影子屋

关于回国 VPN 应用「穿梭」你可能不知道的事实

无影人 — Tue, 12 Mar 2024 14:09:11 GMT

我写这篇博文只是想记录一下自己从想法到探寻，再到探寻结果的整个过程。

在这个探寻的过程中，我发现了一些既在意料之中，又在意料之外的事实，而这些事实我个人认为有必要写篇博文进行记录。

最后，对于这些事实，我不做任何解读，也不会提出任何建议。

缘起

今天照例刷 Mastodon 时间轴时，有一条嘟文从我眼前飘过『求推荐便宜好用（免费也可以因为就几个月里用一小时……）的从国外翻回国内的vpn谢谢』。

看到这条嘟文，我的第一个想法是，这很简单呀，我这就有现成的 Mesh VPN 网络（nebula 网络），只要加进网络，再在国内端安装上代理软件，不就OK了吗？

但又立刻想到，这种做法对于国内节点的人风险非常大，万一对方发布什么中国政府不喜欢的话，你就有可能被顺着 IP 找上门，风险太高了。想要这么干，必须是相当熟悉与了解的友人才可以。

就在我胡思乱想时，原嘟文下已经有了回复，回复中提到「穿梭」这个应用。

这一下子吸引了我的注意，原来已经有这样的回国 VPN 呀。但是他们是怎么做的？他们不担心用户发布什么内容，然后被警察找上门吗？他们是怎么控制风险的？他们有多少服务器？他们的中国大陆的服务器节点 IP 是什么？

带着这样的好奇，我开始了自己的探寻之旅。

探寻

使用「穿梭」在搜索引擎中搜索，顺利的找到该应用的 Google Play 页面与 iOS APP Store 页面。

Google Play 页面

APP Store 页面

首先吸引我注意的是该应用超长的寿命。通过 iOS APP Store 页面的 Version History，可以看到，该应用于2021年8月就已经上架 iOS APP Store，距今已有近3年时间了。对于跑路不断的机场而言，稳定经营3年已经算是很长寿了。

然后便是Google Play 页面右侧 App Support Address 栏的那个中国地址：Tianfu Avenue 866, Huayang Street, Hi-Tech Zone, Cheng Du, Sichuan,China。以及公司名 Chengdu Fobwifi Networks Technology LLC 中的 Chengdu。

在 Google Play 页面与 iOS APP Store 页面分别找到了两个官网地址： https://www.transocks.com/、https://transocks.org/ 。

打开后，页面一致。其中 www.transocks.com 已被 GFW 屏蔽，屏蔽方式 DNS 投毒。

官网网页

附手查询两域名 wohis，可以发现 transocks.com 注册于2014年8月，transocks.org 注册于2019年7月。

$ whois transocks.com
    Domain Name: TRANSOCKS.COM
    Registry Domain ID: 1871026402_DOMAIN_COM-VRSN
    Registrar WHOIS Server: grs-whois.hichina.com
    Registrar URL: http://www.net.cn
    Updated Date: 2022-08-04T02:08:37Z
    Creation Date: 2014-08-14T07:10:34Z
    Registry Expiry Date: 2027-08-14T07:10:34Z
    Registrar: Alibaba Cloud Computing (Beijing) Co., Ltd.
    Registrar IANA ID: 420
    Registrar Abuse Contact Email: DomainAbuse@service.aliyun.com
    Registrar Abuse Contact Phone: +86.95187
    Domain Status: clientTransferProhibited https://icann.org/epp#clientTransferProhibited
    Name Server: DAHLIA.NS.CLOUDFLARE.COM
    Name Server: SETH.NS.CLOUDFLARE.COM
    DNSSEC: unsigned
    URL of the ICANN Whois Inaccuracy Complaint Form: https://www.icann.org/wicf/
>>> Last update of whois database: 2024-03-12T15:16:30Z <<<

...

Domain Name: transocks.com
Registry Domain ID: 1871026402_DOMAIN_COM-VRSN
Registrar WHOIS Server: grs-whois.hichina.com
Registrar URL: http://www.net.cn
Updated Date: 2022-08-04T02:08:37Z
Creation Date: 2014-08-14T07:10:34Z
Registrar Registration Expiration Date: 2027-08-14T07:10:34Z
Registrar: Alibaba Cloud Computing (Beijing) Co., Ltd.
Registrar IANA ID: 420
Reseller:
Domain Status: clientTransferProhibited https://icann.org/epp#clientTransferProhibited
Registrant City:
Registrant State/Province: si chuan
Registrant Country: CN
Registrant Email:https://whois.aliyun.com/whois/whoisForm
Registry Registrant ID: Not Available From Registry
Name Server: DAHLIA.NS.CLOUDFLARE.COM
Name Server: SETH.NS.CLOUDFLARE.COM
DNSSEC: unsigned
Registrar Abuse Contact Email: DomainAbuse@service.aliyun.com
Registrar Abuse Contact Phone: +86.95187
URL of the ICANN WHOIS Data Problem Reporting System: http://wdprs.internic.net/
>>>Last update of WHOIS database: 2024-03-12T15:16:41Z <<<

$ whois transocks.org
Domain Name: transocks.org
Registry Domain ID: 1962315ed0334b13a32069a155ee1aa1-LROR
Registrar WHOIS Server: http://whois.namesilo.com
Registrar URL: http://www.namesilo.com
Updated Date: 2024-03-09T05:24:13Z
Creation Date: 2019-07-30T18:25:14Z
Registry Expiry Date: 2025-07-30T18:25:14Z
Registrar: Namesilo, LLC
Registrar IANA ID: 1479
Registrar Abuse Contact Email: abuse@namesilo.com
Registrar Abuse Contact Phone: +1.4805240066
Domain Status: clientTransferProhibited https://icann.org/epp#clientTransferProhibited
Registry Registrant ID: REDACTED FOR PRIVACY
Registrant Name: REDACTED FOR PRIVACY
Registrant Organization: See PrivacyGuardian.org
Registrant Street: REDACTED FOR PRIVACY
Registrant City: REDACTED FOR PRIVACY
Registrant State/Province: AZ
Registrant Postal Code: REDACTED FOR PRIVACY
Registrant Country: US
Registrant Phone: REDACTED FOR PRIVACY
Registrant Phone Ext: REDACTED FOR PRIVACY
Registrant Fax: REDACTED FOR PRIVACY
Registrant Fax Ext: REDACTED FOR PRIVACY
Registrant Email: Please query the RDDS service of the Registrar of Record identified in this output for information on how to contact the Registrant, Admin, or Tech contact of the queried domain name.
Registry Admin ID: REDACTED FOR PRIVACY
Admin Name: REDACTED FOR PRIVACY
Admin Organization: REDACTED FOR PRIVACY
Admin Street: REDACTED FOR PRIVACY
Admin City: REDACTED FOR PRIVACY
Admin State/Province: REDACTED FOR PRIVACY
Admin Postal Code: REDACTED FOR PRIVACY
Admin Country: REDACTED FOR PRIVACY
Admin Phone: REDACTED FOR PRIVACY
Admin Phone Ext: REDACTED FOR PRIVACY
Admin Fax: REDACTED FOR PRIVACY
Admin Fax Ext: REDACTED FOR PRIVACY
Admin Email: Please query the RDDS service of the Registrar of Record identified in this output for information on how to contact the Registrant, Admin, or Tech contact of the queried domain name.
Registry Tech ID: REDACTED FOR PRIVACY
Tech Name: REDACTED FOR PRIVACY
Tech Organization: REDACTED FOR PRIVACY
Tech Street: REDACTED FOR PRIVACY
Tech City: REDACTED FOR PRIVACY
Tech State/Province: REDACTED FOR PRIVACY
Tech Postal Code: REDACTED FOR PRIVACY
Tech Country: REDACTED FOR PRIVACY
Tech Phone: REDACTED FOR PRIVACY
Tech Phone Ext: REDACTED FOR PRIVACY
Tech Fax: REDACTED FOR PRIVACY
Tech Fax Ext: REDACTED FOR PRIVACY
Tech Email: Please query the RDDS service of the Registrar of Record identified in this output for information on how to contact the Registrant, Admin, or Tech contact of the queried domain name.
Name Server: ns1.dnsowl.com
Name Server: ns2.dnsowl.com
Name Server: ns3.dnsowl.com
DNSSEC: unsigned
URL of the ICANN Whois Inaccuracy Complaint Form: https://www.icann.org/wicf/
>>> Last update of WHOIS database: 2024-03-12T15:25:18Z <<<

