@AoEiuV020JP
原文的“certified Android devices”有链接的，说的是指的是支持 Play Protect 且启用了 Play Protect 的设备。
现在的问题是用户能不能关闭 Play Protect ，如果能关闭的话其实影响不大，和现在国行手机普遍做法一样。

@Lintech
“2027 年以后，这类（ Google Play 建议进行应用扫描的）弹窗将无法点按跳过按钮” 这句话有原始来源吗？

这里的“认证安卓设备”指的是 Play Protect 认证，原文有个链接：
https://www.android.com/certified/partners/


Play Protect 是 Google Play 额外的功能，除了需要设备本身支持外，用户可以选择启用或停用（默认启用）
https://support.google.com/googleplay/answer/2812853?hl=en

要查看 Play Protect 状态：打开 Play Store ，点右上角头像，点⚙️设置，点关于，有一行“Play 保护机制认证”。
要停用 Play Protect：打开 Play Store ，点右上角头像，点🛡️Play 保护机制，点右上角⚙️，关掉“使用 Play 保护机制扫描应用”

文字的话，离远一些用长焦镜头试试？
我不了解苹果是如何让四周保持锐利的

@Greenm
@TsubasaHanekaw
@docx
@zhouweiluan
这个漏洞不需要用户输入信息，也不需要用户同意密码管理器填充信息，用户看到的只有“同意/拒绝 cookies”、“我不是机器人验证”、“关闭广告”等需要用户点击的按钮。
这个确实是正经的密码管理器浏览器扩展漏洞。单独利用危害较小，但对 XSS 漏洞的辅助加成很棒。

稍微总结一下：

1. 在单独利用的情况下，这个漏洞只能盗取不限域名填充的信息，比如个人姓名、邮箱、电话、证件号、信用卡号、信用卡有效期、信用卡 CVV 等。不能盗取必须匹配域名的信息，例如其他站点的登录名和密码等。

2. 在配合 XSS 漏洞的情况下，这个漏洞能利用任意一个子域名的 XSS 漏洞，盗取相同主域名的其他重要域名的重要信息，例如用户名、密码，如果密码管理器支持自动填充 TOTP 的话甚至连 2FA 都没用。
原文的 PoC 利用了 issuetracker.google.com 域名的一个 XSS 漏洞，获取了 accounts.google.com 域名的登录信息+TOTP 。

3. 整个过程中，用户压根不会看到任何“请输入用户名/密码”的提示，也压根不会看到密码管理器提示“请确认是否填入登录信息”，就把密码管理器里面的信息交出去了。

我的评价：单独使用价值不大，但对其他漏洞有很好的辅助加成，能导致受害范围扩大到有良好安全习惯的用户，比如这里的 1 楼和所有给 1 楼点赞的人🐶

看原文吧，如果看不明白文字的先看看视频演示

https://marektoth.com/blog/dom-based-extension-clickjacking/

楼主这心态，让我想起以前一则新闻：

《男子明知被骗仍汇 54 万 称想看骗子能骗走多少钱》
http://politics.people.com.cn/n/2014/1112/c70731-26010029.html

@billccn
以前上海闸机只能刷交通卡的时候，刷卡过闸是非常快的，大概 0.2 秒以内。自从加了二维码需要联网的过闸方式之后，有很长时间连刷交通卡都慢到要几秒时间，现在好一些了，刷卡大约 0.5 秒左右。
反正上海地铁不会论证的。

房龄是不是到 20 年了？一般来说 20 年房龄是个分界线，20 年以内是二手商品房（有金融价值），20 年以上是老房（基本只有居住价值）。老房会有不少问题，所以很多老房会在达到 20 年后开始重新装修。

@Jerry02
新华网（新华社国内部）、央视新闻、人民日报的文章是这样叙述的：

https://www.news.cn/20250731/34ed6b9aeaee4d2eb001fa1ea6c44eec/c.html

“现实中，南京城内华东照相馆学徒罗瑾把 16 张日军拍摄的照片装订成册，后由爱国青年吴旋接力守护这些珍贵影像，才有了南京大屠杀案“京字第一号证据”，也成为战后审判日本战犯谷寿夫的铁证。”

https://content-static.cctvnews.cctv.com/snow-book/index.html?item_id=16473474095746620326&toc_style_id=feeds_default&share_to=wechat&track_id=df06c7e9-bee3-46d0-9650-06c914e3af29

“最终，罗瑾、吴旋接力保护的相册被编号为南京大屠杀案“京字第一号证据”，成为审判南京大屠杀主犯谷寿夫的铁证。”

https://paper.people.com.cn/rmrb/pc/content/202508/06/content_30093658.html

“侵华日军占领南京期间，南京华东照相馆时年 15 岁的学徒罗瑾，在冲洗日本军官送来的胶卷时发现竟然都是日军杀戮、强奸、残害中国人的画面。他冒着生命危险额外洗印了几十张照片，并将其中的 16 张装订成册，保存罪证。相册辗转至南京青年吴旋手中，他继续冒死接力守护，最后成为审判南京大屠杀案主犯谷寿夫的“京字第一号”证据。”

电影不是纪录片，但许多观众会当作纪录片来观看。
即便是《黑太阳 731 》那种追求感官刺激的三级片，许多人也会当纪录片来看，比如你随便问“人暴露在真空中会怎样”？立刻会有许多人抢答“人会爆开，因为看过黑太阳 731”

@surfwave
我说的就是我的直观感受，只是进一步解释了一下形成这种感受到技术原因。
我的直观感受是夸克的效果和功能设计真的很烂，哪怕免费我都不想用，压根没在意它收费多少。白描的效果我是很满意的，即使没有曲面矫正等高级功能，对我来说价格还是太便宜了。

@surfwave
我使用较多是 A4 纸，不需要曲面矫正，只需要四边形矫正（镜头畸变可以忽略）。四边形矫正没必要用 AI ，顶多用 AI 确定四个顶点，但夸克并没有不使用 AI 的选项。

使用 AI 的问题在于，手机画面边缘一般有明显失焦，产生一些重影。白描这样的非 AI 处理通过明暗就可以过滤掉重影，过滤不了就保留重影也问题不大，人看起来知道是重影。
夸克的 AI 则把重影当成有意义内容，自作聪明地把重影融合起来，这就导致了涂抹感以及部分笔画变形成甲骨文。

@surfwave
夸克是我试下来最烂的一个，不管三七二十一跑上来先无脑过一遍 AI 矫正曲面，而且这 AI 很烂，导致无论如何画面都是劣质涂抹感。

正常思维应该是用户需要曲面矫正才启用 AI ，不需要曲面矫正时用非 AI 算法做曲线调整、锐化之类就行了。

苹果线上的自营渠道确实只有官网和天猫 Apple Store 官方旗舰店。京东自营相对于🍎来说就是第三方渠道，可靠程度不如苹果自营。

苹果自营退货走的是苹果自己的流程，京东自营退货走的是京东自己的流程。京东虽然没有动力主动作恶，但有动力省成本导致无法防止用户作恶。
京东用户退货了，京东怎样仔细检查确保没有被动手脚？已经拆封使用过了怎么处理，难道一律低价处理给其他渠道吗？上面还有说都进备件库的，拜托那么多七天无理由退货都当备件处理，京东是做慈善的？

@atuocn
感觉如果虚位长度限制不比真实密码长太多还好，有些虚位密码允许输入 32 位，如果真实密码又很短的话会下降几个数量级。

虚位密码用来防临时偷没什么问题。我只是在想对于“半熟半生人”会不会遇到问题，就是对方有途径知道生日或手机尾号之类，但并不想让对方来家里。