《火光》征稿启事

未来会不定期投稿经济学观察。尤其普及一些马歇尔、凯恩斯、斯密、费雪、诺斯这些大师的观点。

很想写一些小说来描述当今中国的绝望……但是今天中国，我拙劣的文笔写不出万分之一二

@清华博士豆沙馅 <#10306995> 感谢关注！可以为您开设经济学专栏。《漫谈地租理论》是否要再作修改？

@火光编辑部 <#10970619> 感谢开设专栏。漫谈地租理论已经按照编辑的私信和@穿鞋的企鹅 的意见进行了修改

插播：感觉很像这个

小瑤私信投稿了哦

@愛牛奶盒的人 <#102078> 有幫我投嗎∪･ω･∪

提一些建议：

1.网站不必要的第三方资源太多了，影响加载速度。

2.Google Analysis 这种 Tracker 希望能去掉。

3.做成静态站点（无 JS）可能对 Tor 用户更友好。

@Wizard <#102174>

3.做成静态站点（无 JS）可能对 Tor 用户更友好。

那么发帖，评论要如何实现呢？

@solids <#102185> 发帖评论可以直接用 HTTP POST，缺点是需要刷新才能看到新评论。

@solids <#102185> <form> 表單，頁面會刷新（準確來說是頁面會導向 form 發送的目標 URL）

@Wizard <#102186> 還是要用 js 才能發 POST 請求

@习猪习 <#102188> 浏览器通过 <form> 发的应该就是 HTTP POST

@Wizard <#102190> 不一定，也可以是 GET

@习猪习 <#102191> GET 发送的内容只能塞到 URL 里，但是 URL 的 de facto 长度限制是 2000 字符

@Wizard <#102174> 應該都是 Wordpress 的模板的問題

@Wizard <#102174> 你说加载慢和Google Analytics都是Wordpress自带的。另外，Tracker应该是用户自己去安装浏览器插件解决，懒到连uBO都舍不得装的用户根本没有资格谈什么保护隐私，网站没有义务去掉tracker。更没有必要用什么Tor网址，wordpress本身对Tor已经很友好了，你提这些要求真的是有病。

@NodeBE4 <#102471>

你说加载慢和Google Analytics都是Wordpress自带的。

Wordpress 自带不等于不能去掉吧？

另外，Tracker应该是用户自己去安装浏览器插件解决，懒到连uBO都舍不得装的用户根本没有资格谈什么保护隐私，网站没有义务去掉tracker。

Tracker 确实可以用 uBO 屏蔽，甚至 FF 自带的隐私保护也能屏蔽掉。看来分歧就在于最后一句了，《火光》既然处于致力于建设一个自由人的精神角落的立场，就不应该去跟踪用户吧？所以我觉得站点主动做些措施保护用户隐私也是理所应当。

更没有必要用什么Tor网址

我没说过这句话

wordpress本身对Tor已经很友好了

从可用性来说确实算友好，可 Tor 主打隐私保护，加载一大堆第三方资源还带 Tracker 的行为可谓与隐私保护相悖。

你提这些要求真的是有病。

建议不是要求，还请擦干净屏幕看清楚

@NodeBE4 <#102471> 看了你的其他帖子，你的观点应该是：隐私保护在于 Client 而不是 Server，这点我比较赞同。用户确实不应该过分相信网站的隐私声明，应该自己做好隐私防护，但是这不等于网站就应该使用追踪技术。

同时，在服务器被端了的情况下，

一个是 Client + Server 都做好了隐私防护，Server 托管静态站点

另一个仅 Client 做好了隐私防护，Server 并没有做。且如果禁用 JavaScript 就无法使用，因此用户不得不启用 JavaScript。

信息泄漏量可想而知，哪个更大。

@Wizard <#102614> 我只对GA和JS部分回应一下，你说这些都过时了。

Google Analytics和其它任何类似的Tracker/analytics并不能让部署方跟踪user，跟踪他们的是Google, Facebook, Amazon等提供analytic code的供应方。部署方只是知道所有访问者的统计信息，而非单独每个访问者的个人信息。

你说这套不要跟踪码的说法真的是跟小二一样靠看公众号文章学技术的。真实的威胁模型在这里有详细阐述，类似的帖子也在2049转发过。https://diymysite.github.io/analytics/#!pages/analytics.md 简单说，部署方没有获得除了流量统计之外的超额信息，跟踪码的威胁关键在于你是否相信供应方，也就是Google, FB, Amazon等网站，我是不相信的，所以我选择uBO。其次，中共搜集互联网用户信息主要是client和network两个环节，而不是server，你天天叫人家网站如何如何的是连network如何工作的都没搞清楚。小二就是一个相信你说那套的反面教材，已经被抓几个月了，轻则3年重则5年。

