Tampermonkey 的火爆和便利带来的问题也不少

对于大部分人来说，很少人能对自己安装的用户脚本进行代码审查。

我在 greasyfork 上看到有不少人劫持某宝、某猫、某东进行佣金返利的脚本，除非看一遍代码或者看一遍脚本开头的脚本元属性值不然很少人会意识到这个问题

对于一些在 greasyfork 上安装了带有恶意行为的脚本，如果脚本被 greasyfork 官方删除了，Tampermonkey 会不会将脚本关闭使用或者删除

因为我还没法测试，所以这条是存疑的，如果即使带有恶意行为的脚本被官方删除但本地的 Tampermonkey 不会进行任何操作岂不是对用户来说是灾难，让已经在运行的带有恶意行为的脚本永远运行下去（除非用户主动关闭或删除）

一次编写，到处可见

我在 greasyfork 上看到有很多的代码都是写好的脚本 A，然后在脚本 B 甚至脚本 CDEFG 都能看到一模一样的代码，作者、脚本名、更新日期都不一样，但脚本内容基本一致，虽然 greasyfork 官方提供未授权的举报功能，但管理员太少和只能靠用户举报导致盗脚本十分泛滥

提供脚本安装的网站管理员太少，导致很多有问题的脚本和用户没办法得到及时的处理

这毕竟是义务的工作，有问题的脚本太多，而管理员又太少，看了下 greasyfork 的管理日志，活跃的管理员只有两个，估计还是义务劳动，只能利用空闲的时间，这又导致了许多有问题的脚本和用户没办法得到及时的处理。

脚本作者滥用“脚本排序”功能

很多人安装脚本都会使用“脚本排序”功能来选择作者最近更新的脚本，这样脚本的可利用率会大大增加。

但我在 greasyfork 上发现，有这么几个脚本的更新日志是仅仅更新一个脚本描述甚至仅仅更新一串注释，注释内容为不定长度的#号，只要在“脚本应用的网站”以“更新日期”排序时不居于首位，便直接更新一串注释，加一个#号或者减一个#号，使脚本在“更新日期”排序永远居于首位以扩大脚本的安装量。

我观察了一个脚本连续 140 多个历史版本都是这么修改的....而且貌似效果很不错，脚本每日安装量几千，总安装量几十万，真是个宽广的流量池啊，几十万个用户如果都能变现或者导流到公众号之类的地方可值不少钱

脚本借尸还魂的现象太多了

内容都不怎么变，有恶意行为的依旧有，就是改个名字，换个作者，重新注册个号，直接重生

noe132

2021-04-29 19:05:54 +08:00

Tampermonkey 和 greasyfork 不是所谓的官方关系。能安装脚本的不止 tampermonkey，还有 greasemonkey，voilentmonkey 。
分发脚本的不只是 greasyfork，greasyfork 前身 userscript.org ，直接通过项目的 github release，甚至是直接复制某一段代码。

你把 greasyfork 看成一个 ugc 论坛，安装相当于把脚本下载下来了。论坛删帖了，你下载的内容别人是不可能帮你删掉的。
有恶意脚本，有抄袭是，管理员不活跃，是 greasyfork 社区运营的问题。有人 abuse，你能做的只有举报，或者你能参与到社区的维护，或者你能做一个更好的 greasyfork 去竞争。

muzuiget

2021-04-29 21:54:42 +08:00

油猴扩展本质就是自建应用商店，就跟微信申请一大堆权限，然后自建小程序功能，自搞应用中心，本身就是为了绕过 Chrome Store 的一堆审核和安全机制，既然都用油猴，还担心什么安全。

虽然 Chrome Store 也是迷之审核的，一样有一大堆垃圾扩展上架，然后一大堆扩展下架。比如编辑我的扩展描述，列出了我的扩展支持的网站名，结果某次加了一个网站后，给打下来，说列出太多网站名，有故意堆切关键字的提高搜索命中率的行为，要求最多 5 个。而很多扩展，描述里洋洋洒洒几千字，连更新日志都贴上去，一样通过。说白了你写得认真，审核的人就跟你较真，写得越多越乱，审核的人就太长不看了。