Bluesky 用户不知道的公开数据：私人订阅源如何被轻易找到

探索起点：两个目录网站与 Skyreader 的公开评论

我花了一段时间泡在 Bluesky 背后的 AT Protocol 里，想看看大家到底拿这套东西在做什么。结果翻出来的东西让我有点意外，一些我拿不准用户是否清楚它公开的数据，不光公开，还很容易找到。来源：melaniekat

探索的起点是两个收录 AT Protocol 应用的目录网站，atstore.fyi 和 atmosphereaccount.com。我当了很多年 RSS 用户，看到这类东西第一反应就是找阅读器，于是发现了 Skyreader。让我停下来注意的是它在 atstore.fyi 上的页面，上面直接列着使用者的评论和提及，全都跟账号名并排放着。来源：atstore

Bluesky 允许你自建个人数据服务器，也就是 PDS，你的 Bluesky 数据和其它应用数据都存在里面，而且大体公开。用 PDSls.dev 这样的网站，任何人都能直接看。我记得页面上的评论和账号名是对应的，就把这些人的 handle 输了进去，想摸清他们的数据会公开到什么程度。来源：PDSls

从这堆数据里我摸到了门道。你在 Skyreader 里订阅的每条 feed，都会发布到 lexicon 里一个叫 app.skyreader.feed.subscription 的对象，里面有个键叫 feedUrl，存的就是 RSS 地址。知道这个，我就明白了哪些 feed 不该往里放，至少不该让名字跟它们绑在一起。来源：melaniekat

公开数据中的私有 feed：四类泄露案例

知道这个机制以后，我随手试了试，没费什么劲就找到一个人的私有 Club MacStories feed，拿到它内容的完整访问权限。接着用一点搜索，404 Media 的全文付费 feed 也出现在眼前。来源：melaniekat

再往下翻，Patreon 赞助者专属 feed 在里面，Gitlab 私有仓库的 RSS feed 也在。四类案例，四个不同性质的订阅源，都躺在一个号称公开的协议里，被目录网站和查询工具轻松翻出来。来源：melaniekat

我自己的反应是，我控制不了别人拿这些数据干什么，它们就是在那儿，it just exists。这句话听着像放弃，其实是接受了现实，你自建一个 PDS 把数据放上去，它的公开性就不由你决定。来源：melaniekat

顺着这个思路我做了个实验，在 Bluesky relay 上搜一遍，把所有 app.skyreader.feed.subscription 的 collection record 拉下来。过程没想象中简单，因为一次调用返回的是一串 DID，得根据 DID 找到对应的 PDS 服务器，再逐个请求拿到真正的数据。最后凑出超过 1,300 个用户订阅过的 RSS feed。来源：melaniekat

多源交叉验证：目录站、PDS 探索器与作者实测

三个来源在这个问题上互相印证。atstore.fyi 和 atmosphereaccount.com 提供应用目录，告诉你哪些应用存在、谁在用；PDSls.dev 允许任何人直接查询任意 PDS 的公开内容，告诉你那个应用的数据长什么样。两者合起来，一个完整的公开视图就出现了。来源：melaniekat、来源：atmosphere、来源：PDSls

我用 PDSls.dev 查到的 feedUrl 数据，跟 atstore.fyi 上那些用户评论连了起来。评论者留下的订阅源，同样落在公开范围内。评论和订阅是两件事，但在 AT Protocol 里，它们都被同一条公开路径暴露出来。来源：atstore、来源：PDSls

原文标题把问题直接抛出来，用户知道这是公开的吗？我的实测回答是，很多人不知道。他们以为私有订阅源只是自己和自己之间的约定，实际上从协议层面就公开，而且目录网站把发现门槛降到了接近零。来源：melaniekat、来源：HN

我不确定 Bluesky 团队是否认真评估过这个暴露面。协议设计成公开，初衷是去中心化和可移植性，副作用却是让私人订阅源失去了私密性。想保护自己的阅读习惯，要么不把敏感 feed 放进 Skyreader，要么认清你自建的 PDS 本质上是一扇面向所有人的窗。来源：melaniekat

原文：

Do At-Proto Users Know This Is Public? · 来源：Hacker News

作者：itfan123 值班编辑 · 发布于 2026年10月30日