如果你认为GA或者其他跟踪码能够让部署方获取用户个人信息，你可以建个静态网站给我演示一下，我来访问，你能搜集到我什么信息。GA等流量分析码是依靠wordpress或者github pages等第三方服务的网站唯一获知流量信息的方式。网站运营方知道来访者的流量和兴趣是必须的，任何平台都会提供这种服务，你没有资格要求人家不了解自己网站的流量。

其次是关于js，我的网站上有一条留言专怼垃圾

用最短的时间获取最好的信息，无操纵引导, 无注意力经济, no charm no bullshit. Greed is good, Boring is good, JavaScript is good. ——BE4

我致力于建serverless的网站(serverless是我自己不需要出server,而是通过第三方API完成)，也就是说所有的功能，尽可能的在网页端实现，在用户的浏览器里完成功能和计算，服务器端无交互能力，只提供静态文件。这种让建站者零风险的技术架构对于信息自由言论是至关重要的。要是每个搞网站的都要自己出一台服务器，那分分种被中共DDOS或者抓捕，稍微出一个问题，或者Cloudflare里有人被中共买通（参考纽约藏人警察昂旺）服务器就暴露了。js是现在很多网站必须要的元素，而不是可有可无的元素，无论是实现点赞，还是页面的排版，甚至是自动生成网页都需要js，越来越多网站架构都是靠js和nodejs开发的。解决用户安全很简单，就是告诉用户用Tor Browser，如果你的环境不允许用Tor Browser那也很简单，你就不该访问这些「敏感」网站。

你说那些都是不知道多少年前的观念，针对的也不是与中共这种掌握整个network的国家级对手进行对抗的行为，而是针对Google，FB，Amazon这类大公司搜集个人隐私的行为。无论是对抗可能的后果还是威胁模型都是完全不同的。

说实话，我很惊讶有很多你这样的墙国人竟然是如此教条主义，从来不亲自验证或者深入思考一下自己看到的安全观念到底是怎么回事。

我致力于建serverless的网站(serverless是我自己不需要出server,而是通过第三方API完成)，也就是说所有的功能，尽可能的在网页端实现，在用户的浏览器里完成功能和计算，服务器端无交互能力，只提供静态文件。

这样的论坛已经有了。但问题是，我们的设备都在 NAT 后面，要互相连通不容易。webRTC 基本不行。用 mqtt server 或自己写的 server 虽然能通，但太重了，抗封锁能力不够。

恐怕要等到都用上 IPV6，每台设备都能互相找到时才好用。

@朝思暮想要登基 <#102634> 谢谢，serverless的网站我已经建了一堆（看本站页脚友情链接https://nodebe4.github.io/），NodeBE4论坛和BE4新闻站有服务器但也不是我出的，我也不需要维护服务器，随便DDOS都毫无感觉，大厂的云。

那些分布式论坛就不要说了，根本没有隐私可言，网络层跟踪得妥妥的。

现在网络审查的手段之一就是用大量低质重复信息进行flooding, 论坛根本招架不住，还不如自己建聚合网站。

@NodeBE4 <#102629>

Google Analytics和其它任何类似的Tracker/analytics并不能让部署方跟踪user，跟踪他们的是Google, Facebook, Amazon等提供analytic code的供应方。部署方只是知道所有访问者的统计信息，而非单独每个访问者的个人信息。

你说这套不要跟踪码的说法真的是跟小二一样靠看公众号文章学技术的。真实的威胁模型在这里有详细阐述，类似的帖子也在2049转发过。 https://diymysite.github.io/analytics/#!pages/analytics.md 简单说，部署方没有获得除了流量统计之外的超额信息，跟踪码的威胁关键在于你是否相信供应方，也就是Google, FB, Amazon等网站，我是不相信的，所以我选择uBO。其次，中共搜集互联网用户信息主要是client和network两个环节，而不是server，你天天叫人家网站如何如何的是连network如何工作的都没搞清楚。小二就是一个相信你说那套的反面教材，已经被抓几个月了，轻则3年重则5年。

如果你认为GA或者其他跟踪码能够让部署方获取用户个人信息，你可以建个静态网站给我演示一下，我来访问，你能搜集到我什么信息。GA等流量分析码是依靠wordpress或者github pages等第三方服务的网站唯一获知流量信息的方式。网站运营方知道来访者的流量和兴趣是必须的，任何平台都会提供这种服务，你没有资格要求人家不了解自己网站的流量。

总结一下，你是想说：部署 Google Analytics 不会让中共额外收集到网站用户信息，数据只会交给 Google，而站点却可以了解来访者的流量。

对此反驳如下：

1. 了解自己网站流量真的比访问者的隐私更重要咯？所以网站应该为了方便自己统计数据，把访问者的一举一动告诉 Google?
2. GA 不是部署者统计用户流量的唯一方法，实际上存在许多自由开源的替代实现。
3. 对于墙内网站，中共肯定是 Client -> Middleboxes -> Server 都能够收集信息；对于墙外网站，中共也可以让 御用骇客 去偷 高敏感人士 的数据。作为用户，如果可以每个层面都做好隐私防护，为什么不做呢？