查询互联网档案馆，www.transocks.com 最早的存档是2017年4月13日的存档。

互联网档案馆中 http://www.transocks.com/ 最早的（2017年4月13日）存档

根据互联网档案馆的信息，回国VPN「穿梭」至少已经持续运营了7年时间。如果假设运营开始于 transocks.com 注册时间，那便是已经持续运营了10年时间。

另外，根据 BLOCKY 的数据，www.transocks.com 被 GFW 屏蔽时间不早于2017年11月14日不晚于2018年3月15日。

更进一步

将上文中找到的公司名称以及地址输入到天眼查等企业查询工具中查询，找到了「成都飞欧比网络科技有限公司」这个国内公司实体。

天眼查页面

企查查页面

成都飞欧比网络科技有限公司，成立于2016年，位于四川省成都市，企业注册资本1000万人民币。

主营产品：穿梭（Transocks）是一款 VPN（虚拟专用网络）服务软件，专门帮海外华人解决浏览中国网站时遇到的访问限制问题。

工商信息

股东信息

电信许可

软件违规

四川省和重庆市通信管理局联合通报侵害用户权益的APP（2023年第十一期）（1/2）

四川省和重庆市通信管理局联合通报侵害用户权益的APP（2023年第十一期）（2/2）

四川省通信管理局关于下架侵害用户权益APP的通报（2023年第9批）（1/2）

四川省通信管理局关于下架侵害用户权益APP的通报（2023年第9批）（2/2）

打开该公司登记的官网，可以看出国内官网网页内容与之前的网页一致。

国内公司官网：https://www.transocks.com.cn/

ICP备案查询：蜀ICP备18024647号

$ whois transocks.com.cn
Domain Name: transocks.com.cn
ROID: 20180704s10011s89656998-cn
Domain Status: clientTransferProhibited
Registrant: 成都飞欧比网络科技有限公司
Registrant Contact Email: 1154857151@qq.com
Sponsoring Registrar: 阿里云计算有限公司（万网）
Name Server: vip3.alidns.com
Name Server: vip4.alidns.com
Registration Time: 2018-07-04 15:42:05
Expiration Time: 2027-07-04 15:42:05
DNSSEC: unsigned

结语

当你在 Android 系统启动 VPN 应用时，应该看见过这样的警告确认：「“<xxxx>”想要设置一个VPN连接，以便监控网络流量。除非您信任该来源，否则请勿接受此请求。」。

当你连接上VPN，此时点击状态栏上的钥匙，也可以看到这样的警告：「您已连接到“<xxxx>”（该应用能够监控您的网络活动，其中包括收发电子邮件、使用应用和浏览网站）。」

现代问题现代方法解决：通过脚本高效处理SPAM

无影人 — Sun, 18 Feb 2024 04:17:18 GMT

一大波SPAM即将到来

最近，SPAM 狂潮来袭，一波又一波的 SPAM 的到来，让实例管理人员疲于奔命。

有关 Report 的提醒邮件（未完，下方还有好几屏）

面对 SPAM 报告，我们需要封禁 SPAM 帐户，Limite 被 SPAM 入侵的实例以防进一步的骚扰。

但这几个步骤通过 Mastodon Web 自带的管理界面进行非常麻烦，需要打开好几个网页，点击好多次才能完成。如果你还要发布管理操作报告，那就更麻烦了。

Mastodon Web 自带的管理工具，在这种大规模 SPAM 入侵时，显得有一些力不从心。

人肉管理 vs 脚本SPAM，人肉管理能不能胜利尚不好说，但累死是一定的。现代问题现代方法解决，管理也需要脚本辅助。

本文将介绍，如何使用脚本半自动化处理的黑猫SPAM。

本文提到的所有文件可至 anti-blackcat-spam 目录查看。

0. 所需条件

Mastodon PostgreSQL 数据库访问权限
Mastodon 实例 Admin 权限
python 运行环境

1. 注册应用

Mastodon Web 界面，打开首选项（Preferences） -> 开发（Development）。

首选项（Preferences） -> 开发（Development）

创建如下 Scopes 的应用：

read:accounts read:statuses write:reports admin:read:accounts admin:read:domain_allows admin:read:domain_blocks admin:read:reports admin:write:accounts admin:write:domain_allows admin:write:domain_blocks admin:write:reports

2. 查找疑似 SPAM 帐户

连接上 Mastodon PostgreSQL ，运行如下 SQL 找出疑似 SPAM 帐户，并将结果保存为 CSV 文件。

-- 查找所有位于未进行管理操作实例的疑似 SPAM 帐户
select
    id,
    username,
    domain,
    display_name,
    avatar_file_name
from
    accounts
where
    username ~ '^[0-9a-z]{10}$'
    and (username = display_name or display_name = '')
    and created_at > '2024-02-15 00:00:00'
    and suspended_at is null
    and avatar_file_name is null
    and "domain" is not null
    and "domain" not in (
    select
        db."domain"
    from
        domain_blocks db
);

3. 运行管理脚本

将管理脚本下载至本地，如需在线查看可点击此链接。

3.1 安装依赖

pip install Mastodon.py beautifulsoup4

3.2 修改管理脚本

3.2.1 修改 `DOMAIN`

根据实际情况，将 DOMAIN 设置为你需要管理的实例域名。

3.2.2 修改 `ACCESS_TOKEN`

将 1. 注册应用中所获取的 access token 填入 ACCESS_TOKEN。

3.2.3 修改 `ACCOUTS_CSV_FILE`

将 2. 查找疑似 SPAM 帐户中所得到的 CSV 文件放到管理脚本同目录，并将 ACCOUTS_CSV_FILE 修改为相应 CSV 文件的文件名。

3.3 运行脚本

python main.py

管理脚本将输出疑似 SPAM 帐户帐户名以及最新的一条嘟文以供确认，如确认为 SPAM 帐户，管理脚本将为该 SPAM 帐户创建 Report 并转发至原站，然后封禁所有 SPAM 帐户， Limite 所有 SPAM 帐户所在实例。

22时更新

之前的博文发出之后，在实际使用中发现了一些问题，于是这个脚本便有了 v2 与 v3 版本。

v2 版本变化

CSV 文件名硬编码在脚本中，每次运行都要修改脚本，实在是太麻烦了。

因此便有了 v2 版，通过命令行参数读取 CSV 文件名。

v3 版本变化

虽然有了管理脚本辅助，但获取CSV文件，更新管理通告都还是要打开其它程序，还是有一些不方便。

于是加上了 psycopg2 让脚本直接从数据库中获取数据，同时增加了更新管理通告的功能。

真正实现了一条龙服务，方便到家，脚本包干。

Mastodon 前端预编译失败该怎么办？

无影人 — Thu, 31 Aug 2023 08:56:18 GMT

Mastodon 在较新 Linux 发行版本下会遇到前端预编译出错的问题。

本文大概记录一下，如何修复 Mastodon 前端预编译错误？

本文测试环境：

$ git describe --tags
v4.2.0-beta2

$ git rev-parse HEAD
facfec1ba36cee27f232ebff90b990933719235a

$ rbenv --version
rbenv 1.2.0

$ ruby --version
ruby 3.2.2 (2023-03-30 revision e51014f9c0) [x86_64-linux]

$ bundle --version
Bundler version 2.4.13

$ node --version
v20.5.1

$ yarn --version
1.22.19

ERR_OSSL_EVP_UNSUPPORTED

如果 Node.js 版本大于 17，编译时便会遇到 ERR_OSSL_EVP_UNSUPPORTED 错误。

$ RAILS_ENV=production bundle exec rails yarn:install assets:precompile
yarn install v1.22.19
[1/5] Resolving packages...
success Already up-to-date.
Done in 0.47s.
Compiling...
Compilation failed:
node:internal/crypto/hash:69
this[kHandle] = new _Hash(algorithm, xofLen);
                ^

Error: error:0308010C:digital envelope routines::unsupported
    at new Hash (node:internal/crypto/hash:69:19)
    at Object.createHash (node:crypto:138:10)
    at module.exports (/srv/app/mastodon/mastodon/node_modules/webpack/lib/util/createHash.js:135:53)
    at ConcatenatedModule._createIdentifier (/srv/app/mastodon/mastodon/node_modules/webpack/lib/optimize/ConcatenatedModule.js:563:16)
    at new ConcatenatedModule (/srv/app/mastodon/mastodon/node_modules/webpack/lib/optimize/ConcatenatedModule.js:445:27)
    at /srv/app/mastodon/mastodon/node_modules/webpack/lib/optimize/ModuleConcatenationPlugin.js:250:26
    at SyncBailHook.eval [as call] (eval at create (/srv/app/mastodon/mastodon/node_modules/tapable/lib/HookCodeFactory.js:19:10), <anonymous>:7:16)
    at SyncBailHook.lazyCompileHook (/srv/app/mastodon/mastodon/node_modules/tapable/lib/Hook.js:154:20)
    at /srv/app/mastodon/mastodon/node_modules/webpack/lib/Compilation.js:1351:37
    at AsyncSeriesHook.eval [as callAsync] (eval at create (/srv/app/mastodon/mastodon/node_modules/tapable/lib/HookCodeFactory.js:33:10), <anonymous>:6:1)
    at AsyncSeriesHook.lazyCompileHook (/srv/app/mastodon/mastodon/node_modules/tapable/lib/Hook.js:154:20)
    at Compilation.seal (/srv/app/mastodon/mastodon/node_modules/webpack/lib/Compilation.js:1342:27)
    at /srv/app/mastodon/mastodon/node_modules/webpack/lib/Compiler.js:675:18
    at /srv/app/mastodon/mastodon/node_modules/webpack/lib/Compilation.js:1261:4
    at AsyncSeriesHook.eval [as callAsync] (eval at create (/srv/app/mastodon/mastodon/node_modules/tapable/lib/HookCodeFactory.js:33:10), <anonymous>:24:1)
    at AsyncSeriesHook.lazyCompileHook (/srv/app/mastodon/mastodon/node_modules/tapable/lib/Hook.js:154:20)
    at Compilation.finish (/srv/app/mastodon/mastodon/node_modules/webpack/lib/Compilation.js:1253:28)
    at /srv/app/mastodon/mastodon/node_modules/webpack/lib/Compiler.js:672:17
    at eval (eval at create (/srv/app/mastodon/mastodon/node_modules/tapable/lib/HookCodeFactory.js:33:10), <anonymous>:11:1)
    at /srv/app/mastodon/mastodon/node_modules/webpack/lib/Compilation.js:1185:12
    at /srv/app/mastodon/mastodon/node_modules/webpack/lib/Compilation.js:1097:9
    at process.processTicksAndRejections (node:internal/process/task_queues:77:11) {
opensslErrorStack: [ 'error:03000086:digital envelope routines::initialization error' ],
library: 'digital envelope routines',
reason: 'unsupported',
code: 'ERR_OSSL_EVP_UNSUPPORTED'
}

