以至酱卤成打地滚在街上而无人拾取 @[email protected]

邓煜本人可能也更希望比起他自己，他的cp更为人所知吧？那大家来了解一下我们车万吧！

热烈祝贺邓教授获奖

今天在时间线上刷到臭臭抽奖Bot的宣传嘟文，但仔细分析之后，我认为这个抽奖网站及Bot是存在很大安全隐患的，因此将相应帐户暂时禁用。
这条嘟文用于具体分析臭臭抽奖网站的安全隐患在哪里以及一些FAQ。

臭臭抽奖Bot/网站工作流程是怎么样的？

1. 使用者在嘟文下 @ 抽奖bot
2. 抽奖bot私信回复一条网站链接
3. 使用者点击该链接授予网站 read:accounts+read:blocks+read:statuses 权限
4. 到时间后抽奖网站通过上一步得到的 token 调用相应API获取相应数据，完成抽奖

臭臭抽奖Bot/网站安全隐患在哪里？

主要的问题在于第3步授予的权限过大，有了 read:statuses 权限之后便可以读取整个帐户包括私信、仅关注者可见在内的所有私有嘟文，这一点在我看来是不能接受的。
如果抽奖网站心怀恶意，完全可以借此机会，偷偷的将授权帐户的所有嘟文读取并保存下来。

另外申请 read:blocks 权限也有一些不明所以，似乎有些必要性不足，你屏蔽了哪些帐户自然也是很重要的隐私。

为什么要暂时禁用臭臭抽奖Bot的帐户？

即然已经发现存在隐私疑虑，当然禁止其宣传，防止出现更多可能的受害者。这大概和禁用那些宣传诈骗网站的帐户一样逻辑。当然这里并不是说臭臭抽奖Bot是诈骗网站，只是二者都可能危害到相信它的嘟友的隐私。

上面提到了暂时禁用，那什么时候可以解除禁用呢？

如果对程序进行修改，只获取 read:accounts 权限的话，可以视情况解禁。
网站及Bot的管理者可以联系管理员 @bgme 。

臭臭抽奖Bot/网站并没有做你上面的说的坏事呀，Bot和网站的代码都是开源的，为什么还要禁用抽奖Bot的帐户？

我向来都是以最大的恶意揣测他人，因此并不需要你真的做了坏事，只要你有做坏事的能力就已经需要注意了。
虽然github上放了网站与Bot的源码，但作为非网站与Bot管理者的第三方，用户是没有能力确认你实际运行的代码与你公布的代码是一致的。

我日常

：越来越怀念19年那会儿了，手机上没有铺天盖地的负面新闻，人们在交流时不会烂梗满天飞，互联网上没有人争吵，也没有人公嬷属性大打出手，更没有人仅因为产品口味不同就疯狂举报对方。大家伙都在众志成城准备推翻王莽

对了这个安娜卡塔山是有试玩的
真的很有意思走过路过不要错过（吆喝
https://www.gcores.com/games/180047

epic这周送无声狂啸了，虽然我不领但是感觉应该有人会需要（？

气急败坏收拾浴室的时候模模糊糊听《Secret d'histoire》讲普鲁士国王Frédéric二世当王子的时候爱上一个大一岁的好基友，两个人决定私奔去英国，结果被老爹捉回去。佢老爹Frédéric-Guillaume不是个好相与的，儿子坐监好基友判死刑。好基友行刑的当天，王子被守卫叫起来梳妆打扮站在窗口看好基友砍头。王子大叫对不起，好基友说死而无憾。刀起头落王子也一头昏死过去躺了三天。这是多么心狠手辣的虐文作者才能写出来的剧情啊。