登录 注册

插件市场应该把闭源的插件特别标注一下

本贴最后更新于 583 天前，其中的信息可能已经时移俗易

无意间看到一个插件又是闭源，又是加混淆，又是联网，我没有仔细分析，我只是反编译快速浏览了一下（没有仔细看），这个插件有很多网络行为，还 fetch 和组织 URI, 原理上如果作者愿意的话完全可以从远端 URI fetch 内容实现 XSS 注入。

image.png

我不是说作者一定有恶意行为（所以插件名就不说了），只是说又是闭源又加混淆又是联网的插件应该至少标记一下。

@88250

  • 思源笔记

    思源笔记是一款隐私优先的个人知识管理系统，支持完全离线使用，同时也支持端到端加密同步。

    融合块、大纲和双向链接，重构你的思维。

    26470 引用 • 110098 回帖
2 回帖
457 123 7 203 2 122

相关帖子

2 回帖
插件市场应该把闭源的插件特别标注一下

欢迎来到这里！

我们正在构建一个小众社区，大家在这里相互信任，以平等 • 自由 • 奔放的价值观进行分享交流。最终，希望大家能够找到与自己志同道合的伙伴，共同成长。

注册 关于
请输入回帖内容 ...
  • 88250 • • 10 评论
    订阅者 MOD

    有确切恶意行为的话请在社区集市仓库提交 issue，谢谢。

    插件是闭源的（repo 没有源码），反编之后阅读依然比较困难，所以不好分析到底有没有恶意行为。以及（如果）从远端载入恶意代码的话，本地分析也看不出来。我只是觉得闭源插件应该在市场专门标注一下。
    zxkmm •
    @zxkmm 没有必要吧，开源或者闭源都有可能有恶意代码的，开源的也能远程加载代码。
    88250 •
    @88250 加个标识应该还是没什么问题的，有的人就只用开源的插件
    JeffreyChen •
    @88250 所以原则上，提交闭源插件也是符合思源的原则的吗
    zxkmm •
    @a2930610542 可能 D 大考虑到做此标记会挫败开发者开发插件的积极性？
    zxkmm •
    @zxkmm 我觉得既然允许插件收费，那就得允许闭源
    JeffreyChen •
    @zxkmm 也有这方面的考虑。
    88250 •
    @zxkmm 大概还是因为加个标记有点麻烦
    JeffreyChen •
    @a2930610542 理论上在 pipeline 里面加个 python 脚本判断一下发布 release 的是不是 bot 就行
    zxkmm •
    @a2930610542 谢谢提醒，我之前不知道有收费的插件。我好像暂时没见过。
    zxkmm •
  • JeffreyChen • • 1 评论
    付费者 支持者 捐赠者

    这个就是收费的：

    image.png

    感谢提醒，这个我还确实暂时没用过。不过看起来很不错的样子
    zxkmm •
zxkmm
回帖
471
 帖子
102
 积分
5926

近期热议

推荐标签 标签

  • Anytype
    3 引用 • 31 回帖 • 28 关注
  • Scala

    Scala 是一门多范式的编程语言，集成面向对象编程和函数式编程的各种特性。

    13 引用 • 11 回帖 • 160 关注
  • danl
    • 181 关注
  • 倾城之链
    23 引用 • 66 回帖 • 169 关注
  • 旅游

    希望你我能在旅途中找到人生的下一站。

    100 引用 • 905 回帖 • 1 关注
  • Openfire

    Openfire 是开源的、基于可拓展通讯和表示协议 (XMPP)、采用 Java 编程语言开发的实时协作服务器。Openfire 的效率很高，单台服务器可支持上万并发用户。

    6 引用 • 7 回帖 • 118 关注
  • Tomcat

    Tomcat 最早是由 Sun Microsystems 开发的一个 Servlet 容器，在 1999 年被捐献给 ASF（Apache Software Foundation），隶属于 Jakarta 项目，现在已经独立为一个顶级项目。Tomcat 主要实现了 JavaEE 中的 Servlet、JSP 规范，同时也提供 HTTP 服务，是市场上非常流行的 Java Web 容器。