解决办法参考这个 stackoverflow 回答。

在运行 RAILS_ENV=production bundle exec rails yarn:install assets:precompile 命令前，先设置 NODE_OPTIONS=--openssl-legacy-provider 环境变量即可。

export NODE_OPTIONS=--openssl-legacy-provider

`isModuleDeclaration` has been deprecated, please migrate to `isImportOrExportDeclaration`

编译时，你可能会遇到类似如下面的 isModuleDeclaration has been deprecated, please migrate to isImportOrExportDeclaration 提示。

$ export NODE_OPTIONS=--openssl-legacy-provider
$ RAILS_ENV=production bundle exec rails yarn:install assets:precompile
yarn install v1.22.19
[1/5] Resolving packages...
success Already up-to-date.
Done in 0.50s.
I, [2023-08-31T17:34:06.971888 #40650]  INFO -- : Writing /srv/app/mastodon/mastodon/public/assets/doorkeeper/admin/application-a644908e7bab54fb749be0f59fb64a7480bbf9c4c2b79d4a65791cb7ab4d8730.css
I, [2023-08-31T17:34:06.972252 #40650]  INFO -- : Writing /srv/app/mastodon/mastodon/public/assets/doorkeeper/admin/application-a644908e7bab54fb749be0f59fb64a7480bbf9c4c2b79d4a65791cb7ab4d8730.css.gz
I, [2023-08-31T17:34:06.973952 #40650]  INFO -- : Writing /srv/app/mastodon/mastodon/public/assets/doorkeeper/application-c93dac2ad9d65e3393e0e2c958481e86ef7a5e5b0f6ce406842a7b99b25a4850.css
I, [2023-08-31T17:34:06.974013 #40650]  INFO -- : Writing /srv/app/mastodon/mastodon/public/assets/doorkeeper/application-c93dac2ad9d65e3393e0e2c958481e86ef7a5e5b0f6ce406842a7b99b25a4850.css.gz
I, [2023-08-31T17:34:06.975223 #40650]  INFO -- : Writing /srv/app/mastodon/mastodon/public/assets/pghero/favicon-db10337a56c45eb43c22ff5019546b520fa22c7281d4d385f235cbca67ed26bb.png
I, [2023-08-31T17:34:06.982815 #40650]  INFO -- : Writing /srv/app/mastodon/mastodon/public/assets/pghero/application-fc5c893e805df52338bef3bda5a5431f74f1401da68e4f0381ac9ecb7a801e1a.js
I, [2023-08-31T17:34:06.982956 #40650]  INFO -- : Writing /srv/app/mastodon/mastodon/public/assets/pghero/application-fc5c893e805df52338bef3bda5a5431f74f1401da68e4f0381ac9ecb7a801e1a.js.gz
I, [2023-08-31T17:34:06.984171 #40650]  INFO -- : Writing /srv/app/mastodon/mastodon/public/assets/pghero/application-29fa393e673685cdbf2fb2b637098a15b988605f46bfa962f6e0cb94d15bc567.css
I, [2023-08-31T17:34:06.984319 #40650]  INFO -- : Writing /srv/app/mastodon/mastodon/public/assets/pghero/application-29fa393e673685cdbf2fb2b637098a15b988605f46bfa962f6e0cb94d15bc567.css.gz
Compiling...
Compiled all packs in /srv/app/mastodon/mastodon/public/packs
`isModuleDeclaration` has been deprecated, please migrate to `isImportOrExportDeclaration`
    at isModuleDeclaration (/srv/app/mastodon/mastodon/node_modules/babel-plugin-lodash/node_modules/@babel/types/lib/validators/generated/index.js:2740:35)
    at PluginPass.Program (/srv/app/mastodon/mastodon/node_modules/babel-plugin-lodash/lib/index.js:102:44)

这只是编译警告，可以怱略不管。

如果一定要消除的话，可以参考： https://github.com/lodash/babel-plugin-lodash/issues/259#issuecomment-1438592335

清理编译失败产物

对于新版 Node.js 编译时会遇上 ERR_OSSL_EVP_UNSUPPORTED 错误，进而编译失败。

当你添加上环境变量，再次编译时，有可能会遇上 Everything's up-to-date. Nothing to do 。

$ RAILS_ENV=production bundle exec rails yarn:install assets:precompile
yarn install v1.22.19
[1/5] Resolving packages...
success Already up-to-date.
Done in 0.48s.
Everything's up-to-date. Nothing to do

这时可以运行如下命令，删去之前编译产物强制重新编译。

rm -r build public/system public/assets public/packs public/packs-test

浏览器 fetch, GM_xmlhttpRequest 以及 Forbidden header

无影人 — Sat, 19 Aug 2023 15:58:38 GMT

今天阅读《整一个同时用于浏览器和 Node.js 的模块》这篇博文时，看到其中关于浏览器 fetch api 获取请求头部分，心有所感，于是就有了本文。

本文将说一说浏览器 fetch api 与 Forbidden header 的那些事情，在浏览器中可以设置并获取 Forbidden header 吗？

一切开始之前，先看一看官方文档是怎么说的。

For security reasons, some headers can only be controlled by the user agent. These headers include the forbidden header names and forbidden response header names.

出于安全考虑，某些头只能由用户代理控制。这些头信息包括 forbidden header names 和 forbidden response header names。

Warning: Browsers block frontend JavaScript code from accessing the Set-Cookie header, as required by the Fetch spec, which defines Set-Cookie as a forbidden response-header name that must be filtered out from any response exposed to frontend code.

警告：根据 Fetch 规范，Set-Cookie 是一个禁止的响应标头，对应的响应在被暴露给前端代码前，必须滤除这一响应标头，即浏览器会阻止前端 JavaScript 代码访问 Set-Cookie 标头。

文档告诉我们，在浏览器环境中，向请求设置 Forbidden header ，获取响应的 Forbidden response header （Set-Cookie）是无法做到的。

真的是这样吗？我不信，我要自己试一试。

(async () => {
    try {
        const resp = await fetch("https://httpbin.org/get", {
        method: "GET",
        headers: {
            Cookie: "test1234",
            "Sec-Fetch-Dest": "document",
            "Sec-Fetch-Mode": "navigate",
            "Sec-Fetch-Site": "none",
            Test: "test1234",
        },
        });
        const resp_body = await resp.json();
        console.log("https://httpbin.org/get");
        console.log(resp);
        console.log([...resp.headers.entries()]);
        console.log([...resp.headers.entries()].map((h) => h.join(": ")).join("\n"));
        console.log(resp_body);
    } catch (error) {
        console.error(error);
    }

    try {
        const resp = await fetch("https://www.baidu.com/", {
        method: "GET",
        });
        const resp_body = await resp.text();
        console.log("https://www.baidu.com/");
        console.log(resp);
        console.log([...resp.headers.entries()]);
        console.log([...resp.headers.entries()].map((h) => h.join(": ")).join("\n"));
        console.log(resp_body);
    } catch (error) {
        console.error(error);
    }

    try {
        const xhr = new XMLHttpRequest();
        xhr.open("GET", "https://httpbin.org/get");

        xhr.setRequestHeader("Cookie", "test1234");
        xhr.setRequestHeader("Sec-Fetch-Dest", "document");
        xhr.setRequestHeader("Sec-Fetch-Mode", "navigate");
        xhr.setRequestHeader("Sec-Fetch-Site", "none");
        xhr.setRequestHeader("Test", "test1234");

        xhr.responseType = "json";

        xhr.addEventListener("load", (ev) => {
        console.log("https://httpbin.org/get");
        console.log(ev);
        console.log(xhr);
        console.log(xhr.response);
        console.log(xhr.getAllResponseHeaders());
        });
        xhr.send();
    } catch (error) {
        console.error(error);
    }

    try {
        const xhr = new XMLHttpRequest();
        xhr.open("GET", "https://www.baidu.com/");

        xhr.responseType = "text";

        xhr.addEventListener("load", (ev) => {
        console.log("https://www.baidu.com/");
        console.log(ev);
        console.log(xhr);
        console.log(xhr.response);
        console.log(xhr.getAllResponseHeaders());
        });
        xhr.send();
    } catch (error) {
        console.error(error);
    }
})();

到 https://www.baidu.com/ 页面，运行上述代码，结果如下：

Forbidden header

Forbidden response header

看来文档写的一点没错，确实无法设置与获取 Forbidden header 。

当然如果仅仅是这样，还不至于让我水一篇博文。

现在是见证奇迹的时刻了。

打开 Violentmonkey API 文档，在 GM_xmlhttpRequest 一节中，有这样的内容。

GM_xmlhttpRequest

Some special headers are also allowed:

- 'Cookie'
- 'Host'
- 'Origin'
- 'Referer'
- 'User-Agent'

