@libgen <#15591481> https://nodebe4.github.io/weixin/

@霏艺Faye <#15783884> 防止恶意tor节点监听帐号密码，否则在tor节点看到的是明文

@libgen <#15591481> 这个大概是跟2049bbs一起关了。上次我看的时候还是运行中。可能要楼主这种技术高手才能搞定了，我这种文科生把别人的代码和方案改改拼凑一下还行，原创太为难我了。

不过我很好奇，你能否解释一下为什么你觉得微信公众号的文章值得备份呢？

@爱狗却养猫 <#15686418> 所以，你每次都换一个不同的假身份去大保健，而且这些假身份还被很多不同的人共用，警方抄了大保健的家，无论它有没有记录都无所谓的啊。

建议给tor加个https

站长编辑：参见 沉默的广场 的回答。

网站备份，最近以观点为例做了不少。我主要瞄准我认为价值比较高的内容网站，而非论坛。

已经有的

• nodebe4的静态网站模板已经比较完善, 这个模板可以追溯到小二，很多组件来自端点星。后来陆续添加了很多东西，尤其是搜索、翻页、同类文章列表、针对触摸屏的FAB按钮(上下左右)等新功能可以让浏览变得非常高效。我建议这部分不要重复造轮子。直接把模板抄过去。
• nodebe4的内容自动添加采用了duty-machine的news抓取模板，在此基础上进行了改进和完善，能生成yaml表头。如果是做一个靠RSS订阅来自动填充内容的网站，这部分也比较完善了，后来者根据自己的需求修改subs.json中的订阅列表就行。还包括了其它组建，比如clean.js用于清洗掉奇怪字符。
• github action是一个很好的云计算资源，后台定期抓取都是 在这里实现的。而且用github的服务器可以确保运行爬虫的程序不会被目标网站封IP，封掉github的IP代价太高了。当然希望开发者们不要滥用这个免费资源。

需要完善的

• **技术层面：**网站抓取工具，推荐还是用nodejs开发一个比较完善的网页内容抓取。这方面我已经在BE4新闻站实现了一些，可以抓取相当多网站的内容，并且转换成markdown格式。duty-machine也实现了好几个网站的内容抓取。如果大家能把这些抓取程序整合起来，做成一个npm包，将来做内容网站抓取和备份就方便很多。网站内容抓取是很繁琐的工作，需要针对每个网站写不同的代码。
• **内容层面：**需要确定哪些网站有备份或抓取的价值。这方面，你我的看法可能不同，你喜欢备份论坛，我对论坛几乎没有兴趣，我更喜欢建类似资料馆类的东西。这可能就要由不同的人，组成不同的行动小组，不懂技术的可以帮忙搜索哪些网站有备份或抢救价值，确定目标。

网站不记录IP这种说法，在二十年前可能有用。

打个比方，你生活在一个每个路口每条街都遍布摄像头的城市，而且这些摄像头都是统一联网，有人脸识别，有步态识别，记录的监控元数据甚至还会被保存一段时间，等待技术升级后提高识别率。你在这样一个城市里去找大保健，大保健店说我们不保留你的访问记录，我们的背景也是干净的。就算店家说的是真的，这又有用吗？警察最多不知道你具体找了哪个小姐姐，但是你每次进门出门都被摄像头记录下来了，人脸识别瞬间就从数据库里把你名字打在屏幕上了。

这种环境下，最核心的措施是你去大保健之前要先化妆易容一下，用VPN就是你每次易容都是同一个脸，时间久了还是能猜出那人是你，用Tor就是你每次易容都是不同的脸+步态，而且这个脸和步态的池子是其他人共享的，也就是同时有其他人用这样的脸和步态在城市里活动。你说哪种方法安全？

@李舜生 <#15428013> 你到uBO的reddit论坛上去问吧，主流网站是不可能漏的，漏几个其实无所谓的，泄漏身份的反而是主流网站，而非小众网站。

@thphd <#15085313> 我提到的加密流量分片区搜索的方法，更像是编程随想提到过的这个案例，中共在掌握全部互联网流量的情况下，指挥中心就能实现像FBI那样的流量监控。搜索方案是地理上的二分搜尋演算法，对数复杂度，从14亿人中找出一个人不难。

