AT 协议上你以为的私密数据：1300 多个 RSS 源被公开索引
来源：melaniekat.com — 2026-10-29
📋 概述
作者在探索 Bluesky 所依赖的 AT 协议时，发现大量用户大概并不知道自己已经公开的数据，而且很容易搜到。她从一个 RSS 阅读器 Skyreader 入手，发现每一次订阅都会被写进 lexicon app.skyreader.feed.subscription，其中 feedUrl 字段就是那个 RSS 地址；顺着这个线索，她在公开数据里找到了别人的 Club MacStories 付费源、404 Media 全文源、Patreon 赞助者专属源，还有 GitLab 私有仓库的 RSS。再用一个中继把整个 collection 拉下来，得到 1300 多个订阅源——全程无需认证。
🔑 核心要点
- 机制本身没错，错在订阅源被默认写进公开的 PDS 记录：RSS 地址往往带私有 token。
- 发现路径毫不费力：用 PDSls.dev 这类浏览器就能直接翻别人的数据仓库。
- 泄露后果是实打实的内容访问权：付费 Newsletter、赞助者专属源、私有仓库源全部可直接读。
- 同类问题不止一家：部分 Discord 克隆与 Stream.place 的聊天记录同样完全公开且可搜索。
- 作者的判断是用户并不清楚风险，而不是“这就是公开协议的设计本意”。
💡 金句
I'm sure some people will say, “Sure, that's the point,” but I'm not convinced the users understand the risk.
👍 0
👎 0
← 返回 Lobsters 首页