如果我没有记错的话，这些都是 Forbidden header 吧。怎么 GM_xmlhttpRequest 就可以设置了？我不信。

// ==UserScript==
// @name        GM_xmlhttpRequest Forbidden header Test
// @namespace   bgme.me
// @match       https://example.org/
// @grant       GM_xmlhttpRequest
// @version     1.0
// @author      bgme
// @connect     *
// @connect     httpbin.org
// @connect     www.baidu.com
// @description GM_xmlhttpRequest Forbidden header Test
// ==/UserScript==

try {
    const request = GM_xmlhttpRequest({
        url: "https://httpbin.org/get",
        method: "GET",
        headers: {
        Cookie: "test1234",
        "Sec-Fetch-Dest": "document",
        "Sec-Fetch-Mode": "navigate",
        "Sec-Fetch-Site": "none",
        Test: "test1234",
        },
        responseType: "json",
        onload(ev) {
        console.log("https://httpbin.org/get");
        console.log(ev);
        console.log(ev.response);
        console.log(ev.responseHeaders);

        console.log(request);
        },
    });
} catch (error) {
    console.error(error);
}

try {
    const request = GM_xmlhttpRequest({
        url: "https://www.baidu.com/",
        method: "GET",
        responseType: "text",
        onload(ev) {
        console.log("https://www.baidu.com/");
        console.log(ev);
        console.log(ev.response);
        console.log(ev.responseHeaders);

        console.log(request);
        },
    });
} catch (error) {
    console.error(error);
}

打开 https://example.org/ ，F12 打开 console。

GM_xmlhttpRequest Forbidden header Test on Violentmonkey

GM_xmlhttpRequest Forbidden header Test on Tampermonkey

虽然不愿意相信，但事实摆在面前， GM_xmlhttpRequest 确实突破了浏览器的 Forbidden header 限制。

那么问题又来了，Violentmonkey、Tampermonkey 是怎么做到的？

莫非是 Background scripts 里的 fetch API 有特殊的权限，可以像 Node 那样不受 Forbidden header 限制？

将第一部分创建为 Background scripts，加载插件，打开插件调试 Console 。

fetch on Background scripts

结果如图，很明显，Background scripts 中的 fetch API 也要受到 Forbidden header 的限制。

翻看了一下 Violentmonkey 的源码（requests.js、requests-core.js），可以看出 Violentmonkey 通过 webRequest API 突破了 Forbidden header 的限制。

但有一个不幸的消息是 webRequest API 在 Manifest V3 中被 Google 干掉了，想要修改请求，就只能使用 declarativeNetRequest API 。到了 Manifest V3 时代， GM_xmlhttpRequest 很可能就无法实现修改、读取 Forbidden header 的功能了。

如何在 Linux 系统上对 AMD GPU 启用 Firefox 视频硬件解码

无影人 — Sat, 19 Aug 2023 13:08:37 GMT

记录一下自己开启 Firefox 视频硬件解码的过程。

对于 Intel GPU Firefox 115 以及之后版本，Firefox 会自动在符合条件时开启硬件加速。但对于 AMD GPU Firefox 并不会自动开启硬件加速。因此用户需要手动配置。

第零步：安装相应的驱动及软件包，并验证 VA-API 可用

因为本文主要的话题是 Firefox ，因此这部分内容就不赘述了。

具体可以参考 Arch Wiki Hardware video acceleration 页面。

使用 vainfo 命令，看到如下输出，确认 VA-API 可用就可以进行下一步了。

$ vainfo
Trying display: wayland
vainfo: VA-API version: 1.19 (libva 2.19.0)
vainfo: Driver version: Mesa Gallium driver 23.1.6 for AMD Radeon Graphics (renoir, LLVM 15.0.7, DRM 3.52, 6.4.11-zen1-1-zen)
vainfo: Supported profile and entrypoints
    VAProfileMPEG2Simple            :       VAEntrypointVLD
    VAProfileMPEG2Main              :       VAEntrypointVLD
    VAProfileVC1Simple              :       VAEntrypointVLD
    VAProfileVC1Main                :       VAEntrypointVLD
    VAProfileVC1Advanced            :       VAEntrypointVLD
    VAProfileH264ConstrainedBaseline:       VAEntrypointVLD
    VAProfileH264ConstrainedBaseline:       VAEntrypointEncSlice
    VAProfileH264Main               :       VAEntrypointVLD
    VAProfileH264Main               :       VAEntrypointEncSlice
    VAProfileH264High               :       VAEntrypointVLD
    VAProfileH264High               :       VAEntrypointEncSlice
    VAProfileHEVCMain               :       VAEntrypointVLD
    VAProfileHEVCMain               :       VAEntrypointEncSlice
    VAProfileHEVCMain10             :       VAEntrypointVLD
    VAProfileHEVCMain10             :       VAEntrypointEncSlice
    VAProfileJPEGBaseline           :       VAEntrypointVLD
    VAProfileVP9Profile0            :       VAEntrypointVLD
    VAProfileVP9Profile2            :       VAEntrypointVLD
    VAProfileNone                   :       VAEntrypointVideoProc

第一步：修改 about:config 配置

打开 about:config 进行如下配置，强制开启 WebRender。

gfx.webrender.all=true
gfx.webrender.compositor=true
gfx.webrender.compositor.force-enabled=true

media.ffmpeg.vaapi.enabled=true
media.hardware-video-decoding.force-enabled=true

第二步：重启 Firefox ，确认 Hardware video acceleration 是否生效

重启 Firefox，打开 about:support 页面。

确认 WEBRENDER、HARDWARE_VIDEO_DECODING 已经开启。

WEBRENDER

HARDWARE_VIDEO_DECODING

这里着重说明一点，你有可能在 env 一栏中看到 Blocklisted; failure code FEATURE_FAILURE_DISABLE_RELEASE_OR_BETA、 Blocklisted; failure code FEATURE_HARDWARE_VIDEO_DECODING_DISABLE 这样的内容。

但只要看到 user 一栏写着 force_enabled、 Force enabled by pref ，就说明已经开启成功了。系统默认的配置已经被用户设置所覆盖。

Arch Linux Wiki 存在一定的误导，并不是看到 FEATURE_HARDWARE_VIDEO_DECODING_DISABLE 就必须使用 firefox-vaapi ，费时费力修改源码重新编译。只需要到 about:config 修改上步提到的那几个配置项就OK了。

firefox-vaapi 只是让浏览器不再显示错误信息而已，完全没有必要。

再向下拉到 Media 一节，看到如下的表格便说明 Hardware video acceleration 已经成功开启生效。

How to clean up the synapse database

无影人 — Sat, 10 Jun 2023 14:17:31 GMT

Step 1: delete unused large rooms

Step 1.1: Find large rooms

SELECT r.name, s.room_id, s.current_state_events
    FROM room_stats_current s
    LEFT JOIN room_stats_state r USING (room_id)
    ORDER BY current_state_events DESC
    LIMIT 20;

SELECT rss.name, s.room_id, COUNT(s.room_id)
    FROM state_groups_state s
    LEFT JOIN room_stats_state rss USING (room_id)
    GROUP BY s.room_id, rss.name
    ORDER BY COUNT(s.room_id) DESC
    LIMIT 20;

https://matrix-org.github.io/synapse/latest/usage/administration/useful_sql_for_admins.html#show-top-20-larger-rooms-by-state-events-count

Step 1.2: Use Admin API Purge the unused large rooms

https://matrix-org.github.io/synapse/latest/admin_api/rooms.html#version-2-new-version

curl "http://localhost:8008/_synapse/admin/v1/rooms/${ROOMID}" -X DELETE -H 'Accept: application/json' -H 'Referer: http://localhost:8080/' -H "authorization: Bearer ${TOKEN}" --data '{ "purge": true, "message": "Sorry - kicking you out to clean up the database" }'

Step 1.3: Delete orphan `state_groups_state` and `state_groups`

After using the Admin API to purge the rooms, but only removes the data in the events table, and there are still a lot of related room data in the state_groups_state and state_groups tables (the main space occupation). This may be a synapse bug.

