[Tutorial] 临时处置措施说明 / 教程

[Coflys]

前情提要 | Background

AList 目前已被出售, 所有预构建包及第三方 API 均不可信, 本项目为社区 Fork 版本, 现分享临时处置措施供参考.

AList has been sold, and all pre-built packages and third-party APIs are untrustworthy. This project is a community Fork, and temporary measures are here shared for reference.

文档站 | Document

已上线: https://docs.openlist.team, 已处理第三方链接, 移除可能的投毒文件链接.

账号授权风险 | Account

更新: 开源替代进展参见 https://github.com/OpenListTeam/cf-worker-api

由于原作者提供的 API 服务 (alist.nn.ci) 并未开源, 可能已被第三方控制, 导致机密信息泄露, 如有顾虑请考虑解除授权或重新登陆:

Since the API service (alist.nn.ci) provided by the original author is not open-source, it may have been taken over by the third party, leading to potential leakage of sensitive information. If concerned, consider revoking authorization or re-logging in:

• 百度网盘App - 我的 - 设置 - 帐号管理 - 授权管理 - Alist - 解除授权
• 阿里云盘 - 我的 - 右上齿轮 - 隐私设置 - 授权管理 - Alist - 解除授权
• 115APP- 生活 下滑 -账号与安全 - 多端登录管理 - 第三方登录
• 联通云盘 - 在网页查询登录账号 - 以后建议 按照 教程抓包登录
• 一刻相册 （待补充）
• OneDrive 解除授权 https://account.live.com/consent/Manage

具体步骤参见下方说明.

For detailed steps, refer to the instructions below.

OpenListTeam/OpenList#3 (comment)
OpenListTeam/OpenList#3 (comment)

预构建包风险 | Pre-built Package

更新: 还在等待前端、翻译项目等就绪才可发布本项目的首个 Release

目前排查暂时未发现核心代码库存在投毒情况, 请尽量从源码拉取编译. 原作者提供的 Docker 镜像以及 Github Release 等提供的预构建包请慎用, 暂时未能验证其安全性 (可能被修改).

No evidence of risk codes has been found in the core repository so far. Please try to compile from source code. Exercise caution when using pre-built packages such as Docker images or Github Releases provided by the original author, as their safety has not been verified (they may have been modified).

本 Fork 的首个 Release 将于近期确认代码库无风险后通过 Github Action 构建发布, Docker 镜像将于确认最终命名后发布.

The first Release of this Fork will be published via Github Action after confirming the code repository is risk-free. Docker images will be released after finalizing the naming.

[cxw620]

感谢收集, 我稍微修改一下作为集合贴

[xixky]

115APP- 生活 下滑 -账号与安全 - 多端登录管理 - 第三方登录
联通云盘 - 在网页重新登录账号 - 以后建议教程抓包登录
一刻相册 头像-应用设置-账号管理-授权管理
谷歌（网盘和相册）- 管理您的谷歌账号 - 安全性 - 您与第三方应用和服务的关联 - 有权访问账号 - 选择对应的产品
Dropbox - 设置 - 应用 -查看 Dropbox 内容

[showhwa]

阿里：我的 -> 三方应用 -> 授权管理（右上）-> 取消即可

onedrive E5使用admin账户登录https://entra.microsoft.com/#view/Microsoft_AAD_RegisteredApps/ApplicationsListBlade/quickStartType~/null/sourceType/Microsoft_AAD_IAM?Microsoft_AAD_IAM_legacyAADRedirect=true
点击所有应用程序，删除所有alist相关程序即可。

查看图片

[BrandonStudio]

这里提一嘴，其实没有必要过分担心，因为oauth2的刷新令牌是不能fork的

你获取了刷新令牌之后，你的本地会通过这个刷新令牌获取access token，并对刷新令牌进行轮换，这个时候旧的刷新令牌就失效了，所以即使它的服务有你原始的refresh和access token，轮换之后它也看不到你的数据