◇案例2：顶级黑客 Jeremy Hammond 被捕 此人是大名鼎鼎的 LulzSec 骨干成员，网名 yohoho。从其辉煌战绩可以看出，他显然是技术高手。而且他也一向谨慎，LulzSec 的其他成员并不知道他的真身。 后来，LulzSec 的某个成员（网名 Sabu）被 FBI 逮捕，并转为卧底。所以 FBI 拿到了 yohoho 与 Sabu 之间的所有聊天记录。 在与 Sabu 聊天时，yohoho 无意间提到自己参加了对“共和党全国代表大会”的抗议示威，并被警方拘留。这个信息量已经足够高，足以把范围缩到很小。警方开始怀疑 Hammond，并监控他家的网络流量。观察多日后发现：他家 Tor 流量出现的时间段，与 yohoho 上线的时间点高度吻合。 于是 FBI 申请了“强行搜查令”，破门而入……

@一只雞兒 <#15094058> 你这话听起来有点像自我安慰，你跟几个朋友分享VPS的话，几乎没什么用的。Google Analytics或者GFW不需要观察你VPS的出口流量，而是搜集你VPS的IP挂钩的网站访问记录。你的朋友如果不用这个VPN浏览网页，或者他们的User Agent浏览器指纹等特征跟你的有明显区别的话，稍微简单处理一下就能区分你们每个人，即便有少量数据无法识别，能获取你的一部分访问记录就能确定你的身份了。

@一只雞兒 <#15094058> @20202047 <#15109396> @observerIE <#15088072>

VPN+Tor的方案里面为什么重点是Tor，因为如果你只用VPN，你的出口IP是唯一的。单用VPN不带Tor的情况分两种，专用VPN或者公用VPN。

先说说你自建VPN的情况，这种情况识别你非常容易。类似Google Analytics或中共的GFW这样的类基础设施，可以掌握了你的相当大一部分流量，这些流量包含你的VPN出口地址，目标地址，以及其他类似user agent的特征。因为你的身份还是跟一个固定IP绑定的，所以他们还是能跟前面纽约时报作者提供的类似的访问记录，虽然这份记录跟你的真实IP没有挂钩，但是还是包含你的完整特征。时间稍微久一点，信息累计足够多，就能确定你的真实身份，因为你的特征是唯一的。

公用VPN的情况要好得多，前提是VPN自身是安全的，不记录你的流量，如果是恶意VPN的话跟裸奔一样。因为很多人使用同一个IP，可以让特征消失。但是如果你的浏览器指纹是唯一的，日积月累还是能获取跟你绑定的很大一部分浏览记录。如果你除了VPN没有别的措施，比如浏览器没有隔离或定制，那么通过一两次浏览器指纹泄漏就能跟你的真实身份挂钩。

Tor和Tor Browser提供的是一个全套解决方案，从浏览器指纹，到Tor网络的共用IP再到每次浏览都会更换不同的出口节点，这些全部加在一起才能从根本上去掉累计数据进而挖掘你的特征的可能性，进而从根本上解决问题。其它方案，只要你的身份泄漏一次，一切都完了，而Tor每次都不一样。

@thphd <#15085313> 差分分析 我不同意你的说法。

DNS服务器可以直接IP访问绕过，但是流量还是会经过中共控制的网络，一样会被路由器记录。那篇文章里也介绍了为什么直接IP访问对大部分大中型网站不可行。

另外，教大家一个小技巧，在Tor Browser或者Firefox, chrome浏览网站时，按F12可以打开调试窗口。顶部有一行菜单，点击Network 就可以看到当前的网页向哪里请求了哪些链接，或者F5刷新一下就能看到全部请求。

@thphd <#15079847> 通过Tor这样安全的网络，在安全的浏览器上，用javascript是问题不大的，这只是我的个人看法。我开发网站也会大量使用javascript.

禁用js的做法已经过时了，现在很多网站离开js都无法正常工作，尤其是依赖js生成图表的那类网站。

最核心的安全措施是双虚拟机+Tor的方案，有了这个随便js都无所谓。

@thphd <#15079847> 你回应的内容完全离题了，跟我的主题无关，或许回答一些用户的疑问。虽然我说了很多流量跟踪码的问题，但很明显你没有仔细看内容。

本楼的核心主题是两点： 一、科普互联网是如何工作的，为什么网站不记录IP等信息也不能裸奔访问。 二、对隐私和身份泄漏方面的真正的威胁模型是什么。

再说说你的VPN的问题，安全的VPN是可以用的，但是中国大陆能买到的大部分VPN提供商都不够安全，所以要用Tor。

@20202047 <#15070084> 根本就不是信不信任的问题，我访问自己做的网站也都是通过Tor，因为你和你访问的网站之间还有很多环节，你自己的设备也可能被黑等等。很多人对互联网是怎么传递信息的缺乏基本概念，我列出来的文章里头都写了，视频也介绍得比较清楚。