我致力于建serverless的网站(serverless是我自己不需要出server,而是通过第三方API完成)，也就是说所有的功能，尽可能的在网页端实现，在用户的浏览器里完成功能和计算，服务器端无交互能力，只提供静态文件。这种让建站者零风险的技术架构对于信息自由言论是至关重要的。要是每个搞网站的都要自己出一台服务器，那分分种被中共DDOS或者抓捕，稍微出一个问题，或者Cloudflare里有人被中共买通（参考纽约藏人警察昂旺）服务器就暴露了。js是现在很多网站必须要的元素，而不是可有可无的元素，无论是实现点赞，还是页面的排版，甚至是自动生成网页都需要js，越来越多网站架构都是靠js和nodejs开发的。解决用户安全很简单，就是告诉用户用Tor Browser，如果你的环境不允许用Tor Browser那也很简单，你就不该访问这些「敏感」网站。

你说那些都是不知道多少年前的观念，针对的也不是与中共这种掌握整个network的国家级对手进行对抗的行为，而是针对Google，FB，Amazon这类大公司搜集个人隐私的行为。无论是对抗可能的后果还是威胁模型都是完全不同的。

说实话，我很惊讶有很多你这样的墙国人竟然是如此教条主义，从来不亲自验证或者深入思考一下自己看到的安全观念到底是怎么回事。

1. Serverless 用 ZeroNet/IPFS 多多少少也能实现一点（技术不成熟，仍然建议观望），编程随想的电子图书馆在墙内使用 BTSync 也运转良好。
2. 交互性比较强的网站为了用户体验确实需要 JS ，可是《火光》是作为类似电子杂志的存在，仅仅阅读文章可不需要 JS 。
3. 禁用 JS 的理由很简单，在本机执行代码很危险，当然很早就有人想到了。只是历史悠久不一定代表过时，可能反而是因为其耐得住考验。
4. 不妨说说你是如何亲自验证自己的安全观念的？被御用骇客盯上了身份却没有暴露？同在这匿名论坛上，并不能说明你我的安全观念谁高谁低吧？

@NodeBE4 <#102629> 感觉你是为了怼而怼，并没有注意我说的内容所对应的情况。你只不过想要表述 隐私保护 Server 不应该做，Only client matters 的观点罢了。

@Wizard <#102654> 我的策略很简单，就是编程随想教的那些敏感人士用双虚拟机+多重代理的方案，怕麻烦就不要从事敏感活动。如果有额外的策略，那就是在自己建站时不使用任何需要真实身份的服务平台，包括虚拟主机等。

顺便说，我说的serverless只是对于部署者而言是serverless，不要跟web tech的serverless混淆。github pages, pythonanywhere, heroku都是有server的，技术上不是serverless但是对建站者而言都是serverless。御用黑客或者这些公司内部被中共买通的人员就算拿到所有服务器上的信息，也不会暴露我的身份。从事敏感活动的任何人都应该这样，一切都跟自己的真实身份隔离。你说的那些ZeroNet我根本不信，我要的不是分布式，而是建站者不需要自己出服务器。分布式根本没有什么隐私而言，分布式和隐私是两码事。

火光作为博客，它没有通过部署wordpress自带的GA之外的能力，任何网站都有了解流量统计的需求，了解观众的兴趣对网站的运营至关重要，除非你只想发布某些内容。顺便说一句，我建的github pages都是没有用GA或者任何tracker的，因为我自己已经通过其它方法系统分析过整个翻墙中文用户的规模和兴趣了，简单说就是已经比较有经验了。

其它开源的analytics比GA更危险，部署在服务器上的东西，你怎么看到部署的代码是什么？diymysite的作者曾经找过开源的tracker, 后来到uBO的论坛一问为什么没屏蔽是不是因为它安全，uBO立刻就将之添加到屏蔽列表了。你问这些说明你没有经验，看了别人的文章，自己没有建站或者去uBO的支持论坛去交流一下。

顺便说一句，如果你自己有server，就算是heroku这样的server，都可以不用GA实现流量跟踪，这种叫第一方流量分析，获得的信息是完整的，比部署GA的第三方博客或静态网站了解用户详细完整得多，每个来访IP的每个具体浏览器信息都完整的了解。问题根本不是什么GA，而是看你服务器的日志保存了多久，如果是恶意网站，网站源代码可以不记录，但是完全可以通过第三方程序分析网站日志精准定位来访者。总之，用户自己不保护自己的话，根本没有用。

