zsh2517

我最近经常有一个“喂，您好，总算接通了”什么什么的某医保推销，而且打一次换个号，座机号，地域会变，连总结一个屏蔽规则（比如正则、号段等）都做不到

我之前写过一个自用的油猴脚本，用来在不同的谷歌服务之间自动切换账号。比如打开搜索/地图/Gmail 使用主账号，打开 gemini 用另一个号，打开 aistudio 用第三个号等（我自己的场景是学生 gemini 不想影响主号，但是每次打开 gemini 切换很麻烦所以写的）

有点 BUG ，但是凑合够用。如果有需要我打包一份

@poorcai 一般软件有 2FA 的情况下，可以解绑其他 2FA ？

建议换掉 MS Auth ，这玩意设备间同步有点坑

https://www.google.com/search?q=site%3Av2ex.com+authenticator

虽然这么说不太好，但是看完标题脑子里紧跟着下一句“少你一个不少”就出来了

我觉得倒也正常 复用账号+投稿体系的话，视频发布、删除、元信息获取、数据分析等应该都有完善的接口，风控给这个号加个白名单，用户侧展现做个屏蔽就行。反而新建一套专门给广告用的视频体系会更复杂

一千多楼估计抽不到了，等开奖了买个玩玩

确实存在一种类似的漏洞叫做 SSRF ，简单说原理是需要服务器支持往外发起请求，并且没有过滤内网地址，导致内网网站/本地文件（原本不应该被用户访问到的内容）泄露的问题。但是链接跳转和 SSRF 没啥关系

参考：

xss: https://ctf-wiki.org/web/xss/

ssrf: https://ctf-wiki.org/web/ssrf/

非要深究的话，任意链接跳转，一定程度上也可能会被灰产利用，比如用来过白名单拦截（例如某些软件内打开小众网站提示“目标网站危险，禁止访问”，通过一个白名单内的网站进行跳转，有些时候能绕过），或者跳转进入一个钓鱼网站（做一个和谷歌非常像的登录界面，然后通过这种链接来让它看起来更像是一个谷歌的链接）等。之前我见过一些钓鱼网站就是用谷歌翻译的网站翻译搞的

但是这算不上什么漏洞，甚至可以说是互联网跳转第三方站点比较公认的做法——用一个独立的跳转中间页，明确提醒用户“将会跳转到一个站外地址”。比如知乎的 https://link.zhihu.com/?target=https%3A//v2ex.com 简书的 https://www.jianshu.com/go-wild?ac=2&url=https%3A%2F%2Fv2ex.com 等等。如果发现 URL 是已知风险网站，还可以在这个页面上进一步提示和拦截

买个二手平板（我之前找过，两三百以内好像没有特别合适的，我需求是窄边框、不能太老的系统（决定了 chrome 内核版本）、type C ，没找到特别便宜的。有合适的的话可以 @ 我）

拉一根电源线，插上去。配置不熄屏不锁屏

然后装或者找 AI 写一个支持自动同步数据并更新的 todo/看板/便签类应用就可以了