有这么一个云服务同步功能，但是并没有提供开关选项：


然后抓包发现，沉浸式翻译强制会收集所有用户大模型服务和翻译服务的 token ，同步至他们的服务器，我的所有 token 都被收集了。
具体 api 网址为： https://api2.immersivetranslate.com/v1/user/settings




个人理解，虽然沉浸式翻译提供了许多免费功能，但本质上是一款商业软件。用户的 token 作为一项很隐私的数据，未经允许就会全部上传至自己的服务器，存在滥用以及被盗用的风险。这合理吗？

[ThinkStu]

@x86 #19 我理解是，如果用户同意，那么可以收集。如果用户不同意，你不应该在毫不知情的情况下将用户的所有 token 上传至服务器

[drymonfidelia]

@x86 不是说不能同步，关键是“未经同意”

[cat9life]

@0o0O0o0O0o #6 好评

[jspatrick]

同步一样有很多方案的，类似的通过 gist 或者 webdav 也能完成同步，还不会涉及隐私问题

[xmumiffy]

@zhaotianxionkm 加盐是什么鬼

[HUZHUANGZHUANG]

@ThinkStu #17 我想表达的是：
1 、DEEPL 免费容量 KEY 在淘宝上很便宜（ 10 元左右），每月 50 万字符的免费额度，基本够用，即便 key 被盗用，可以让你的损失没有那么大。
2 、OPAI KEY 我也在用，先进的模型调用一次我觉得还是比较贵的。所以 DEEPL 免费容量 KEY 作为替换，无论成本还是损失上都可以接受。
3 、他们这个插件的这些操作是你可以控制的吗？不能控制的事情，纠结起来也没有意义，只能改变自己来降低风险。
4 、你说了“目前来看，只要登录了就会同步” ，所以放弃登陆，然后删除之前的 OPEN AI KEY.基本就避免可 key 被盗用问题对吧？
5 、DEEPL 是做专注于翻译的，说是世界上最准的翻译工具。翻译功底上定比 OPEN AI 翻译来好一些。因为术业有专攻嘛

[zhaotianxionkm]

@xmumiffy 考虑错了，密码应该加盐，秘钥不用。

[body007]

@xmumiffy 它这个功能是多端同步，那么可以在客户端加密传到服务器，用户指定加密密码，这样服务端无法解密，这才是让用户可信的操作。

[justsomac]

@HUZHUANGZHUANG #26 你回复的都对，但对 OP 来说是牛头不对马嘴

[BeijingBaby]

pcdn 模式？

[HUZHUANGZHUANG]

@justsomac #29 嗯，我更想表达的是：你控制不了的事情，讨论起来也没有意义。只能改变自己。

[EyebrowsWhite]

作为一个商业产品来说，真的太粗糙了

[iold]

已经切换到 cici ，翻译，总结，搜索

[yangzzzzzz]

mac 一直用 bob

[raptor]

这软件出的问题真不是一般的多啊……隔三叉五就看到曝料这个问题那个问题，而且也不止是在 V 站看到，反正我是不敢用。

[lambdaq]

不是哥们，这功能的作用是「在不同设备之间同步配置」，你的 token 还要不要同步呢？

[Fooooo0]

@lambdaq 隐私信息要不要同步，要先询问，经过用户同意。而且隐私信息同步没做任何安全防护。

[Creamliu]

@0o0O0o0O0o #6 两周前看推上有人推荐就转这个了，这个还开源。

[lambdaq]

@Fooooo0 默认同步当然是不对的。无论是不是隐私，同步都应该是 opt-in 。

[iyiluo]

不通知用户，这在欧盟那边犯法了吧？现在网站使用 cookie 都要弹个窗，使用秘钥肯定也要先通知