    162 引用 • 529 回帖 • 10 关注
  • etcd

    etcd 是一个分布式、高可用的 key-value 数据存储，专门用于在分布式系统中保存关键数据。

    6 引用 • 26 回帖 • 545 关注
  • Access
    1 引用 • 3 回帖 • 3 关注
  • C++

    C++ 是在 C 语言的基础上开发的一种通用编程语言，应用广泛。C++ 支持多种编程范式，面向对象编程、泛型编程和过程化编程。

    108 引用 • 153 回帖
  • Angular

    Angular 是 AngularJS 的新版本。

    26 引用 • 66 回帖 • 562 关注
  • JavaScript

    JavaScript 一种动态类型、弱类型、基于原型的直译式脚本语言，内置支持类型。它的解释器被称为 JavaScript 引擎，为浏览器的一部分，广泛用于客户端的脚本语言，最早是在 HTML 网页上使用，用来给 HTML 网页增加动态功能。

    730 引用 • 1284 回帖 • 1 关注
  • Excel
    31 引用 • 28 回帖 • 1 关注
  • 百度

    百度（Nasdaq：BIDU）是全球最大的中文搜索引擎、最大的中文网站。2000 年 1 月由李彦宏创立于北京中关村，致力于向人们提供“简单，可依赖”的信息获取方式。“百度”二字源于中国宋朝词人辛弃疾的《青玉案·元夕》词句“众里寻他千百度”，象征着百度对中文信息检索技术的执著追求。

    63 引用 • 785 回帖 • 69 关注
  • TextBundle

    TextBundle 文件格式旨在应用程序之间交换 Markdown 或 Fountain 之类的纯文本文件时，提供更无缝的用户体验。

    1 引用 • 2 回帖 • 80 关注
  • 职场

    找到自己的位置，萌新烦恼少。

    127 引用 • 1708 回帖
  • Sillot

    Insights（注意当前设置 master 为默认分支）

    汐洛彖夲肜矩阵（Sillot T☳Converbenk Matrix），致力于服务智慧新彖乄，具有彖乄驱动、极致优雅、开发者友好的特点。其中汐洛绞架（Sillot-Gibbet）基于自思源笔记（siyuan-note），前身是思源笔记汐洛版（更早是思源笔记汐洛分支），是智慧新录乄终端（多端融合，移动端优先）。

    主仓库地址：Hi-Windom/Sillot

    文档地址：sillot.db.sc.cn

    注意事项：

    1. ⚠️ 汐洛仍在早期开发阶段，尚不稳定
    2. ⚠️ 汐洛并非面向普通用户设计，使用前请了解风险
    3. ⚠️ 汐洛绞架基于思源笔记，开发者尽最大努力与思源笔记保持兼容，但无法实现 100% 兼容
    29 引用 • 25 回帖 • 138 关注
  • 正则表达式

    正则表达式（Regular Expression）使用单个字符串来描述、匹配一系列遵循某个句法规则的字符串。

    31 引用 • 94 回帖
  • Netty

    Netty 是一个基于 NIO 的客户端-服务器编程框架，使用 Netty 可以让你快速、简单地开发出一个可维护、高性能的网络应用，例如实现了某种协议的客户、服务端应用。

    49 引用 • 33 回帖 • 44 关注
  • 微信

    腾讯公司 2011 年 1 月 21 日推出的一款手机通讯软件。用户可以通过摇一摇、搜索号码、扫描二维码等添加好友和关注公众平台，同时可以将自己看到的精彩内容分享到微信朋友圈。

    134 引用 • 798 回帖
  • OpenCV
    15 引用 • 36 回帖 • 1 关注
  • HTML

    HTML5 是 HTML 下一个的主要修订版本，现在仍处于发展阶段。广义论及 HTML5 时，实际指的是包括 HTML、CSS 和 JavaScript 在内的一套技术组合。

    108 引用 • 295 回帖 • 1 关注
  • 分享

    有什么新发现就分享给大家吧！

    248 引用 • 1794 回帖 • 1 关注
  • 爬虫

    网络爬虫（Spider、Crawler），是一种按照一定的规则，自动地抓取万维网信息的程序。

    106 引用 • 275 回帖
  • CloudFoundry

    Cloud Foundry 是 VMware 推出的业界第一个开源 PaaS 云平台，它支持多种框架、语言、运行时环境、云平台及应用服务，使开发人员能够在几秒钟内进行应用程序的部署和扩展，无需担心任何基础架构的问题。

    4 引用 • 16 回帖 • 199 关注
  • Sphinx

    Sphinx 是一个基于 SQL 的全文检索引擎，可以结合 MySQL、PostgreSQL 做全文搜索，它可以提供比数据库本身更专业的搜索功能，使得应用程序更容易实现专业化的全文检索。

    1 引用 • 222 关注
  • 资讯

    资讯是用户因为及时地获得它并利用它而能够在相对短的时间内给自己带来价值的信息，资讯有时效性和地域性。

    56 引用 • 85 回帖 • 3 关注

最新标签