So you need to remove them manually.

https://github.com/matrix-org/synapse/issues/12821#issuecomment-1295773504

DELETE FROM
state_groups_state
WHERE
room_id IN (
    SELECT
    DISTINCT(state_groups.room_id) AS room_id_gone
    FROM
    state_groups
    LEFT JOIN events USING(room_id)
    WHERE
    events.room_id IS NULL
    GROUP BY
    room_id_gone
);

DELETE FROM
state_groups
WHERE
room_id IN (
    SELECT
    DISTINCT(state_groups.room_id) AS room_id_gone
    FROM
    state_groups
    LEFT JOIN events USING(room_id)
    WHERE
    events.room_id IS NULL
    GROUP BY
    room_id_gone
);

Step 2: Run synapse_auto_compressor

https://github.com/matrix-org/rust-synapse-compress-state

git clone https://github.com/matrix-org/rust-synapse-compress-state.git

cd rust-synapse-compress-state/
cargo build -r

cd synapse_auto_compressor/
cargo build -r

cd ../target/release/

./synapse_auto_compressor -p postgresql://synapse_user:[password]@[host]/synapse -c 1000 -n 10000000 | tee ~/synapse_auto_compressor.log

Step 3: Vacuum Database

REINDEX (VERBOSE) DATABASE synapse;
VACUUM FULL VERBOSE;

Before:

After:

修复 Proton 运行 RPGMaker 游戏图像出错问题

无影人 — Tue, 02 May 2023 08:19:08 GMT

现在，你可以在 Linux 下通过 Proton （Steam Play）来运行一些只支持 Windows 平台的游戏。比如说各类 RPGMaker 游戏。

但运行 RPGMaker 游戏，可能会出现一些图像问题，例如：黑屏、花屏等。

我不幸也遇到了类似的问题，搜索了一番之后找到了相应的解决办法，在这里分享给大家。

步骤一：打开游戏本体所在目录（右键菜单 > 管理 > 浏览本地文件）

步骤二：创建 dxvk.conf 文件

内容如下：

dxgi.deferSurfaceCreation = True
d3d9.deferSurfaceCreation = True
d3d11.maxFeatureLevel = 9_3

此时，再尝试运行游戏，便可以发现图像已恢复正常。

参考资料： https://github.com/ValveSoftware/Proton/issues/3694#issuecomment-1067313588

Mastodon 域名设置全讲解

无影人 — Mon, 05 Dec 2022 14:31:19 GMT

很早之前写过一篇《使用 Nginx 反代 Mastodon》，但那篇主要指对没有站点管理权的情况下如何添加反代域名，而且年代久远一些内容也需要更新。

应嘎嘎的要求，今天特别写一篇博文讲一讲 Mastodon 域名设置相关的内容。

本文篇幅可能会比较长，前半部分将大致讲解 Mastodon 的架构以及域名相关设置，后半部分将讲解如何更换 WEB_DOMAIN、如何添加反代域名。

Mastodon 大体架构

Mastodon 大体架构图

Mastodon 是一个前后端分离的应用，前端是使用 React 写成的单页应用，负责交互与展示；后端由 Ruby 写成负表提供 API 。

当用户访问时，HTML、XHR 请求反代至 Puma 服务， websocket 请求反代至 Node 服务，其余静态资源由 nginx 响应。

因此，Mastodon 也可以像 Pleroma 那样使用替换前端，例如：Cuckoo+ 、Pinafore 。

pinafore.bgme.bid

Mastodon 服务发现流程

众所周知，Mastodon 是一个基于 ActivityPub 协议联邦式的去中心化平台。

那么问题来了，Mastodon 是如何发现远程实例的？或者说当你在编辑框中写下 @user@example.org 后，Mastodon 是如何将其翻译为 ActivityPub 协议所需的 HTTPS URI 的？

Mastodon 帐户的两个身份标识：

webfinger acct URI：跨实例的可验证的全局用户身份标识。
actor URI：用于 federation 过程的其他所有方面。

Mastodon 域名配置

在 Mastodon 配置文件中，与用户使用相关的域名选项有 LOCAL_DOMAIN、WEB_DOMAIN、ALTERNATE_DOMAINS、STREAMING_API_BASE_URL、CDN_HOST、S3_ALIAS_HOST。

LOCAL_DOMAIN

服务器在 Fediverse 网络中唯一标识，用于生成帐户 acct URI，确认后无法更改，修改该项配置将导致帐户 acct URI 改变，远程服务器会将现有帐户视为不同于之前的全新帐户。

例如： @qpomelo@mastodon.qpomelo.app 将实例的 LOCAL_DOMAIN 由 mastodon.qpomelo.app 改为 qpomelo.cc，其acct也从 acct:qpomelo@mastodon.qpomelo.app 变更为 acct:qpomelo@qpomelo.cc 。

@qpomelo@mastodon.qpomelo.app

@qpomelo@qpomelo.cc

虽然实际上是同一个帐户，但由于acct不同，被远程实例视为两个不同的帐户。

WEB_DOMAIN

可选配置项，默认与 LOCAL_DOMAIN 相同，用于生成网页内容，诸如：actor 、 inbox 等。通过设置 WEB_DOMAIN，可以将 Mastodon 服务运行于另一域名。

例如：假设 bgme.me 已经存在其它服务，将 LOCAL_DOMAIN 设为 bgme.me，将 WEB_DOMAIN 设为 mastodon.bgme.me，便可以保证帐户 acct URI 以 bgme.me 结尾的情况下将 Mastodon 相关服务运行在 mastodon.bgme.me 域名下。

@naraku@naraku.cc

http "https://naraku.cc/.well-known/host-meta"  -p HBhb

GET /.well-known/host-meta HTTP/1.1
Accept: */*
Accept-Encoding: gzip, deflate, br
Connection: keep-alive
Host: naraku.cc
User-Agent: HTTPie/3.2.1



HTTP/1.1 301 Moved Permanently
CF-Cache-Status: DYNAMIC
CF-RAY: 77ef38a2ef452ac1-LAX
Connection: keep-alive
Content-Type: text/html
Date: Sun, 25 Dec 2022 05:36:49 GMT
NEL: {"success_fraction":0,"report_to":"cf-nel","max_age":604800}
Report-To: {"endpoints":[{"url":"https:\/\/a.nel.cloudflare.com\/report\/v3?s=iZw4%2BWLYieZU2hKsOvMH4bRt1nJSgQkvZgaiWgY7GsvaBWsDvOB8W0sLcPo7LHzmungp42AkWLkEfcU%2BTG2hrK%2F6jSOTLMlOkNkNNJVna7CjhUaukV%2FOvBrf6Mu5izCV0HKz9BfZq%2FA%3D"}],"group":"cf-nel","max_age":604800}
Server: cloudflare
Strict-Transport-Security: max-age=15552000; includeSubDomains; preload
Transfer-Encoding: chunked
X-Content-Type-Options: nosniff
access-control-allow-origin: *
alt-svc: h3=":443"; ma=86400, h3-29=":443"; ma=86400
location: https://mtd.naraku.cc/.well-known/host-meta

<html>
<head><title>301 Moved Permanently</title></head>
<body>
<center><h1>301 Moved Permanently</h1></center>
<hr><center>nginx</center>
</body>
</html>

http "https://mtd.naraku.cc/.well-known/host-meta"  -p HBhb

GET /.well-known/host-meta HTTP/1.1
Accept: */*
Accept-Encoding: gzip, deflate, br
Connection: keep-alive
Host: mtd.naraku.cc
User-Agent: HTTPie/3.2.1



HTTP/1.1 200 OK
CF-Cache-Status: DYNAMIC
CF-RAY: 77ef36c5efab527b-LAX
Cache-Control: max-age=259200, public
Connection: keep-alive
Content-Type: application/xrd+xml; charset=utf-8
Date: Sun, 25 Dec 2022 05:35:33 GMT
NEL: {"success_fraction":0,"report_to":"cf-nel","max_age":604800}
Report-To: {"endpoints":[{"url":"https:\/\/a.nel.cloudflare.com\/report\/v3?s=oXXheIvbL6bzP4E2Kp%2F6wgvMn8cvr2bXJgXNl8bO%2F86r4Gdy4z7fp3y7SMwVAAORKiy5Qh5rjVx6TKaLhpnHT7D2Xwh58g1r1W4HU6n%2BnJgnZZWaeqqnyMhZKEpHXTkJMkTwKT4FUtkefGU%2F"}],"group":"cf-nel","max_age":604800}
Server: cloudflare
Transfer-Encoding: chunked
alt-svc: h3=":443"; ma=86400, h3-29=":443"; ma=86400
content-security-policy: base-uri 'none'; default-src 'none'; frame-ancestors 'none'; font-src 'self' https://mtd.naraku.cc; img-src 'self' https: data: blob: https://mtd.naraku.cc; style-src 'self' https://mtd.naraku.cc 'nonce-PXsk8y8bu+tcBwEB5toFkw=='; media-src 'self' https: data: https://mtd.naraku.cc; frame-src 'self' https:; manifest-src 'self' https://mtd.naraku.cc; connect-src 'self' data: blob: https://mtd.naraku.cc https://mtd.naraku.cc wss://mtd.naraku.cc; script-src 'self' https://mtd.naraku.cc 'wasm-unsafe-eval'; child-src 'self' blob: https://mtd.naraku.cc; worker-src 'self' blob: https://mtd.naraku.cc
etag: W/"5205d754e2b6177b4be99ecc2e1413a7"
permissions-policy: interest-cohort=()
strict-transport-security: max-age=15552000; includeSubDomains; preload
vary: Accept, Origin
x-content-type-options: nosniff
x-frame-options: DENY
x-request-id: cd29d011-08e4-4117-b31b-f1f5c0f04c4b
x-runtime: 0.004306
x-xss-protection: 0

<?xml version="1.0" encoding="UTF-8"?>
<XRD xmlns="http://docs.oasis-open.org/ns/xri/xrd-1.0">
    <Link rel="lrdd" template="https://mtd.naraku.cc/.well-known/webfinger?resource={uri}"/>
</XRD>

http "https://mtd.naraku.cc/.well-known/webfinger?resource=acct:naraku@naraku.cc"  -p HBhb

GET /.well-known/webfinger?resource=acct:naraku@naraku.cc HTTP/1.1
Accept: */*
Accept-Encoding: gzip, deflate, br
Connection: keep-alive
Host: mtd.naraku.cc
User-Agent: HTTPie/3.2.1



