始末
今天是 ，过去一周几乎每天我都收到不同程度的「恶意踩」，今天更是破天荒的收到 个。
刚好今天周末有空，就用抓了 LeetCode 接口，查了一下过去几天那些「拉踩」的人的资料，基本上符合猜想。
其实下午我已经用 Charles 找到了这些人的主页了，但当时只有 个踩，想想闭闭眼就过去了。
结果睡完午觉回来一看，一睁眼变 个踩了（说好的闭闭眼就过去呢？？）。
再开 Charles 抓包看看，还是同一批人，只不过多开了几个号来踩我，真被恶心到了。
一边在微信上问我各种问题，基本上我都是有问必答，另一边在 LeetCode 天天拉踩我，真恶心，遂曝光。
证据
首先将这些人挖出来的一个切入点，是利用「拉踩记录」进行追溯。
在 PC 中是看不到拉踩人的资料的，但是在 App 上可以看到「拉踩人」的头像，但不能点击跳转到个人链接。
因此，需要通过抓取接口，并解密流量来找到这些人的资料。
首先猜想，这里的后端只是将用户头像 URL 进行返回，同时利用「一般的系统的静态资源存储设计都会将”某个用户的资源文件“与”个性域名“相关联」的常规设计作为切入点。
因此虽然只有头像，但是利用头像的 URL 应该是可以定位出用户的个性域名，再根据个性域名定位到个人主页，然后通过个人主页中的“动态”信息就可以知道是一批人。
于是我按照如下思路，实锤了以下团伙的所有资料：
- 将手机和电脑链接到同一局域网下，并将手机的网络代理到电脑的 ip，这样可以实现手机上的所有流量都会经过电脑；
- 然后由 LeetCode 采用的是 HTTPS 协议，我们拿到的是密文。
因此还需要对 HTTPS 流量进行解密：先用电脑自建一个 HTTPS 签名密钥（公私钥），然后将密钥导入到手机，并信任，这时候抓包软件就可以完全充当“中间人”的角色。 - 解密完 HTTPS 流量后，我们可以分析一下 App 题解详情页，调用了些什么接口。
因此通过「设置代理 - 解密流量 - 分析接口」三部曲，可以找到实锤证据。
在接口 https://leetcode-cn.com/graphql/ 的 JSON 响应中的 THUMBS_DOWN 字段，可以看到这些人的头像地址。
https://assets.leetcode-cn.com/aliyun-lc-upload/users/bndsbilly/avatar_1599386105.png
显然这段 URL 规则后面的 user 后面跟的就是用户的个性域名。
因此，这一个个人主页的地址是 https://leetcode-cn.com/u/bndsbilly
很遗憾得到了 404 页面，应该是资源路径所用的个性域名是用户首次的设定的。
但没关系，头像资源肯定是同一份，我们可以直接跑到该用户的主页，查看他的头像是什么，如果是一致，说明是同一人。
抓包地址：https://assets.leetcode-cn.com/aliyun-lc-upload/users/bndsbilly/avatar_1599386105.png
忽略动态 resize 的参数，就是同一份资源。
显然就是同一人，估计这位同学不能用“撞头像”来否认了。
同理，我们可以找到其他「拉踩人」的信息。
很有意思的是，通过查看这些号的个人主页动态，都有着十分类似的行为：
离谱
更离谱的是，这个“团队”还写每日一题题解前后，还问了我很多问题，基本上我都是有问必回。
在鼓励下，决定要来写题解，还说要“请教”，这样的“请教”方式，我实在是没想到。
你是人精吗？我请问？？？？
我甚至搞不懂你到底是微信跟我说的「北工大」还是你题解留的「北航、人大、中科院、北理」。
最后
看到这里，可能读者会想问要专门做这些事来曝光？
在动手写这个文章的前十分钟，我也问过自己，为什么这么在意，为什么会觉得难受。
其实原因，今天早上和几个小伙伴已经说过了：
我花大力气做一个有意义的，对的事情，尽管它不怎么讨好，我没有为了曝光和流量去写水文。
如果到最后还要我把每天的好心情也赔上，不太科学。
所以我不会容忍这样的行为恶心我，你要玩阴间游戏，我就直接帮你把窗帘拉开，我没得到什么利益，自然也没有什么可失去的。
重要的是，我相信我的读者不会因为我曝光这些恶人而讨厌我，因为他们了解我是什么人。
最后再说一句，姐姐我只是比较温柔，不是好欺负。你要演自己演，不要拉上我。