欢迎大家提交新项目、点赞、传播推广。

看不进去文字的，至少看一下几分钟的科普视频

• 互联网是怎么工作的？翻墙的原理又是什么？https://www.youtube.com/watch?v=EUKmF_IKttc
• 互联网是如何工作的？VPN、SSR、V2ray翻墙是什么原理？https://www.youtube.com/watch?v=iidqJ7p7ln4

摘抄 流量跟踪码是什么，有什么危害，是否等同于钓鱼 里的一张图和文字，解释一下如何通过网站浏览记录判断你是谁。注意：Google是通过几乎无所不在的Google Analytics来获取你几乎完整的上网记录，而中共是通过自己的互联网基础设施直接获取你完整的网络访问记录。 你的身份和隐私泄漏主要是通过了解你访问了哪些网站，而不是具体哪些网页。最近的研究都表明每个人的互联网访问记录是独一无二的，不需要知道你访问了具体哪个网页，只需要知道你什么时候访问了什么网站，就能确定你是你。Google Analytics这样的流量跟踪码跟中国的互联网GFW比起来根本就是不值一提。

--补充1-- 其实跟踪码的用途和危害用一张图就能说明 来源 https://www.nytimes.com/interactive/2019/08/23/opinion/data-internet-privacy-tracking.html

这是纽约时报文章中，作者自己某一天的网络活动的时间线。

他从上午11：56开始上网到凌晨3：17分访问最后一个网站后睡觉，一共访问了47个网站。每一个网站用一个圆圈表示，圆圈里面的每一个点就是一次「跟踪码」的跟踪动作，跟踪码的颜色代表不同的来源，也就是本帖提到的「提供商」。可以看到最常见的跟踪码提供商有Google, Amazon, Facebook. 另外，有的跟踪码还搜集地理信息，在图中用绿色点标出。剩下灰色的点，应该是上面三家之外的其他跟踪码「提供商」。

大家可以看到，Google的跟踪码在作者访问的每家网站都出现了，所以理论上来说，Google能掌握这个人一天的完整的上网记录。其次是Facebook的跟踪码，部署在作者访问过大部分网站，也就是说Facebook搜集了作者大部分的上网记录。即便是第三名的Amazon，也搜集了作者超过一半的上网记录。

其中他用虚线连起来那些点使用了同一个跟踪ID，也就是说，这一家跟踪码「提供商」准确的掌握了作者在虚线连起来这些网站上的活动轨迹。刚好8家网站是作者活动最频繁的网站。这家跟踪码「提供商」显然太嫩了，做得不如Google，Amazon，FB这类大厂干净。

可见，跟踪码「提供商」通过免费给网站提供流量统计服务，目的是让尽量多的网站部署自己的跟踪码，这样好收集每个人尽量完整的上网活动记录。

我们光是从作者的这一天的活动记录，就可以目测出作者的生活作息是晚睡晚起，政治倾向偏左，支持民主党候选人伊丽莎白.沃纶。而上面三家大厂Google、Amazon、Facebook利用跟踪码掌握的数据，完全也可以用来挖掘出作者的这些个人隐私。

所以，这两个半瓶水那套「跟踪码是网站用来搜集用户身份信息」的歪理邪说，把谁在搜集什么数据都完全搞错了，推导出来的结论更是荒谬绝伦。 「半瓶水的歪理邪说」得出了什么荒谬的结论

荒谬结论（1）： 小网站不能部署跟踪码，因为小网站可能出卖你的数据。大网站可以部署跟踪码搜集你的数据，因为大网站会考虑商誉而保护你的隐私。

事实是，真正搜集你信息的是跟踪码的「提供商」，它搜集你的完整上网记录，反而是越大的网站，越能泄漏你的隐私。比如作者访问了几家左派媒体和沃伦的官方网站，这就透露了这位纽时作者的政治倾向。

相反，部署这些跟踪码的网站，本身可以直接在后台保存你的访问记录，根本就不需要通过跟踪码来搜集。

荒谬结论（2）：避免被跟踪的解决方案是网站不该部署跟踪码。

事实是，绝大部分网站都需要流量统计这类功能，而跟踪码「提供商」通过为网站无偿提供这个功能，但隐瞒了他们搜集用户的访问记录这个事实。绝大部分网站当然会无脑选择免费又有公信力的流量统计服务。所以荒谬结论2的方案根本就不现实，更无法保护你的隐私。一两家网站没有跟踪码，对Google Facebook Amazon等等大厂小厂来说，就是大数据少了一两个点，对他们挖掘你的隐私根本就没有任何影响。

荒谬结论（3）：要保证安全和隐私，你要尽量访问没有跟踪码的网站。

这根本就是错的，少了一两个点，你的隐私照样被巨头搜集和挖掘。只不过是创造一个让你多上他们网站的理由，一个卖点罢了，对你的隐私没起到什么保护作用。你要是经常上中国数字时代，matters这类有跟踪码的网站，Google Facebook Amazon等等大小几百家跟踪码「提供商」都知道你是个反贼。

