wap版微博破解半年可见

微博那个“半年可见”功能，版半年其实在wap版上有个后门。微博我上周拿旧手机测试，破解发现用wap版访问某个设置了半年可见的版半年账号，往下翻到底部会多出一行“查看全部微博”的微博链接。点进去，破解所有被隐藏的版半年旧微博全出来了——包括2019年那条吐槽前公司的内容，博主本人可能都忘了它还在。微博

这不算漏洞，破解更像是版半年产品迭代时留下的尾巴。微博主站和wap版用的微博是两套不同的接口，主站严格按时间过滤，破解wap版老接口没跟上这个逻辑。版半年具体操作：浏览器UA改成手机，微博访问weibo.cn/u/用户ID，破解页面底部有个不起眼的“更多”按钮。连续点几次，历史数据就加载出来了。我试了五个账号，四个成功，失败的那个是注销过的。

有人拿这个办法去翻明星小号。某选秀艺人的素人时期微博被扒出来，里面全是脏话和恋爱记录。粉丝炸了锅，工作室连夜发声明说账号被盗。其实哪有什么盗号，就是wap版没关好门。

微博官方不可能不知道。2021年就有技术论坛讨论过这个接口问题。他们修了主站，修了App，唯独忘了wap版。或者说，懒得修。wap版流量占比不到3%，维护优先级最低。一个内部朋友告诉我，wap版团队早就解散了，现在只是维持基本运行。代码没人动，bug自然也没人管。

但这事有个讽刺的地方。微博当初推出“半年可见”，说是为了保护用户隐私。结果最该保护隐私的旧内容，反而通过最不安全的通道泄露了。我翻自己2016年的微博，发现当时定位还在老家，配图里有门牌号。这些东西主站上早就看不见了，wap版却一览无余。

操作上要注意几点。别用客户端内置浏览器，会被重定向。Chrome开无痕模式，UA改成Mozilla/5.0 (Linux; Android 4.4.2)这种老机型。加载慢是正常的，每页只返回20条。翻到2015年之前的微博，图片基本挂掉了，文字还在。如果对方设置了“仅自己可见”，wap版也看不了，这个接口只绕过了时间限制，没绕过权限。

有人问这算不算违法。严格说，你访问的是公开接口，没破解没抓包，法律上灰色。但拿别人旧微博去传播，那就是另一回事了。我写这个不是教人扒坟，是觉得产品设计不该这么敷衍。你给了用户一把锁，却把钥匙插在门上。半年可见是个好功能，执行成这个样子，不如不做。

最后说个细节。wap版底部那行“查看全部微博”，字体是灰色的，字号比正文小两号。不仔细看根本注意不到。微博可能觉得没人会用wap版了，偏偏就有人用。旧手机、省流量、或者单纯讨厌App的，大有人在。产品经理眼里的小众需求，落到具体的人身上，就是百分之百的体验。

我写完这段又去试了一次，还能用。不知道什么时候会修，也许明天，也许永远不修。互联网上的东西，你以为删了，其实还在某个角落里躺着。半年可见？骗自己的。

很赞哦!（6）