知乎“分享”功能可能正危及你的隐私

[orzfly]

原文： https://zhuanlan.zhihu.com/p/36235128

概述：在知乎最新 Android 版本 5.15.1(658) 下，若你使用「分享到 QQ 」功能分享任意知乎站内链接到任意 QQ 接收者，你可能正在泄漏自己的知乎帐号到 QQ 平台。分享链接中，utm_member 字段经过 base64 解码后的 hex 字符串是用户的唯一识别码。通过这个识别码，可以直接打开用户资料页，从而知晓这个分享链接是哪位用户发送的。

如果你不太明白这有什么问题，或是不明白这是什么意思，请看原文的说明与分析。

[orangeade]

啧啧，之前加 utm source utm media 就知道迟早要这么干

[sobigfish]

想起过年时的银联云闪付 app 更是直接一堆人暴露手机号 不是更恐怖

[airyland]

貌似 [即刻] 也是，分享到 QQ 时观察过 URL 格式，貌似连 base64 都不做了，下面的 userid 在 web 版验证过确认是用户 id。

https://m.okjike.com/officialMessages/{{messageid}}?username={{userid}}&utm_source=qq

点击后会跳转到无参数地址，但是已经直接泄露了。

[billlee]

我一般都是选择分享到 chrome, 然后复制链接到目标应用里面再分享的

[caijunyi]

知乎变味了！！！
越来越商业化了！

[flowfire]

卸载好几个月了

[logOo]

日常要完

[maxlino]

似乎网易云也是

[ctsed]

@airyland #3 #3 页面上显示的是 xxx 给你分享了 xxx，xxx 关注了 xxx

[580a388da131]

强迫症每次分享链接都要清理到最干净
淘宝商品链接要清理掉除 id 以外的所有参数
一直以为我没救了 原来还能拯救我的隐私。。。

[gobomb]

网易云音乐和 qq 音乐也是

[des]

@580a388da131 算我一个，强迫症

[honeycomb]

这种就是链接之后的小尾巴，如果有人在 V2 发带小尾巴的链接而不作说明请及时指出

[justfun]

跨平台追踪

[iwtbauh]

所以，我们就可以随意伪造这个字段把锅扣别人头上喽，别人也可以随意伪造这个字段把锅扣我头上喽

[artoostark]

那我伪造成周源的。

[daocao]

@artoostark 系统发现这是周圆分享的链接。立即提高了网页打开速度[手动 dog ～]

[banricho]

网易云 QQ 虾米一律如此

[michaelzs]

https://h.xiami.com/song.html?id=1773920807&f=&from=timeline&disabled=&_uxid=68B45F982D96A09F9DC6BAD02685C354 求解释虾米怎么看到分享账户是谁

[HannibaI]

感谢 V2EX，找到了女神的网易云账号

[illusion33]

有些链接还带了信息可以知道别人到底是客户端分享的还是 web 分享的

[Biwood]

我想说，网易云音乐的分享也带有用户 id，我感觉这根隐私关系不大，但是跟产品体验有关

[oott123]

@Livid 我的 ip 因为分享这个帖子的全文而被 V2EX 封锁。详细信息已经发往 hello at V2EX dot com，但还没有得到回复，请帮我解封 ip。
我自认为我的帐号信用良好而又从来没有发过什么 SPAM，算比较优质的用户了，然而那么长一篇文章，出于信任 V2EX 的氛围，直接在 V2 上首发，结果点个提交之后，说我是 SPAM 直接被封 IP 了，体验非常非常差，十分沮丧，甚至怀疑人生，都想直接流失了……

另外，反 SPAM 规则如果误判率这么高又没有任何豁免规则，那么反馈渠道请至少告诉用户“你的反馈成功了”并有时效性承诺，而不是石沉大海。对于深度用户而言，一晚上加一上午都刷不了 V2EX 会很崩溃……

[oott123]

P.S. 这篇文章的原作者是我。因为发在 V2EX 结果被 V2EX 自动封 ip，出于无奈才委托朋友发到知乎专栏上。

[Livid]

@oott123 可能里面有短链接触发了关键字。

但是，根据 V2EX 一直以来的规则，我们不欢迎全文转载。

[oott123]

@Livid #25 您好，请看我 24 楼的附注。这篇文章是我亲手写的，而且我首发在 V2EX，没有任何“转载”行为。是因为 V2EX 把我的 IP 封锁了，所以我才委托朋友发到知乎专栏。如果您不相信，我可以让她帮我把原作者后面的“三三”链接到我的 V2EX 主页。

[Livid]

@oott123

1. 这是周末，我要陪家人。
2. 而且，你邮件发给我的两个格式（ PDF 和 JSON ），我都无法直接在开发环境中复现问题。
3. 请提供原始文本的 .md 格式。

[oott123]

@Livid #27 我理解您有自己的事情需要完成，谢谢您百忙之中的处理。我只是在邮件没有得到回复的时候，希望通过其它途径来得到更快的反馈。当然，您也可以不回复我，这是您的选择。您需要的原始文本我已通过邮件发送给您。

之前我提到的“得到反馈”的意思是，举个例子：邮箱增加一个自动回复：“来信已收到，我将会在五个工作日内回复您”。当然，或许你不喜欢自动回复，那么在反 SPAM 提示的时候增加“请发送反馈到 your_email。我们将会在五个工作日内回复您”。这样，给用户以明确的预期，会更加友好一些。

再次感谢您的付出和理解，愿 V2EX 更加美好。

[Livid]

@oott123 收到，问题已经在本地开发环境复现。具体细节已经通过邮件回复你了。

[Hieast]

@oott123 心疼三三，摸摸头