正确的方法是用Tor跟uBlockOrigin这类阻断跟踪码的插件来保护自己的隐私。用Tor或TorBrowser是让你每次点击都产生一个不同来源的假数据，让跟踪码不知道点这些网站的是同一个人。用uBlockOrigin则是直接不让这些跟踪码正常工作。

uBO会不会漏掉一些跟踪码？肯定是会有的，但是漏掉一两个并无大碍。如果你能够把上面那张图上99%的点都抹去，那么只有一两家跟踪码「提供商」搜集了你一两个点的数据，他们能挖出的有用信息极少。我说的是不用代理，但是用uBO插件的情况下。

如果你用Tor，那么uBO漏掉一两个跟踪码根本毫无影响。

摘抄一部分 流量分析那些事儿 里关于网络环节的科普

服务器端

你打开一个网站的过程大致如下：

1. 你的浏览器要先问DNS服务器你输入这个网址的服务器在哪里，DNS服务器告诉你的浏览器一个IP地址。
2. 然后你的浏览器就向那个IP地址的服务器发出请求，那个服务器在收到你的请求之后把网页文件传送给你的浏览器。
3. 你的浏览器把接收到的网页文件 渲染 成你看到的漂亮网页。

好吧，上述过程有点长，不过你反复读两遍就会发现这个过程有两个“服务器”知道你访问过这个网站的事儿。假如你访问的是pornhub，那么DNS服务器知道你曾经问过pornhub的网址在哪里，虽然你只是问了它pornhub怎么走，不代表你一定就去了pornhub，但，呵呵，come on，大家都知道问pornhub怎么走的人里头有99.99%都去了。第二个知道你访问过pornhub的当然就是pornhub自己啦，你向它要了网页呢，那还能赖掉？

不过，你对pornhub很信任，因为你知道pornhub绝对不会出卖你，否则这事儿传出去以后谁还敢去它那儿？DNS服务器就没办法了。

你是不是在想“我这次知道pornhub怎么走了，下次再去的时候就不用问DNS服务器了，这样DNS服务器就不知道我看过多少”。这个理论上是可以的，不过因为各种原因并不现实。像pornhub这种人民群众喜闻乐见的网站，至少有成千上万台服务器，名副其实的连锁店。你访问pornhub更像是在一个大城市里找中石化的加油站，你上次加油的地方现在可能排着长长的队，所以你每次加油前都得先查查哪个加油站不用排队。用夜店比喻的话，就是pornhub每次都会让接待你的服务生带你去一个空的卡座。所以一般来说，你还得每次都问DNS服务器pornhub怎么走。

服务器端的流量分析是无法避免的，服务器知道你在这里干的一切，如果你每次都换IP且不登录的话还好，服务器认不出你是同一个人，但如果你登录帐号的话……

网络环节

互联网是一张网，前面描述的打开过程只是在应用层面，看上去只有DNS服务器和网站服务器（Pornhub）知道这事儿。实际上在更底层的网络，你发送的和接收到的每一个数据包都是经过很多服务器层层接力转发，就像你在淘宝剁手之后包裹是由网店老板交给快递收件员，途经收件站，经货车转运到机场或火车站，经铁路或航空送到你的城市总站，再经两三次转发送到快递门店，再由快递小哥送到你（或者小区门卫大爷）的手上。这中间很多人都可能打开你的包裹偷看一下你买了个啥好东西，这中间的每个环节都可能记录下你买了多少东西，比如快递门店一查这个月给你发了多少条短信就能统计你这个流量了。互联网上的数据包传输在本质上跟上述实物包裹是一样的，只不过各种中转站是由各种昂贵的路由器、网关等设备构成，整个过程时间短一点而已（好吧，短几个数量级）。

所以，网络中除了DNS服务器能做流量分析外，还有很多环节可能做流量分析。顺便说一句，看到这里，你大概明白防火长城是怎么封锁你的吧？一种方法是像机场安检，一扫你的包裹里有把枪或者一个炸弹，直接就拦下来了。第二种方法，看到你的发件地址是不允许的地方（比如收件人：台湾总统府）直接拦下，第三种也是最廉价的方法就是当你问DNS服务器pronhub怎么走的时候直接告诉你一个错误的地址（DNS污染）。

好啦，回到正题，除了DNS方的分析，你的ISP服务商（就是每个月收你网费的公司，或者给你网用的组织）通常会分析你访问了哪些网站，因为你所有的流量都会经过它控制的服务器。用前面送快递来比喻，你的ISP服务商就是专门负责你那个片区的快递门店，你的公司或机构网络则相当于负责收发件的门卫大爷。