HTTP/1.1 200 OK
CF-Cache-Status: DYNAMIC
CF-RAY: 77ef33764ff15214-LAX
Cache-Control: max-age=259200, public
Connection: keep-alive
Content-Type: application/jrd+json; charset=utf-8
Date: Sun, 25 Dec 2022 05:33:17 GMT
NEL: {"success_fraction":0,"report_to":"cf-nel","max_age":604800}
Report-To: {"endpoints":[{"url":"https:\/\/a.nel.cloudflare.com\/report\/v3?s=vQy9au8mhZlm8cgjGpTkPxU%2BOODjpwPh1jRwdMGLJZWblTWLidQyqgfQclB7%2BnFwA08aJYS2sQhoSoww7scjtJ6FQ2BVzUQan9TWZ4TIg%2BVHWx9oKDudox6VWThj9cDg9uyqp%2FU6C%2BsxqBmx"}],"group":"cf-nel","max_age":604800}
Server: cloudflare
Transfer-Encoding: chunked
alt-svc: h3=":443"; ma=86400, h3-29=":443"; ma=86400
content-security-policy: base-uri 'none'; default-src 'none'; frame-ancestors 'none'; font-src 'self' https://mtd.naraku.cc; img-src 'self' https: data: blob: https://mtd.naraku.cc; style-src 'self' https://mtd.naraku.cc 'nonce-HtWXbWc6yrKVW32Aqzv4Cw=='; media-src 'self' https: data: https://mtd.naraku.cc; frame-src 'self' https:; manifest-src 'self' https://mtd.naraku.cc; connect-src 'self' data: blob: https://mtd.naraku.cc https://mtd.naraku.cc wss://mtd.naraku.cc; script-src 'self' https://mtd.naraku.cc 'wasm-unsafe-eval'; child-src 'self' blob: https://mtd.naraku.cc; worker-src 'self' blob: https://mtd.naraku.cc
etag: W/"b465d414f933c0013f1e193073fabba4"
permissions-policy: interest-cohort=()
strict-transport-security: max-age=15552000; includeSubDomains; preload
vary: Accept, Origin
x-content-type-options: nosniff
x-frame-options: DENY
x-request-id: f6aa211d-bab6-47a1-87a7-fdd97b511e8b
x-runtime: 0.008764
x-xss-protection: 0

{
    "aliases": [
        "https://mtd.naraku.cc/@naraku",
        "https://mtd.naraku.cc/users/naraku"
    ],
    "links": [
        {
            "href": "https://mtd.naraku.cc/@naraku",
            "rel": "http://webfinger.net/rel/profile-page",
            "type": "text/html"
        },
        {
            "href": "https://mtd.naraku.cc/users/naraku",
            "rel": "self",
            "type": "application/activity+json"
        },
        {
            "rel": "http://ostatus.org/schema/1.0/subscribe",
            "template": "https://mtd.naraku.cc/authorize_interaction?uri={uri}"
        }
    ],
    "subject": "acct:naraku@naraku.cc"
}

http "https://mtd.naraku.cc/users/naraku"  "Accept: application/activity+json" -p HBhb

GET /users/naraku HTTP/1.1
Accept: application/activity+json
Accept-Encoding: gzip, deflate, br
Connection: keep-alive
Host: mtd.naraku.cc
User-Agent: HTTPie/3.2.1



HTTP/1.1 200 OK
CF-Cache-Status: DYNAMIC
CF-RAY: 77ef47fb4c7f2b50-LAX
Cache-Control: max-age=180, public
Connection: keep-alive
Content-Type: application/activity+json; charset=utf-8
Date: Sun, 25 Dec 2022 05:47:18 GMT
NEL: {"success_fraction":0,"report_to":"cf-nel","max_age":604800}
Report-To: {"endpoints":[{"url":"https:\/\/a.nel.cloudflare.com\/report\/v3?s=p9ppDYwQMI6z5Sc%2BY1FlfE2BxwxXfd%2F7yQSwwrQdyRHcKXvwUSF%2BJTug1i%2BQ7QAIz0nKix6XTVTH5fMrLNoIixkf4%2Bex29%2FavM6659cwkh8z6YN4W5A0%2B3onYsrQI%2F2pw9oWJx1Nd399QZRT"}],"group":"cf-nel","max_age":604800}
Server: cloudflare
Transfer-Encoding: chunked
alt-svc: h3=":443"; ma=86400, h3-29=":443"; ma=86400
content-security-policy: base-uri 'none'; default-src 'none'; frame-ancestors 'none'; font-src 'self' https://mtd.naraku.cc; img-src 'self' https: data: blob: https://mtd.naraku.cc; style-src 'self' https://mtd.naraku.cc 'nonce-0qN1dzer3t4zyTyWue1qqw=='; media-src 'self' https: data: https://mtd.naraku.cc; frame-src 'self' https:; manifest-src 'self' https://mtd.naraku.cc; connect-src 'self' data: blob: https://mtd.naraku.cc https://mtd.naraku.cc wss://mtd.naraku.cc; script-src 'self' https://mtd.naraku.cc 'wasm-unsafe-eval'; child-src 'self' blob: https://mtd.naraku.cc; worker-src 'self' blob: https://mtd.naraku.cc
etag: W/"416f589000111e76eae38f5f7eb69471"
permissions-policy: interest-cohort=()
referrer-policy: origin
strict-transport-security: max-age=15552000; includeSubDomains; preload
vary: Accept, Origin
x-content-type-options: nosniff
x-frame-options: DENY
x-request-id: 52b64673-7371-4292-b508-ef26d617f344
x-runtime: 0.023334
x-xss-protection: 0

{
    "@context": [
        "https://www.w3.org/ns/activitystreams",
        "https://w3id.org/security/v1",
        {
            "Curve25519Key": "toot:Curve25519Key",
            "Device": "toot:Device",
            "Ed25519Key": "toot:Ed25519Key",
            "Ed25519Signature": "toot:Ed25519Signature",
            "Emoji": "toot:Emoji",
            "EncryptedMessage": "toot:EncryptedMessage",
            "PropertyValue": "schema:PropertyValue",
            "alsoKnownAs": {
                "@id": "as:alsoKnownAs",
                "@type": "@id"
            },
            "cipherText": "toot:cipherText",
            "claim": {
                "@id": "toot:claim",
                "@type": "@id"
            },
            "deviceId": "toot:deviceId",
            "devices": {
                "@id": "toot:devices",
                "@type": "@id"
            },
            "discoverable": "toot:discoverable",
            "featured": {
                "@id": "toot:featured",
                "@type": "@id"
            },
            "featuredTags": {
                "@id": "toot:featuredTags",
                "@type": "@id"
            },
            "fingerprintKey": {
                "@id": "toot:fingerprintKey",
                "@type": "@id"
            },
            "focalPoint": {
                "@container": "@list",
                "@id": "toot:focalPoint"
            },
            "identityKey": {
                "@id": "toot:identityKey",
                "@type": "@id"
            },
            "manuallyApprovesFollowers": "as:manuallyApprovesFollowers",
            "messageFranking": "toot:messageFranking",
            "messageType": "toot:messageType",
            "movedTo": {
                "@id": "as:movedTo",
                "@type": "@id"
            },
            "publicKeyBase64": "toot:publicKeyBase64",
            "schema": "http://schema.org#",
            "suspended": "toot:suspended",
            "toot": "http://joinmastodon.org/ns#",
            "value": "schema:value"
        }
    ],
    "attachment": [
        {
            "name": "Matrix",
            "type": "PropertyValue",
            "value": "<span class=\"h-card\"><a href=\"https://mtd.naraku.cc/@naraku\" class=\"u-url mention\">@<span>naraku</span></a></span>:naraku.cc"
        }
    ],
    "devices": "https://mtd.naraku.cc/users/naraku/collections/devices",
    "discoverable": true,
    "endpoints": {
        "sharedInbox": "https://mtd.naraku.cc/inbox"
    },
    "featured": "https://mtd.naraku.cc/users/naraku/collections/featured",
    "featuredTags": "https://mtd.naraku.cc/users/naraku/collections/tags",
    "followers": "https://mtd.naraku.cc/users/naraku/followers",
    "following": "https://mtd.naraku.cc/users/naraku/following",
    "icon": {
        "mediaType": "image/jpeg",
        "type": "Image",
        "url": "https://mtd.naraku.cc/system/accounts/avatars/109/513/842/758/850/375/original/355c3a2e588b4fba.jpeg"
    },
    "id": "https://mtd.naraku.cc/users/naraku",
    "image": {
        "mediaType": "image/jpeg",
        "type": "Image",
        "url": "https://mtd.naraku.cc/system/accounts/headers/109/513/842/758/850/375/original/156276bb27f3591e.jpeg"
    },
    "inbox": "https://mtd.naraku.cc/users/naraku/inbox",
    "manuallyApprovesFollowers": false,
    "name": "Naraku :mastodon:",
    "outbox": "https://mtd.naraku.cc/users/naraku/outbox",
    "preferredUsername": "naraku",
    "publicKey": {
        "id": "https://mtd.naraku.cc/users/naraku#main-key",
        "owner": "https://mtd.naraku.cc/users/naraku",
        "publicKeyPem": "-----BEGIN PUBLIC KEY-----\nMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEArYihLR7VFAiMymGUwkxo\nmMQCaHd9FD59oUfGWGKVCsJ/IkeIbi0+jM5LyeC/QdwCC/ZRgMNvS4zIQgakSRoq\nkiRN3KL3Nv9Uqo9bjC21/H6bgPiZ1aEmck9sZgN0Polxwa3SPeJ08wY8AOWPnGrg\n0kin8+7D1pkemFSfJSJSjPvc9PrKOBCVdbF74haHA99LeHo6GO75P4iLHQnlw565\nVNrUnbtH52Bcoeavrt0SDdQX239z1YqmRxAuApYlg1l4Hy/+hpmUAoCQJs3ogsjF\nTCjo1jpHgcnKRHn3gLL3o7m4+SpeUuXtFOnsXVnYujpnY0p1ejPx8gwAXcI8kwNI\ngQIDAQAB\n-----END PUBLIC KEY-----\n"
    },
    "published": "2022-12-14T00:00:00Z",
    "summary": "<p>naraku.cc Admin :verify:</p><p>Stand with Ukraine! 🇺🇦 <br />Stand with Democracy!</p>",
    "tag": [
        {
            "icon": {
                "mediaType": "image/gif",
                "type": "Image",
                "url": "https://mtd.naraku.cc/system/custom_emojis/images/2022/000/000/973/original/20775f75cba35af7.gif"
            },
            "id": "https://mtd.naraku.cc/emojis/973",
            "name": ":verify:",
            "type": "Emoji",
            "updated": "2022-12-17T17:26:50Z"
        },
        {
            "icon": {
                "mediaType": "image/png",
                "type": "Image",
                "url": "https://mtd.naraku.cc/system/custom_emojis/images/2022/000/000/099/original/56fceeecb032309c.png"
            },
            "id": "https://mtd.naraku.cc/emojis/99",
            "name": ":mastodon:",
            "type": "Emoji",
            "updated": "2022-12-17T10:45:48Z"
        }
    ],
    "type": "Person",
    "url": "https://mtd.naraku.cc/@naraku"
}

