一个认人,一个认动作:推特 cookie 少一个只能看,不能发

配一个发推工具,它没让你填账号密码,让你填两串从浏览器里复制出来的字符。第一反应是这工具在耍花招。

其实这两串就是你浏览器每天在用的东西。你今天打开推特没有重新登录,靠的就是它们。工具要两串而不是一串,是因为这两串管的事不一样。

分工

	第一串(认人的那个)	第二串(认动作的那个)
它回答的问题	你是谁	这个动作是不是你本人发起的
只有它能做什么	能看,读得到你的时间线	什么都做不了,它不带身份
能维持多久	比较久	短,浏览过程中会自己刷新
泄露的后果	严重,等同交出账号	单独泄露没什么用

这张表能解释一个很常见的现象:工具能读到内容,但一发就报错。那多半是第一串对了、第二串过期了。第二串刷新得快,所以从复制到粘贴之间隔太久就会失效。重新复制一次通常就好。

反过来,如果连读都读不到,那是第一串的问题,重新复制第二串没有意义。

还有一个判断标准:一个工具只要第一串不要第二串,又声称能替你发内容,那它要么在别的地方另外拿了东西,要么它做不到。这个分工是平台定的,绕不过去。

为什么工具不要密码

三个原因,而且都是实际的:

• 密码登录会触发验证,开了双重验证的账号每次都要人工配合一次,自动化流程走不下去。
• 会话本身已经是一个通过状态,不需要再验一次。
• 管十个号的时候,复制二十串字符比登录十次快。

代价也很实际:密码改了就作废,而这两串没有一个「改掉」的动作。你能做的只有让它失效,而让它失效的常规办法是改密码或者在设置里退出全部设备。这是它跟密码最本质的区别,不是保密程度的区别,是撤销方式的区别。

货架上给这条路的定价:比中位数低

推特这个货架上有九百一十七条在售商品,其中标题里提到令牌类字样的四百九十六条,提到 cookie 的四十五条(二〇二六年八月三十一日数的)。

把每一批的价格中位数跟这个货架的中位数比:

• 提到令牌的四百九十六条,零点八倍。
• 提到 cookie 的四十五条,零点六倍。
• 另外两批做对照:附带邮箱的五百六十二条落在中位数上,标了年份的一百六十三条是一点七倍。

会话类的两批都低于中位数,而邮箱和年份在中位数或以上。同一天在 Facebook 那个货架上,四百九十二条带 cookie 的商品也是零点六倍。

两个货架给出了同一个答案:市场给会话的定价低于给所有权的定价。原因不难想,一份会话是一个窗口,它可能已经被复制过若干次,而且随时可能关上;一个能收信的邮箱意味着你能把这个号改成自己的。

顺带一个跨货架的观察:同一件事在三个货架上叫三个不同的名字。推特这边叫令牌,Facebook 那边叫 cookie,Telegram 那边叫 tdata。推特货架上带 cookie 字样的只有四十五条,Telegram 货架上一条都没有。搜的时候按货架换词,比坚持用一个词管用。

买来的号附带这两串,该怎么处理

当成一个已经被人看过的密码来处理,顺序是这样:

1. 先用它登进去,确认这个号是商品页描述的那个。
2. 把绑定的邮箱改成你自己的。这一步在改密码之前,因为改密码的找回路径要经过邮箱。
3. 改密码。这会让原来那两串失效,也会让原主手上的副本一起失效。
4. 去设置里看一遍还登着的设备,把不认识的退掉。
5. 开双重验证。

第二步和第三步不能调换。改密码这一步之后工具会断,那是对的,重连的做法在改密码那一篇里。整个接管窗口有多长,在接管那一篇里。

保管这两串的四条

• 不截图。截图会进相册,相册会同步。
• 不粘在聊天窗口里,包括发给自己。
• 不放在会自动同步到云端的纯文本文件里。
• 录屏和共享屏幕之前先关掉开发者工具面板。这一条最容易忘,而且泄露的是完整的值。

怀疑泄露了,不要去找那串值可能还在哪里,直接改密码。改密码是唯一一个一次性作废所有旧会话的动作,比排查快得多。