总结

前面这些分析无外乎是想告诉大家，不是只有你登录或访问的网站能够分析你在互联网上的活动，而且你的活动是否被记录和分析绝不仅能通过看一个网站的源代码发现。整个网络里有无数个环节可以用来分析和跟踪你，服务器有你的所有信息，网路中间设施有很多环节可以监听、审查你的信息流。当你凝视深渊的时候，深渊也在凝视你。保护隐私要从自己的电脑这边源头做起，而不是仅仅去指望或指责别人。

更多工具请参考 https://www.privacytools.io/ 和 https://prism-break.org/en/

@thphd <#12241289> 你应该iframe 这里

https://hero-form.vercel.app

@thphd <#12242078> js访问API是第一个方案，函数都还在，但是会出CORS error，只能用form。不过已经用iframe避免了reload。

@thphd <#9748528> 目前我的设想是网页可以分布式部署，任何网站都可以按照GPL 3协议部署镜像，但镜像里的数据源、新人物提交、点赞都指向这个repo本身。这样这个榜单的人物和投票都有比较广泛的来源。

当然，直接把项目整个fork过去，做一个独立运行的榜单也是可以的，但是这样受众就有限，榜单本身的意义不大了。维基百科之所以强大就是因为每个人都访问同一个维基百科。

现在域名+CF+服务器的成本很低，注册域名和租服完全可以匿名进行（通过比特币）。

域名注册和租服务器几乎不可能匿名进行，否则恐怖分子到处都是了。

域名+CF+服务器的成本可不是一般的高，$5/月的服务器能扛得住几次攻击？人多了你就得为服务器升级扩容。钱是小事，你别忘了算站长付出的人工和机会成本。

$100k年薪换成时薪就是大约 $50，这还不算上政治风险，心理压力。你算算2047这个站，站长写代码花了20天，这就是差不多自己投入$8000的劳动力成本了。人多了影响力大了，各种乱七八糟的事都会开销站长的时间，成本老高老高了。

所以，只有那种只需要一次性投入，就能永久运行的项目方案，才能真正在免费的领域做到可持续，可长久经营。

要做好一件事不难，本事乘以时间就等于产出的质量，但是最大的问题就是时间，不管你本事多大，你拥有的时间和乞丐流浪汉是一样多的，所以，想想

@沉默的广场 <#9754468> 这方面我有过思考，见NodeBE4的公告，对于论坛和用户而言，两个矛盾难以解决：一是权力分布，二是利益冲突。

天下可以有免费的午餐，但不可能到处都是免费午餐。免费午餐必然是不可持续的，零星的模式。这就是为什么我建的网站都非常强调0成本，一年$120根本不是成本，每天几个小时才是高昂的成本，你按 thphd说的湾区码农100k年薪算算，站长一年投入了多少成本？

无论是2049还是2047都是靠站长又搞技术支持又当陪聊，否则就没人气。我的论坛也有这种现象，我不说话就没有人来说话，幸好我建站并不是为了人气，对此无所谓的。

这中间就有利益冲突，要么站长长期吃亏，要么站长会想出一套商业模式从用户身上找补回自己的成本。一旦有了商业模式，大部分用户肯定是吃亏的，当然只是说你自己知不知道罢了。

这就是为什么我非常强调一套技术方案要对站长是0成本0风险，这样才能解决利益冲突的问题。如果你用按揭买房来比喻，那就是站长心情好可以贡献一个自己承担得起的首付，但后面不要每个月都付按揭，久病无孝子也是这个道理。

对楼主提出的议题，这篇文章或许对思考有所启发

程晓农：社会主义国家转型模式比较

链接在这里有程晓农

對應「1984」裏的新話，極左意識形態下都普遍存在對傳統的漠視和反感，進而不斷用新詞，就像時尚界不斷的搞新花樣一樣。新話的目的是切斷傳統，彰顯自己是原創革命性事物，同時也是一種讓聽衆保持無知無法對比的狀態，這裏也牽涉商業利益，但實際上所有的東西都有傳統的源頭，只要找到源頭就知道 太陽底下無新鮮事。

對抗的辦法就是堅持經典詞彙，對事物追根溯源，找出發展脈絡。

添加了一個官方鏡像

https://hero-form.vercel.app/

状态更新

为保存记录，更新一下进展

坑基本填好了，我一个学文科的干这活容易吗。

回应几点讨论:

• 域名: 不打算买域名，但是...
• 任何网站都可以host本英雄榜的镜像，方法在这里，欢迎站长博主们部署，欢迎朋友们参与、传播。
• 评论区，目前需要github帐号才能评论，是否开放匿名评论，看大家的意见。
• 界面和美工，欢迎专业人士提出意见，基本原则是精简。
• 还可以有哪些功能：人物页面还可以加入近期Twitter相关评论，人物大头照可以有举报纠错功能，匿名评论可以有，根据大家的反馈，可以逐步添加。
• 安全：基本上就是对duty-machine的方案的发挥，头像图片也都自动替换成了imgur的图。

@thphd <#8549730> 受到你的啓發，我突然想到，這個項目應該往支持分佈式多鏡像部署的方向發展，而數據的彙總都在github上項目本身的repo. 完全可以做到的。

這樣，任何網站都可以host這個英雄榜，而數據都是同一個來源。

@thphd <#8549730> 要host的话可以定期clone gh-pages branch，网站的更新是靠github action完成，现在是有新人物被提交或每个小时自动刷新一次。

github pages只是一個靜態網站的host，具體來說，是靠github action運行jekyll build生成純靜態網站，放到gh-pages分支，大家在nodebe4.github.io/hero所看到的靜態頁面，就是repo的gh-pages的內容，而不是master branch的內容。

@thphd <#8134090> 现在投票、添加新人物的功能都有了，就在首页，还是抄 @duty-machine 的作业。

提交之后，机器人会自动搜集数据，将来大头照也靠机器人找google要。

@NodeBE4 <#7699626> @thphd <#7367425>

在github向你们俩都发出了合作邀请到，有空的时候可以搞一搞。

另外，添加了一些说明

https://github.com/NodeBE4/hero

另外，@thphd 有这个repo的访问权限后，将来可以在2047搞个添加新人物的接口，论坛直接向repo提交新人物。

@duty-machine <#7669358> 这个项目的功能和方案其实应该分开。

功能上讲，我觉得是有意义的，当然可以有一定门槛，比如必须是2047的成员才能使用。。。

方案我想了一下，确实对于很多人来说，现成的工具已经足够多，真正有需求的人也就是几次Google的距离。

@duty-machine <#7671344> 我找了个node.js rest api的例子学习入门，现在可以用post改写index.json，github上邀请你加入私有repo了，不过最终还是要移植到vercel。

不过主楼里数据的存储方案确实要再考虑一下，https://raw.githubusercontent.com/ 上的文件同repo里相比的还是有相当长的延迟，raw里的数据还是不能做实时交互的应用。具体的数据，投票和评论从index.json分开也是可以的。

你提到的翻看的问题，可以考虑用搜索框来完成，但是这样的话，就需要为每个人建立一个页面了，当然个人页面内容还是可以用github action从wikipedia抓取等方式后台自动填充。

@libgen <#7453007> 肯定算的，要做大，或者要長期持續，肯定都需要自己的域名，服務器等等，也就難免就會對匿名方案提出更高的要求。libgen這種項目對數據庫和網絡的要求都非常高，不是一般小打小鬧能做的。

@穿鞋的企鹅 <#7374885> 您提到的這個網站挺不錯的，好像也有matrix之類的方案，看來世界上的類似需求不小，但還是有個問題就是需要有能夠把這種模式廣播出去，也需要一個有固定活動網站/羣落的社區。陣地戰和游擊戰相輔相成。

@mountainsea <#7475668> 謝謝支持，域名將來可以考慮到eu.org註冊一個免費二級域名。我希望這是 一個真正由社區一起完成的項目。

剛剛更新了一下人物列表展示功能，把前面提到的json文件加進去了。

做了外媒之後，我覺得新聞站的意義小了，無法Tor訪問也無所謂，我自己都很少去看了，畢竟外媒網站是有近期全部新聞記錄的，即時搜索功能也很好用。

不過新聞站的最顯著模塊網頁版RSS閱讀器我已經單獨拿出來放到了一個靜態頁面。 news

---更新---

又可以从tor访问了

@thphd <#7367425> 前面的留言更新了一下，回答了你再前面的問題。自己的服務器主要的問題是對用戶的透明度和personal access token之類的密鑰管理不方便，另外也怕有人攻擊服務器之類。我有空先看看nodejs的開發流程是怎麼樣的，目前我用js而非python是因爲我從來沒用過js不怕泄漏代碼指紋。