ALTERNATE_DOMAINS

指向该服务器的其它域名。如果有多个域名指向 Mastodon 服务器，配置 ALTERNATE_DOMAINS 允许 Fediverse 服务通过其它域名发现帐户。可配置多个域名，域名之间使用逗号隔开，如 foo.com,bar.com 。

从实现上讲对于列入 ALTERNATE_DOMAINS 的域名，Mastodon 将响应来自这些域名的 WebFinger 查询请求，故其它实例可通过相应的后缀查找到原始帐户。

通过 WebFinger 协议查询 acct:bgme@bgme.bid

Mastodon v3.4.0 以后版本 [1] ，出于安全性考量，Puma 只响应 Host 为 LOCAL_DOMAIN、WEB_DOMAIN、ALTERNATE_DOMAINS 的 HTTP 请求。对于其它 Host 一律近回 403 Forbidden 响应。

STREAMING_API_BASE_URL

设置 STREAMING_API_BASE_URL 可将 streaming API 部署于不同域名或不同子域名。这可能有助于提高 streaming API 的性能。

示例值：wss://streaming.example.com。

GET /api/v1/instance

initial-state

CDN_HOST

你可以通过设置 CDN_HOST 将静态文件（logos，emojis，CSS，JS 等等等）托管于独立域名，如CDN（内容分发网络，Content Delivery Network），这将降低用户加载时间。

示例值：https://assets.example.com。

CDN_HOST

S3_ALIAS_HOST

类似于 CDN_HOST，设置 S3_ALIAS_HOST 可以将用户上传内容托管至一独立域名。

示例值： files.example.com。

XHR

websocket

域名注意事项

如前所述，

Mastodon域名不但是你的用户访问你服务器的方式，更是你的实例和你的用户在联邦宇宙中的身份标识。是后者而不是前者决定了权威域名无法更改。

如果你使用 masto.host 这类的全托管服务，其可能会为你的实例提供 masto.host 子域。但千万注意，实例的域名一定要自行注册，不要使用全托管服务商为你提供的下属子域。现在设想这样一个场景，masto.host 宣布下个月要大幅提高托管服务收费，因为太贵了，你不再想使用masto.host托管服务了。

如果你使用的是自己的域名，那么很简单，只需要导出数据库、导出媒体文件、导出应用密钥，然后使用这些东西转移到另一家托管服务商或自己托管服务器，然后把域名指向新托管商或新服务器就OK了。

但如果你使用的是 masto.host 的域名，那么你就面临这样一个窘境，你的实例域名是属于masto.host所有，而不是你自己所有，你现在不使用masto.host的服务了，masto.host自然没有义务为你提供域名。由于Mastodon域名一旦确定便不能被更改，如果masto.host不为你提供域名，那你的实例就只能下线。这时如果你实例已经积累了相当用户，又同时希望能继续运行，那你就只有忍受masto.host提价这一个选择，即使价格再贵。

实际操作篇

在不同域名托管 Mastodon 服务

添加反代域名

大致步骤：

组网（同一台机器的情况下可省略）
修改环境变量，将 Puma 监听地址改为 0.0.0.0 （同一台机器的情况下可省略）
同步 /home/mastodon/live/public （同一台机器的情况下可省略）
将反代域名添加至 ALTERNATE_DOMAINS
创建 MITM 代理，修改 websocket 流中的 S3_ALIAS_HOST （可选）
修改 nginx 配置
1. 未设置 STREAMING_API_BASE_URL 、CDN_HOST 、S3_ALIAS_HOST
  
  将反代域名添加至 server_name 中
  
  重新生成证书
2. 需修改 STREAMING_API_BASE_URL 、CDN_HOST 、S3_ALIAS_HOST
  
  复制创建新一份配置文件
  
  修改 proxy_cache_path
  
  添加 proxy_set_header Accept-Encoding identity;
  
  替换 STREAMING_API_BASE_URL （可选）
  
  替换 CDN_HOST （可选）
  
  替换 S3_ALIAS_HOST （可选）
  
  重新生成证书
修改 nginx 配置的 /api/v1/streaming 部分（可选）
重载 nginx 配置

# 同一机器需删去该部分
map $http_upgrade $connection_upgrade {
    default upgrade;
    ''      close;
}

# 同一机器需修改名称
upstream backend {
    server 127.0.0.1:3000 fail_timeout=0;
}

# 同一机器需修改名称，根据需求将 stream API 上游地址修改为 MITM  代理
upstream streaming {
    server 127.0.0.1:4000 fail_timeout=0;
}

# 同一机器需删去该部分
proxy_cache_path /var/cache/nginx levels=1:2 keys_zone=CACHE:10m inactive=7d max_size=1g;

server {
    listen 80;
    listen [::]:80;
    # 修改或添加 server_name
    server_name example.com;
    # 根据需求修改 root，同一机器保持原状即可
    root /home/mastodon/live/public;
    location /.well-known/acme-challenge/ { allow all; }
    location / { return 301 https://$host$request_uri; }
}

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    # 修改或添加 server_name
    server_name example.com;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!MEDIUM:!LOW:!aNULL:!NULL:!SHA;
    ssl_prefer_server_ciphers on;
    ssl_session_cache shared:SSL:10m;
    ssl_session_tickets off;

    # Uncomment these lines once you acquire a certificate:
    # ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
    # ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    keepalive_timeout    70;
    sendfile             on;
    client_max_body_size 80m;

    # 根据需求修改 root，同一机器保持原状即可
    root /home/mastodon/live/public;

    gzip on;
    gzip_disable "msie6";
    gzip_vary on;
    gzip_proxied any;
    gzip_comp_level 6;
    gzip_buffers 16 8k;
    gzip_http_version 1.1;
    gzip_types text/plain text/css application/json application/javascript text/xml application/xml application/xml+rss text/javascript image/svg+xml image/x-icon;

    location / {
        try_files $uri @proxy;
    }

    # If Docker is used for deployment and Rails serves static files,
    # then needed must replace line `try_files $uri =404;` with `try_files $uri @proxy;`.
    location = /sw.js {
        add_header Cache-Control "public, max-age=604800, must-revalidate";
        add_header Strict-Transport-Security "max-age=63072000; includeSubDomains";
        try_files $uri =404;
    }

    location ~ ^/assets/ {
        add_header Cache-Control "public, max-age=2419200, must-revalidate";
        add_header Strict-Transport-Security "max-age=63072000; includeSubDomains";
        try_files $uri =404;
    }

    location ~ ^/avatars/ {
        add_header Cache-Control "public, max-age=2419200, must-revalidate";
        add_header Strict-Transport-Security "max-age=63072000; includeSubDomains";
        try_files $uri =404;
    }

    location ~ ^/emoji/ {
        add_header Cache-Control "public, max-age=2419200, must-revalidate";
        add_header Strict-Transport-Security "max-age=63072000; includeSubDomains";
        try_files $uri =404;
    }

    location ~ ^/headers/ {
        add_header Cache-Control "public, max-age=2419200, must-revalidate";
        add_header Strict-Transport-Security "max-age=63072000; includeSubDomains";
        try_files $uri =404;
    }

    location ~ ^/packs/ {
        add_header Cache-Control "public, max-age=2419200, must-revalidate";
        add_header Strict-Transport-Security "max-age=63072000; includeSubDomains";
        try_files $uri =404;
    }

    location ~ ^/shortcuts/ {
        add_header Cache-Control "public, max-age=2419200, must-revalidate";
        add_header Strict-Transport-Security "max-age=63072000; includeSubDomains";
        try_files $uri =404;
    }

    location ~ ^/sounds/ {
        add_header Cache-Control "public, max-age=2419200, must-revalidate";
        add_header Strict-Transport-Security "max-age=63072000; includeSubDomains";
        try_files $uri =404;
    }

    location ~ ^/system/ {
        add_header Cache-Control "public, max-age=2419200, immutable";
        add_header Strict-Transport-Security "max-age=63072000; includeSubDomains";
        try_files $uri =404;
    }

    location ^~ /api/v1/streaming {
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header Proxy "";

        proxy_pass http://streaming;
        proxy_buffering off;
        proxy_redirect off;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection $connection_upgrade;

        add_header Strict-Transport-Security "max-age=63072000; includeSubDomains";

        tcp_nodelay on;
    }

    location @proxy {
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header Proxy "";
        proxy_pass_header Server;

        proxy_pass http://backend;
        proxy_buffering on;
        proxy_redirect off;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection $connection_upgrade;


