@lilydjwg 之前不是说了根本没有程序可以区分代码是否用了混淆吗？除了这种特征明显，用公开工具生成的混淆代码。我写一个变量和函数名全是用拼音，冗余代码一堆，完全没有代码复用，全是复制粘贴，就算放 github 上也没人想看的那种代码，这算不算混淆？有任何规定说代码写的烂不允许上架吗？你确定这样搞能触发人工审核吗？而且我都怀疑 Mozilla 有那人力搞人工审核吗？

杀毒软件不也是靠特征码，比如我写个程序上传用户数据到我自己的服务器，杀毒软件能做的无非是在程序访问敏感文件的时候拦截，最终判断还是交给用户，但用户也不知道程序访问文件是否正常啊，比如搜索程序访问文件是很正常的行为，但要是这搜索程序还附带偷偷上传文件的功能呢？另外像用到了 p2p 技术的下载软件和网盘程序，读取文件并上传大量数据都是很正常的行为，如何把这种程序跟故意上传用户隐私的程序区分开呢？

说到底，这种连普通用户都无法区分的行为，不要指望靠机器来识别。无论是浏览器扩展的应用商店还是手机 app 的应用商店，都没有那么多人力来人工审核代码，现在大家做的无非就是细化各种权限，最终交给用户来决定是否给予相应的权限。

@lilydjwg #64 这脚本也没什么特殊行为啊，就是修改页面，很多扩展都会修改页面，甚至一些比价插件也会往页面插入返利网站的链接，靠程序根本没法区分。

我之所以能发现问题，一是有原始代码供对比，二是上传扩展的人明显就是个脚本小子，这些混淆都是用工具生成的，特征太明显了，正常人根本不会这么写代码。但如果是一个程序员想上传恶意扩展呢，都不需要技术多么牛逼，把代码写得跟屎一样就行，再加一堆没用的代码，谁能审核出来，总不能因为代码写得烂就拒绝上架吧 https://i.v2ex.co/504J5BO2.png

flask 是玩具还行，原来过去几年我一直在玩玩具 https://i.v2ex.co/504J5BO2.png

@lilydjwg 最关键的一步你倒是省略了……要是有程序能理解代码逻辑，那编程 AI 早实现了

@lilydjwg #56 人工解这种程度的混淆比较简单，一个有经验的程序员十几分钟就能搞定，但要搞个自动化程序来识别就比较困难了

@kenvix #45 chrome 和 edge 的应用商店都是没审核的，给钱就能开通开发者账号、上传扩展，谷歌 25 刀、巨硬 19 刀，firefox 也没审核，但至少不要钱

@legend4 #42 主流 proxy 是什么?

@doveyoung 2 楼讲了

@EricXuu #7 https://github.com/bilibili-helper/bilibili-helper-o/issues/695 才发现 4 月份就已经有人扒过皮了，然而这人发布的扩展都还在

@xiri #4 反馈了，不知道有没有用。还在下面评论了，但好像其他人看不见

@wjhjd163 #1 你没发现购物网站里的链接会跳转返利网站吗?要是这作者水平再高点，想办法把跳转隐藏掉，让用户无法发觉

@ipadpro4k #17 你咋不说隔壁菜市场 25 刀终生呢，而且人家也不要求你一定要去官方菜市场里卖菜，第三方菜市场和路边卖都不要钱。

@kingcos #16 开源不代表免费不是说的开源应用吗，关应用商店什么事

iv2ex 真双标，谷歌 25 刀终身，微软个人 19 刀终身、公司 99 刀终身，就苹果按年收费还死贵

开源应用也要给苹果送钱这是最恶心的，mac 上还好，大不了不签名，顶多用户安装时麻烦点，但 ios 上真就没办法了，就没有组织向开源应用免费提供分发途径吗？