@thphd <#7360685> 沒什麼nodejs經驗，我目前考慮的是這種api

https://github.com/duty-machine/duty-machine-form/blob/master/api/submit.js

它自動部署在vercel.com上，而且有vercel的機器人在commit下面留言認證。

因爲這種敏感的網站，很多人會擔心遇到釣魚網站泄漏自己IP，所以vercel是可以確保部署運行的源代碼就是他們看到的且沒有記錄IP等信息的源代碼。

如果python開發的api能部署到vercel上，也不必拘泥於nodejs。

用hash一是怕重名的人，也怕有人提交一些奇怪的字符或者超長的名字讓文件名不安全，或者系統崩潰。

評論頻率在api那裏就可以限制，github也有流量限制的。

@穿鞋的企鹅 <#7326892> 公益性質的開源項目，我想回報無外就是名和一些可重用的技術成果，当然这還首先要把匿名做好，否則名就是禍。。。

可持續性的問題，我覺得短期內都不會有什麼可持續性，所以我一直都在追求那種輕量化，0成本，0風險的方案，某天興趣來了做完發佈到網上，就可以依賴github提供的資源和免費算力，永久自動運行下去，基本無需維護和干預，更不擔心黑客攻擊，DDOS，502之類的麻煩事，也不需要信用卡。網站設計時，確保自身的數據結構儘量精簡，保證免費計劃下也能無干預的運行幾年，需要的運算儘可能都在用戶瀏覽器完成。

這些都是確保項目參與者的零心理壓力，只要不是在編程時被警察抓個正着，那一關機就真的可以高枕無憂，毫無壓力，甩手不管項目都可以活幾年那種。如果按照一般的商業項目的做法，參與者要麼瘋掉要麼累死。

項目上面應該有一長串貢獻者名單，這個名單由定期自動運行的腳本根據github用戶提交PR的情況自動生成。

具體策略，就是需要集思廣議，儘可能的把可能遇到的麻煩都提前想到，在設計時就考慮好方案。我提出的零維護零成本設計考慮，就是針對這類項目面臨的人力短缺和高風險的，這些是我觀察到和體會過的主要困難。其它可能還有很多我沒考慮過的困難，所以需要有相關經驗的人討論。

@thphd <#7313935> 如果有人能帮忙写个api，挂在vercel.com上，点赞和评论功能就有了。

我设想的是这样，人物信息放在一个json文件，

[
    {
     "wiki": "https://zh.wikipedia.org/wiki/%E8%AE%B8%E7%AB%A0%E6%B6%A6",
     "people": "许章润",
     "vote": 1,
     "hash": "xxxxxxx",
    }, 
    {
     "wiki": "https://zh.wikipedia.org/zh-tw/%E8%94%A1%E9%9C%9E",
     "people": "蔡霞",
     "vote": 1,
     "hash": "xxxxxxy",
    },
  ...
]

api只需要两个函数，一个点赞，一个提交新的人物。点赞的api的实现方式就是直接读取这个json文件，然后给对应的那个人的vote加1。提交新人物就在主页做个表格，提交到api就添加一个item。url合法性检查在网页js实现。api直接修改github repo里的json文件，网页定期自动刷新一次。

主页的人物索引或排行榜就根据这个json文件来由浏览器的js动态产生。

hash就是wikipedia+名字的md5 hash，留着给加载评论区用，比如，评论的json数据就以这个hash为文件名。如果做评论区的话，就要再在api里头加一个评论的函数，也是往一个<hash>.json的文件里追加评论就行了。

这种网站流量不会很大，基本不用考虑两个人同时提交/评论的问题，出现这种情况的话，页面js根据api反馈让用户重新点个赞或者点一下提交按钮就行了。

@thphd <#7255055> 免费是相对的，我们在github上做这些东西，都是github和我们自己在买单。类似的，观点网站上的那些信息的产生也都不是免费的，我当然赞同物理或者信息论意义上的no free lunch，不过显然我指的free lunch不是物理意义上的，更不是说lunch没有成本，而是吃lunch的人是免费接受且施加者不求从吃lunch的人身上获取直接回报。

所以我比较重视那种只需要一次性投入一些时间开发，后面至少在理论上就能长期自动运行的项目，而不是需要程序员持续投入，或者人工管理员持续维护的那种项目。这种限制当然有很大的局限性，但这类项目有它非常适合的领域。

@thphd <#7124762> 写了个展示单个英雄人物的演示页面，投票功能还没有，这个主要目的是演示如何利用wikipedia和新闻站自动填充内容。页面只需要存两个变量：

people: 许章润
wiki: https://zh.wikipedia.org/wiki/%E8%AE%B8%E7%AB%A0%E6%B6%A6

其它都从别的网站抓

https://nodebe4.github.io/hero/

@穿鞋的企鹅 <#7222809> 我對免費午餐的定義和你不太一樣。

注意力經濟、荷爾蒙經濟肯定不是免費午餐，而且是最貴的收費午餐，雖然消費者沒有花一份錢，而且也是自願交易，但時間比錢更貴。做流量賣廣告的模式，或者做大V賣產品的李子七模式，都是這種商業模式。注意，是商業模式，當然不是免費午餐。

