上个月帮朋友处理一个骚扰投诉，陌陌顺手拿他的真人账号试了试陌陌的真人认证流程。结果发现，认证所谓的漏洞“真人认证”压根没拦住任何东西——一张静态照片就能通过，连眨眼、陌陌转头这种基本动作都不用做。真人

具体操作是认证这样的：打开陌陌，进入真人认证页面，漏洞系统提示“请保持正脸在框内”。陌陌我随便从相册里选了一张朋友之前发过的真人自拍，照片里他正对着镜头笑。认证点击上传，漏洞等了不到三秒，陌陌页面弹出“认证通过”。真人整个过程没有要求活体检测，认证没有声音验证，甚至连照片是不是本人都不核对。换句话说，你拿一张别人的清晰正脸照，就能顶着那个人的脸在陌陌上随便玩。

这不是个例。我在几个技术群里问了一圈，至少五个人说遇到过类似情况。有个做安全测试的哥们更绝，他用一张AI生成的假人脸——就是那种一眼看上去像真人但仔细看皮肤纹理有点糊的图片——照样过了认证。他原话是：“陌陌的真人认证，约等于没有认证。”

那这个漏洞到底出在哪？我抓包看了下认证请求。上传的照片被压缩成几百KB的JPEG，直接发给服务端一个叫“face_verify”的接口。服务端返回的JSON里只有“code: 0”和“msg: success”，没有任何关于活体检测的字段。也就是说，陌陌根本没有在客户端或服务端做活体判断，纯粹就是拿照片去比对——比对什么？大概率是跟公安库或者自己建的底库做1:1相似度匹配。只要照片清晰、人脸完整，相似度超过某个阈值就放行。

更离谱的是，这个认证状态一旦通过，就永久有效。你后续换设备登录、修改资料、甚至发动态，都不会再触发二次验证。我朋友那个账号，认证通过后我拿另一台手机登录，照样畅通无阻。这意味着什么？意味着黑产可以批量购买或盗用他人照片，一次性通过认证，然后拿这些“真人认证”账号去搞诈骗、招嫖、引流。成本极低，效率极高。

有人可能会说，那平台难道不知道吗？我觉得他们知道，只是不想改。活体检测要调摄像头、要跑算法、要增加服务器开销，还会拉长认证时间——用户可能嫌麻烦直接跳过。而静态照片比对，便宜、快、通过率高，数据也好看。至于安全？那是用户自己的事。

我试过用一张明显PS过的照片——把朋友的脸P到一张肌肉男身上，背景是健身房。上传后依然通过。这说明系统连最基本的图像篡改检测都没做。后来我又试了一张侧脸照，角度大概偏了30度，这次没过。所以它的逻辑很简单：正脸、清晰、别太歪，就给你过。

那普通用户怎么防？说实话，防不了。你没法要求陌陌改代码，也没法阻止别人拿你的照片去认证。唯一能做的，是别在社交平台发高清正脸自拍，尤其是那种光线均匀、五官清晰的。你以为在分享生活，别人拿去就过了认证。

写这篇文章前，我又去试了一次。这次用了一张网图，一个外国男模的脸。上传，通过。认证状态显示“已认证”，头像旁边多了个蓝色小标。那个男模大概永远不知道，自己在陌陌上已经“被真人”了。