        #### 新增部分开始 ###

        # 向上游请求明文，nginx 无法替换压缩内容
        proxy_set_header Accept-Encoding identity;

        # 字符串只进行一次替换，即只替换第一个被匹配的字符串。这里关闭。
        sub_filter_once off;
        #替换的请求类型，增加 application/json 。
        sub_filter_types application/json;

        # 替换 STREAMING_API_BASE_URL （按需）
        sub_filter wss://example.com wss://example.org;
        # 替换 CDN_HOST （按需）
        sub_filter https://cdn.example.com https://cdn.example.org;
        # 替换 S3_ALIAS_HOST （按需）
        sub_filter https://img.example.com https://img.example.org;
        # 替捣 missing.png （按需）
        sub_filter https://example.com/avatars/original/missing.png https://example.org/avatars/original/missing.png;
        sub_filter https://example.com/headers/original/missing.png https://example.org/headers/original/missing.png;

        ### 新增部分结束 ###

        proxy_cache CACHE;
        proxy_cache_valid 200 7d;
        proxy_cache_valid 410 24h;
        proxy_cache_use_stale error timeout updating http_500 http_502 http_503 http_504;
        add_header X-Cached $upstream_cache_status;

        tcp_nodelay on;
    }

    error_page 404 500 501 502 503 504 /500.html;
}

websocket MITM 代理

安装 mitmproxy

import re
from mitmproxy import ctx


def websocket_message(flow):
    # get the latest message
    message = flow.messages[-1]

    if message.from_client:
        ctx.log.info("Client sent a message: {}".format(message.content))
    else:
        ctx.log.info("Server sent a message: {}".format(message.content))

    # manipulate the message content
    message.content = re.sub("https://img\.example\.com", "https://img.example.org", message.content)

    if 'FOOBAR' in message.content:
        # kill the message and not send it to the other endpoint
        message.kill()

# /etc/systemd/system/mitm-mastodon-websocket.service
[Unit]
Description=Mastodon Mitm push websocket
After=network.target
Wants=network.target

[Service]
Type=simple
User=www-data
Slice=system-mitm.slice
ExecStart=/usr/bin/mitmdump --listen-host 127.0.0.1 -p 4444 -s /opt/mastodon_websocket_messages.py --mode reverse:http://127.0.0.1:4000 --set keep_host_header --quiet
Restart=on-failure

[Install]
WantedBy=multi-user.target

参考资料

谈谈长毛象那些奇怪的设计——写给长毛象新用户

无影人 — Thu, 24 Nov 2022 02:52:07 GMT

本文最开始发布于本人的Mastodon帐户（链接），最初的发布时间是2020年8月7日。

时间已经过去两年多了，本文中的内容也有一些不太适用的地方，但总体上仍然适用。

没有转评功能：

长毛象没有转评功能常常让新用户感觉很奇怪，但这并不是Mastodon作者懒没有做，而是有意设计的。[1]

长毛象没有转评功能是为了防止关注者多的用户对关注者少的用户的欺凌。

在长毛象，用户A与用户B的以回复形式进行的交谈对话，只有你同时关注了对话双方（用户A与用户B），她们的对话才会出现在你的主页时间轴上。如果你只关注了其中一人，那么她们之间的交谈将不会出现在你的时间轴中。

这样的设计，有效防止了无关人员插入进交谈对话之中，确保不会出现这样的场景：关注者人数较多的用户回复了某人一句不太好的话，然后她那数量庞大的关注者便在自己的时间轴中看到这个对话，然后一拥而上，将对话的另一方骂地狗血淋头。而转评则会打破这种对话双方的平等，造成关注者较多的用户对另一方用户的示众，进而引发网络欺凌。

所以长毛象不添加转评功能。虽然，这样并不能阻止，你通过截图、发链接等方式对他人的示众。但操作复杂性的增加，会相应减少这样行为的发生。

搜索功能极弱：

长毛象另一个让新用户感到不适的地方是搜索功能太弱，在搜索栏中什么都搜不出来。这也是Mastodon有意设计的。

在长毛象，即使你所在的实例开启全文搜索功能，你也只能在自己发出的嘟文以及自己互动过的（转发、打星、收藏）嘟文中使用相关关键词查找。

这样的设计同样也是为了防止欺凌与骚扰。

不知你是否在使用新浪微博的过程中经历过这样的事情，在自己没几个人关注的帐号里自言自语评论了一下某明星或大V，然后莫名其妙的就有一些人跑到你的自言自语下面评论甚至辱骂。这些人过来的呢？其中一个重要的途径就是搜索。搜索一些关键词，然后顺着搜索结果挨个评论轰炸。

长毛象将搜索功能限制为只能在自己发出的嘟文以及自己互动过的嘟文中进行搜索，彻底杜绝了通过搜索某些关键词，不请自来的对用户进行骚扰或欺凌的可能。

纯时间排序时间轴/没有热点（热点功能极弱）：

在我看来，纯时间排序时间轴不能被称之为奇怪的设计。但使用过太多智能排序时间轴的产品的用户，可能会对这样的纯时间排序时间轴感到一些奇怪。

推特这些使用智能算法排序时间轴，有一个通用的借口便是：为了用户体验，为了让用户不错过热点信息。

但仔细想一想便会发现这个理由站不住脚，如果真的是大家都讨论的话题，那用户自然会通过她关注的用户在时间线上看到，越热的话题自然越多人看到，单独搞出一个“热度”功能又有什么必要？同样道理，同样的道理，好友转发次数越到，在时间线上看到的机率越大，对于用户来说智能时间轴又有什么必要？

热点与智能时间轴只不过是为了让用户看到某些内容有一个合理的借口，为广告与信息操纵打开方便之门。

而且错过一些信息，信息的自然衰减本来就是信息传播的正常环节。没有热点，纯时间排序的时间轴，为每个用户提供近乎平等的展示机会。

如果你不想错过某些信息，想要特别关注某人，请善用列表（List）功能 [2] 。

注解

2022年补充说明

Mastodon v3.5.0 版之后便加强了热点功能。

Mastodon v3.5.0 版新添加的 Explore 功能，具体而言，v3.5.0 添加了 Trending posts 和 Trending links ，当某条嘟文或链接在转发、收藏达到一定次数，并经过管理员通过后，便会出现在 Explore 栏。同时 v3.5.0 也改变了 Trending hastags 的计算方法，不再将转嘟计算在内。

相较以前只有三个 hastags 的 Trending 栏，Mastodon v3.5.0 实际上是加强了热度这个概念。

我个人的看法是：增强热度功能也许并不是一件坏事。

随着网络的扩大，人数的增加，Mastodon 对于新人的友好度也在下降，具体而言，相较几年前，随着人数的增加，新人在网络中所占有的份额也在下降，从实际体验上而言便是新人越来越难以受到关注，其发言仅仅依靠单纯的时间轴传播的难度也在增加，而 Trending posts 则是对其的一大补充。

当然，这里面也存在 trending posts 上榜之后自反馈加强的问题，但 trending posts 较短的半衰期（2个小时）从某种程度上遏制了这个问题。

容忍的底线

无影人 — Thu, 24 Nov 2022 02:48:02 GMT

在与众多嘟友有关Apple公司的讨论中，我突然想到，我们心中应当有一条容忍的底线，当有人越过了这条底线，我们便应该抵制与坚绝的拒绝它。无条件的妥协与退让，只会带来得寸进尺，以及最终退无可退而致灭亡的结局。

如果你同意上面的内容，那让我们继续。

我认为这条底线是：不伤害，即对方不能主动恶意侵害我们。

如今各个互联网公司主动侵害用户的利益，似乎已经成为一种惯例，大概是数据的虚拟性麻痹了使用者的大脑，抑或是久在鱼肆不闻其臭，很多被侵害的用户都习以为常了，甚至为侵害者辩护起来。

如果你认为各个互联网公司干的事情没有什么不对的，那让我们简单替换一下主语。

不想打扫房间，所以请了一个保洁员，这个保洁员不但干活麻利，还要价便宜。但有一天，你发现这个保洁员偷偷地把你房间中你的物品偷去卖钱；如果你说偷东西卖钱涉及实物性质不一样，那就换一个，你发现这个保洁员在你的房间中装了很多针孔摄像头，卫生间、卧室都装的有。对于这样的一个保洁员，即使他要价再低，干活干的再好，相信你都会毫不犹豫的辞退他。

那为什么同样性质的行为，替换一个主语，就要采取不一样的行为呢？

就苹果公司而言，当它主动向用户推送恶意更新，降低旧机型CPU频率，劣化用户体验时。

这家公司便已经跨过那条不可容忍的底线了！

原嘟文地址：https://bgme.bid/@bgme/105226302089936130