知乎“分享”功能可能正危及你的隐私

工单节点使用指南

• 请用平和的语言准确描述你所遇到的问题

• 厂商的技术支持和你一样也是有喜怒哀乐的普通人类，尊重是相互的

• 如果是关于 V2EX 本身的问题反馈，请使用反馈节点

This topic created in 3012 days ago, the information mentioned may be changed or developed.

原文： https://zhuanlan.zhihu.com/p/36235128

概述：在知乎最新 Android 版本 5.15.1(658) 下，若你使用「分享到 QQ 」功能分享任意知乎站内链接到任意 QQ 接收者，你可能正在泄漏自己的知乎帐号到 QQ 平台。分享链接中，utm_member 字段经过 base64 解码后的 hex 字符串是用户的唯一识别码。通过这个识别码，可以直接打开用户资料页，从而知晓这个分享链接是哪位用户发送的。

如果你不太明白这有什么问题，或是不明白这是什么意思，请看原文的说明与分析。

知乎

原文

30 replies

orangeade

Apr 28, 2018 via Android

啧啧，之前加 utm source utm media 就知道迟早要这么干

run2

Apr 28, 2018

想起过年时的银联云闪付 app 更是直接一堆人暴露手机号不是更恐怖

airyland

Apr 28, 2018

貌似 [即刻] 也是，分享到 QQ 时观察过 URL 格式，貌似连 base64 都不做了，下面的 userid 在 web 版验证过确认是用户 id。

https://m.okjike.com/officialMessages/{{messageid}}?username={{userid}}&utm_source=qq

点击后会跳转到无参数地址，但是已经直接泄露了。

billlee

Apr 28, 2018

我一般都是选择分享到 chrome, 然后复制链接到目标应用里面再分享的

caijunyi

Apr 28, 2018

知乎变味了！！！
越来越商业化了！

flowfire

Apr 28, 2018 via iPhone

卸载好几个月了

logOo

Apr 28, 2018 via Android

日常要完

maxlino

Apr 29, 2018 via iPhone

似乎网易云也是

ctsed

Apr 29, 2018

@airyland #3 #3 页面上显示的是 xxx 给你分享了 xxx，xxx 关注了 xxx

580a388da131

Apr 29, 2018

强迫症每次分享链接都要清理到最干净
淘宝商品链接要清理掉除 id 以外的所有参数
一直以为我没救了原来还能拯救我的隐私。。。

gobomb

Apr 29, 2018 via iPhone

网易云音乐和 qq 音乐也是

des

Apr 29, 2018 via Android

@580a388da131 算我一个，强迫症

honeycomb

Apr 29, 2018 via Android

这种就是链接之后的小尾巴，如果有人在 V2 发带小尾巴的链接而不作说明请及时指出

justfun

Apr 29, 2018 via Android

跨平台追踪

iwtbauh

Apr 29, 2018 via Android

所以，我们就可以随意伪造这个字段把锅扣别人头上喽，别人也可以随意伪造这个字段把锅扣我头上喽

artoostark

Apr 29, 2018

那我伪造成周源的。

daocao

Apr 29, 2018

@artoostark 系统发现这是周圆分享的链接。立即提高了网页打开速度[手动 dog ～]

banricho

Apr 29, 2018

网易云 QQ 虾米一律如此

michaelzs

Apr 29, 2018

https://h.xiami.com/song.html?id=1773920807&f=&from=timeline&disabled=&_uxid=68B45F982D96A09F9DC6BAD02685C354 求解释虾米怎么看到分享账户是谁

HannibaI

Apr 29, 2018

感谢 V2EX，找到了女神的网易云账号

illusion33

Apr 29, 2018

有些链接还带了信息可以知道别人到底是客户端分享的还是 web 分享的

Biwood

Apr 29, 2018

我想说，网易云音乐的分享也带有用户 id，我感觉这根隐私关系不大，但是跟产品体验有关

oott123

Apr 29, 2018

@Livid 我的 ip 因为分享这个帖子的全文而被 V2EX 封锁。详细信息已经发往 hello at V2EX dot com，但还没有得到回复，请帮我解封 ip。
我自认为我的帐号信用良好而又从来没有发过什么 SPAM，算比较优质的用户了，然而那么长一篇文章，出于信任 V2EX 的氛围，直接在 V2 上首发，结果点个提交之后，说我是 SPAM 直接被封 IP 了，体验非常非常差，十分沮丧，甚至怀疑人生，都想直接流失了……

另外，反 SPAM 规则如果误判率这么高又没有任何豁免规则，那么反馈渠道请至少告诉用户“你的反馈成功了”并有时效性承诺，而不是石沉大海。对于深度用户而言，一晚上加一上午都刷不了 V2EX 会很崩溃……

oott123

Apr 29, 2018

P.S. 这篇文章的原作者是我。因为发在 V2EX 结果被 V2EX 自动封 ip，出于无奈才委托朋友发到知乎专栏上。

Livid

MOD

PRO

Apr 29, 2018

@oott123 可能里面有短链接触发了关键字。

但是，根据 V2EX 一直以来的规则，我们不欢迎全文转载。

oott123

Apr 29, 2018

@Livid #25 您好，请看我 24 楼的附注。这篇文章是我亲手写的，而且我首发在 V2EX，没有任何“转载”行为。是因为 V2EX 把我的 IP 封锁了，所以我才委托朋友发到知乎专栏。如果您不相信，我可以让她帮我把原作者后面的“三三”链接到我的 V2EX 主页。

Livid

MOD

PRO

Apr 29, 2018

@oott123

1. 这是周末，我要陪家人。
2. 而且，你邮件发给我的两个格式（ PDF 和 JSON ），我都无法直接在开发环境中复现问题。
3. 请提供原始文本的 .md 格式。

oott123

Apr 29, 2018

@Livid #27 我理解您有自己的事情需要完成，谢谢您百忙之中的处理。我只是在邮件没有得到回复的时候，希望通过其它途径来得到更快的反馈。当然，您也可以不回复我，这是您的选择。您需要的原始文本我已通过邮件发送给您。

之前我提到的“得到反馈”的意思是，举个例子：邮箱增加一个自动回复：“来信已收到，我将会在五个工作日内回复您”。当然，或许你不喜欢自动回复，那么在反 SPAM 提示的时候增加“请发送反馈到 your_email。我们将会在五个工作日内回复您”。这样，给用户以明确的预期，会更加友好一些。

再次感谢您的付出和理解，愿 V2EX 更加美好。

Livid

MOD

PRO

Apr 29, 2018

@oott123 收到，问题已经在本地开发环境复现。具体细节已经通过邮件回复你了。

Hieast

Apr 30, 2018

@oott123 心疼三三，摸摸头