[Coflys]

这里提一嘴，其实没有必要过分担心，因为oauth2的刷新令牌是不能fork的

你获取了刷新令牌之后，你的本地会通过这个刷新令牌获取access token，并对刷新令牌进行轮换，这个时候旧的刷新令牌就失效了，所以即使它的服务有你原始的refresh和access token，轮换之后它也看不到你的数据

提供一种解绑选择，就算没有这个事儿，估计很多人也不知道哪儿解绑，，，我都忘记这个了

[zyklone4096]

百度网盘接入 https://pan.baidu.com/union/console/applist

AppKey -> 客户端ID
SecretKey -> 客户端密钥

kotlin okhttp

fun main(args: Array<String>) {
    if (args.size != 2)
        exitProcess(1)

    val app = args[0]
    val secret = args[1]

    val client = OkHttpClient()
    val authorizeUrl = "https://openapi.baidu.com/oauth/2.0/authorize".toHttpUrl().newBuilder()
        .addQueryParameter("response_type", "code")
        .addQueryParameter("client_id", app)    // AppKey
        .addQueryParameter("redirect_uri", "oob")
        .addQueryParameter("scope", "basic,netdisk")
        .build()
    println(authorizeUrl)

    // get input
    val code = readln()
    client.newCall(Request.Builder()
        .get()
        .url("https://openapi.baidu.com/oauth/2.0/token".toHttpUrl().newBuilder()
            .addQueryParameter("grant_type", "authorization_code")
            .addQueryParameter("code", code)
            .addQueryParameter("client_id", app)
            .addQueryParameter("client_secret", secret)
            .addQueryParameter("redirect_uri", "oob")
            .build())
        .build())
        .execute()
        .use {
            println("Result: ${it.code}")
            val body = it.body!!.string()
            val decode = Gson().fromJson(body, JsonObject::class.java)
            println(body)
            println("Access Token: ${decode["access_token"]?.asString}")
            println("Refresh Token: ${decode["refresh_token"]?.asString}")
        }
}

python requests

import requests
from urllib.parse import urlencode
import json

app = input("AppKey：")
secret = input("SecretKey：")
print("https://openapi.baidu.com/oauth/2.0/authorize?" + urlencode({
    "response_type": "code",
    "client_id": app,
    "redirect_uri": "oob",
    "scope": "basic,netdisk"
}))

code = input("输入授权码：")
resp = requests.get("https://openapi.baidu.com/oauth/2.0/token?" + urlencode({
    "grant_type": "authorization_code",
    "code": code,
    "client_id": app,
    "client_secret": secret,
    "redirect_uri": "oob",
}))
print(resp.text)
decode = json.loads(resp.text)
print("Access Token: " + decode["access_token"])
print("Refresh Token: " + decode["refresh_token"])

[c1rcle-xy]

补个谷歌的解绑方法
https://console.cloud.google.com
先登录google cloud，选择api与服务(确保是alist)

[BrandonStudio]

提供一种解绑选择，就算没有这个事儿，估计很多人也不知道哪儿解绑，，，我都忘记这个了

引起注意是好的，解绑确实让人更加放心

[obiecane]

这里提一嘴，其实没有必要过分担心，因为oauth2的刷新令牌是不能fork的

你获取了刷新令牌之后，你的本地会通过这个刷新令牌获取access token，并对刷新令牌进行轮换，这个时候旧的刷新令牌就失效了，所以即使它的服务有你原始的refresh和access token，轮换之后它也看不到你的数据

如果按oauth2的来说的话，刷新令牌后原access token并不会失效，只有token过期后才失效。 但是实际是怎样的要看云盘的服务是怎么实现的

[BrandonStudio]

如果按oauth2的来说的话，刷新令牌后原access token并不会失效，只有token过期后才失效。 但是实际是怎样的要看云盘的服务是怎么实现的

是。我说的是刷新令牌后原refresh token会失效。access token的有效期一般很短