我對這類商業模式絕對沒有任何問題，或許現實世界裏，我也是這種商業模式的投資者、推動者、參與者、受益者，受害者，who knows. 但那些跟BE4的身份無關。

我想幹的事情，很大程度上是對於注意力經濟和荷爾蒙經濟，甚至監控資本主義，的破壞和挑戰，那就是提供真正免費的午餐給一部分人，而不是“免費”這種商業模式。我在做想做的事它根本就不是商業，當然更不會遵守任何商業模式。如果是商業模式，那必然不是免費午餐。當然，這並不是說，我一定要拒絕利用一些商業法則或經濟工具來爲非商業事業服務，沒有戰士會挑武器的來源。

但我並不是爲了破壞那種“免費”商業模式，也不擔心我無意中會破壞那種“免費”商業模式，因爲我想滿足的那部分需求是少數中的少數，是曲高和掛，是意志力爬山，而不是本能感官刺激這種普遍法則。世界的常態是墮落，在墮落的世界有墮落的玩法，我所做的和想做的只是不要讓墮落的玩法變成唯一的玩法。

觀點網站 git.io/JJCxS 實現方案也很多，爲什麼我單獨選看上去非常笨的jekyll + nodejs後臺抓取，主要是因爲它無需任何維護，無需成本，我現在停止任何工作的話，它還能一直跑下去，一直自動更新內容。很多年後如果空間滿了，清空一下就能繼續自動運行。

web開發者能想到的常規方案是用wordpress之類的模板+數據庫+服務器+域名，但是這就意味着大量的後臺維護、升級、租設施等需要人工參與的東西。有人DDOS你的網站，你還要人工處理迎戰。

靜態網頁的優點還有響應快，比python的每個請求現生成網頁響應快多了，此外，掛在github page上無需擔任任何攻擊。總之架設後不用管的。

@thphd <#7124762> 功能很容易實現，我也可以用django完成。但這裏想探討的是如何做到serverless，以及某種意義上的去中心化。

另外，我可能沒有把功能描述清楚，這個idea的核心是盡可能的serverless, 對每個人，網站的數據只有一個wikipedia的鏈接，一個名字，點贊數量。人物介紹的內容是由瀏覽器端的js從wikipedia抓取呈現，不重複造輪子。相關新聞可以用jekyll simple search這樣的js插件用人物的名字關鍵詞自動搜索填充。

不是爲了重複造wikipedia的輪子，更不會像惡俗那樣需要人工編輯，編輯還是在wikipedia上直接做。這就相當與以wikipedia爲數據庫的一個帶投票功能的名人榜，如果要server+人工管理+註冊帳號編輯那就太沒意思了，一千種現成的方案在那裏，我提那種要求的話有點侮辱自己智商。核心就是讓搭建者無成本，無風險。

需要探討和解決的問題：比如如何防spam或者其它沒想到的問題。

@thphd <#7120139> 你的邏輯和出發點我不認爲有錯，我並不是那種試圖否認現實世界規則或推翻現實世界的秩序的人，但我希望盡自己所能將理想主義者的空間拓寬一點點。讓那些白天在現實世界妥協或廝殺的人們有機會把自己的閒暇時間投入到一個跟現實世界的規則不同的理想主義世界，讓他們在這個理想主義世界裏的自由度稍微大那麼一點點。如果現實和理想可能引起歧義，可以把現實和理想分別替換爲資本和慈善。凱撒的留給凱撒，上帝的留給上帝。

對待github，我的態度是github abuse 直到它改變規則或者被封，再去abuse gitlab。。。。回到項目，功能很容易實現，我的核心要求是無需服務器和域名，也就是不要錢。定位和目標肯定不是建立穩定和有品質的社區，而是建立一個task force性質的無服務器的4-chan，作爲消息從私有到公開的第一站.

JS可以在靜態頁面上玩出很多花樣，比如我的網頁版RSS閱讀器，掛在github pages上 （某些移動設備的瀏覽器上不能正常工作）

• RSS閱讀器

這類玩意兒所有的運算都是用戶自己的瀏覽器裏運行，無需服務器參與

這類玩意兒主要是爲了將架設論壇的風險和成本降低爲0, 因爲即便是在heroku上架設nodebb，沒有什麼風險，但是也要花一兩天才能搞定各種細節，比如找免費數據庫、各種配置、部署等等，很累。

祝賀2047 開張，代碼寫得非常漂亮，嚇得我都不敢玩開源了。