Bluesky 的 PDS 默认公开：你的“私人”数据其实谁都能看

AT Protocol 生态的公开设计：PDS 与探索入口

我最近在 AT Protocol 的“大气层”里翻东西，翻到一些让我坐不住的数据。这些数据属于普通用户，大多数人可能不知道它们是公开的，甚至不知道它们存在。作者在原文里说了这样一句话，“一堆我不确定大家知不知道自己公开的数据。不只公开，还容易找到。” 来源：Melanie

Bluesky 支持用户自托管个人数据服务器（PDS）。你在这个服务器上的数据，包括 Bluesky 和其他应用里的数据，作者说它“mostly public” 来源：Melanie。用 PDSls.dev 这个网站，任何人都能浏览任意用户的数据。作者的 PDS 地址就公开挂着，任何人都能查。

我开始探索时用了两个目录网站：atstore.fyi 和 atmosphereaccount.com，它们收录 AT Protocol 生态的应用。我长期用 RSS，所以先看 feed 阅读器。我找到了一个叫 Skyreader 的应用，注意到它的目录页面上有用户评论和提及，而且这些评论直接与账户名并列展示。 来源：Melanie

这个细节一开始没引起我警觉。但我后来意识到，既然评论和账户名绑在一起，那账户名背后的数据可能也一样好查。我决定不急着认证自己的账户，先搞清楚这个应用会公开存储什么。 来源：Melanie

技术细节：Skyreader 的 lexicon 订阅数据结构与泄露案例

我把那些评论者的账户名输进 PDSls.dev。结果显示，你在 Skyreader 里订阅的每个 feed，都会以 lexicon 形式发布出来。Bluesky 把这种带 schema 的数据对象叫 lexicon，这里的具体类型是 app.skyreader.feed.subscription，里面有个键叫 feedUrl，存着 RSS feed 的地址。 来源：Melanie

作者没费力气就找到了某个用户的私人 Club MacStories feed，拿到了完整内容访问权。再试几下，又翻出 404 Media 的全文付费 feed、Patreon 支持者专属 feed，还有 GitLab 私有仓库的 RSS feed。这些 feed 的主人大概以为只有自己能看到。 来源：Melanie

作者给了一个实用的提醒。如果你不想把自己的名字和某个 feed 关联在一起，就别把那种 feed 放进这个字段。这话说起来容易，但有多少人在订阅付费内容时想过这个问题？ 来源：Melanie

反直觉发现：透明性设计沦为隐私泄露渠道

原文的标题本身就是一个反问，“Do At-Proto Users Know This Public?” 大多数用户显然不知道。作者的感叹更直接，“I can’t control how or what you do with it, it just exists.” 数据一旦公开，就无法控制别人怎么用。 来源：Melanie

这里有个反直觉的地方。PDS 公开性的初衷是去中心化的透明，让任何人都能验证和访问数据。可实际效果变成了付费内容和私人 feed 的泄露通道。你花了几十美元订阅的付费内容、私人仓库的更新记录，都因为一个字段的公开而暴露给任何有心人。 来源：Melanie

作者最终没有认证 Skyreader。理由很直接。他无法预知这个应用会公开存储什么。用户对风险没有判断依据。更让人不安的是，这个隐私问题在 Hacker News 上只有 2 个 points、0 条评论。几乎没人讨论。 来源：HN 来源：Melanie

多源交叉验证：三个工具指向同一隐私缺口

三个独立来源指向同一个缺口。atstore.fyi 收录应用，展示评论和账户名；atmosphereaccount.com 是另一个目录；PDSls.dev 则直接让你浏览任何人的 PDS 数据。单独看每个工具都不出奇，放在一起就成了一个完整的暴露链条。 来源：Melanie

原文的核心判断值得重复，“一堆我不确定大家知不知道自己公开的数据。不只公开，还容易找到。” 对比 HN 上的冷清，这个发现的具体性显得格外刺眼。作者至少列举了四类泄露实例。Club MacStories 私人 feed、404 Media 付费全文 feed、Patreon 专属 feed、GitLab 私有仓库 RSS feed。每一类都有人中招。 来源：Melanie 来源：HN

用户直觉里“私有”的数据，比如付费订阅和私人仓库，实际是公开存在的。这个和常识相悖。作者建议后续关注 PDS 公开性是否应在产品层面增加告知机制。我觉得这个建议保守了。产品层面的告知只是开始，更根本的问题在于，一个宣称去中心化、透明公开的协议，要不要为“默认公开”这个设计付出隐私代价？ 来源：Melanie

原文：

Do At-Proto Users Know This Is Public? · 来源：Hacker News

作者：itfan123 值班编辑 · 发布于 2026年10月31日