@NodeBE4 <#102658>

顺便说，我说的serverless只是对于部署者而言是serverless，不要跟web tech的serverless混淆。

看来我误解了你说的 Serverless

分布式根本没有什么隐私而言，分布式和隐私是两码事。

基本赞同，分布式更多是为了可用性，而不是隐私。

关于 Tracker ：

自由开源的 Tracker 数据掌握在建站者手里，使用 GA 就是把数据给 Google 。

作为站方，如果既想保护用户隐私，又需要收集流量统计数据。当然应该选择自由开源的 Tracker，而不是把数据交给第三方（Google）。不使用 Tracker 当然最好（这也是我最初的建议）

作为用户，我不想让任何一方跟踪我，自然屏蔽所有 Tracker 咯。

注意我的建议针对站方，而不是用户。如果让我给用户建议，肯定也是屏蔽掉任何 Tracker。

总之，用户自己不保护自己的话，根本没有用。

同意，这也是讨论中的共识。

就像我之前所说，分歧在于站点是否应该注重隐私保护。这一点也明确了，没有必要继续争论咯！

@朝思暮想要登基 <#102634> 想知道是什麼論壇

@NodeBE4 <#102651> 你知道很多这样的论坛么？能不能告诉我几个？我说的是如果客户端有公网 IP 就可以不用任何 server 的。

大多数人上论坛是发一些低敏感度信息，就像我们在这里讨论技术，被查到又能定什么罪？不必人人都采用革命领袖的安全层级。反而是人多更重要。而信息聚合等 web1.0 特征的媒体无法令大多数人参与，用户是易失的。

防 flooding 并不难，限制用户注册就行了。

@习猪习 <#102678> 现在扩散出来活不了多久。等网络条件改善。

@朝思暮想要登基 <#102711> 我说的是网站，网站不等于论坛，您的大脑将所见扭曲为期望的能力似乎比一般人强……

大多数人上论坛是发一些低敏感度信息，就像我们在这里讨论技术，被查到又能定什么罪？不必人人都采用革命领袖的安全层级。

2049bbs和端点星项目的创始人和志愿者小二（蔡伟、唐红波、陈玫）就是这样一步步走进深渊的，蔡、陈据说9月21日开庭，轻则3年重则5年。按照08年的标准，任志强茅予弑是社会主流。按照12年的标准，立人大学是合法的。按照17、18年的标准，端点星是低敏感度的。最终高呼万岁不够大声的都会被当作两面人。

任何人，就算只是翻墙看小姐姐大姐姐视频都最好采用革命领袖的安全层级。

党国的猎犬以业绩为导向，随着体制外就业萎缩，体制内僧多粥少的情况愈演愈烈，最终猎犬们即便你没有罪都会想办法敲诈你1000块的翻墙罚款，降低敏感的阈值就是总加速师的必然结果。不要想着搞个Tuber浏览器那种垃圾，要么微笑着裸奔、要么摒住呼吸全副武装潜行，没有中间状态。

@NodeBE4 <#102750>

那些分布式论坛就不要说了

这是谁的话，说的是网站还是论坛？您的大脑将所见扭曲为期望的能力似乎比一般人强……

管制渐严是表象，内在的原因是人少了。现在已经没有几个蔡伟和任志强。如果是一亿人一起做，揭竿而起烤包子也不算危险。宣扬过度的防范首先会挡住 99.999% 的参与者，使猎犬将足够的资源聚集到剩下的一小小撮人身上。

@朝思暮想要登基 <#102758> 你到这个论坛搜零网或者ZeroNet之类的，有人发过好多贴。

管制严是表象，内在原因是习近平开倒车。人基本都还在，只不过被管制得不说话了。翻墙那么难，还是有那么多人翻墙。顺便说一句，我从来不从整体层面考虑是不是有99.999%的人被挡住，是否需要人民战争之类的，整体层面考虑是完全错误的思维模式。安装Tor Browser异常简单，每个会用电脑的都应该会安装，每个在墙外的都可以做到，每个会翻墙的都可以设置Tor双虚拟机。要看网站随便，要发言最好带Tor, 要写代码最好全副武装。

@Wizard <#102665> 没有所谓自由开源的Tracker, 如果火光自己部署Tracker那么火光就可以像任何一个有服务器的网站一样获得用户的完整且详细的数字隐私信息。从安全性上而言，Google掌握用户隐私比火光自己掌握用户隐私更安全。从用户自身的隐私泄漏而言，Google通过GA掌握用户在整个互联网大部分浏览记录，这是严重的泄漏隐私给Google。从对抗Google的角度，靠火光这么一个没几个人访问的小网站移除GA是根本没有任何用的。唯一保护用户的方法就是用户自己安装uBO之类的blocker. 你只有在自己上网时封锁掉99.99%的tracker才能保护自己的隐私，让0.01%的网站不部署Tracker根本没有任何用。

@NodeBE4 <#102778>

火光什麼時候更新呀？