改个 URL 参数,月嫂就「升级」了

7 月 22 日
 lyyy123

最近找月嫂时碰到一件趣事。坐标成都,一家挺大的月嫂机构。到店后,顾问介绍了不同价位、不同等级的月嫂,并推荐了中间档:12888 元 / 26 天。接着发来资料约面试——其实就是一个月嫂介绍网站的二维码,扫开能看基本信息、等级和服务评价。

作为程序员,拿到链接后第一反应是打开 Network ,看看有没有隐藏信息。结果发现 URL 里带着 level=4。更离谱的是:改掉这个参数,页面上的月嫂等级就跟着变。等级根本不是接口返回的,而是直接读 URL 。

我顺手爬了一下他们平台的数据:推荐那位月嫂的真实等级其实是 level: 1,对应价位大约 6888 元 / 26 天。也是绝了,月嫂这行水也挺深的呢。

2986 次点击
所在节点    生活
16 条回复
ljspython
7 月 22 日
敲代码敲傻了
prefect
7 月 22 日
咋看的真实等级
lyyy123
7 月 22 日
@prefect 接口有返回 level 字段。但是页面显示取的 url 参数上的 level 值。意味着销售发给你的二维码,可以随便改月嫂等级
my101du
7 月 22 日
意思是,可以先扫码打开 Level-1 后,手动修改链接为 Level-4 ,界面上显示选了高级的,但是付款还是按初级的?
bluekz
7 月 22 日
所以 lv4 不是月嫂的等级,而是销售根据你的穿着谈吐,来访方式等信息给你定了个等级,代表你能出得起什么价格。=。=
hhacker
7 月 22 日
看碟下菜
lulu5218
7 月 22 日
蹲后续,价格打下来了吗
bearbest
7 月 22 日
下单的时候也是按照 url 传参来生成订单的吗😧
ddonano
7 月 22 日
写入有没有问题,读取的这些都无关紧要
woshishui2022
7 月 22 日
一般发信息,不止一个,你看看是否都是 level-1
lyyy123
7 月 23 日
@bearbest 下单是线下签合同的。线上是看月嫂资料,约面试
lyyy123
7 月 23 日
@bluekz bingo
lyyy123
7 月 23 日
@my101du 销售发给你的码。扫了之后是 level4. 实际上月嫂等级只有 level1
lyyy123
7 月 23 日
@lulu5218 后续。我们指出,这个月嫂工作经验不符合这个价位应该有的工作经验。因为链接访问后的页面,有月嫂的一些证书照片,证书上有日期。能有一些蛛丝马迹的证据证明我们观点,我没有直说我直接爬了她们数据。今天开始给我们推 level3 ,level4 的月嫂洛。
DendimoN
8 月 24 日
这是啥平台
lyyy123
8 月 24 日
@DendimoN 环球中心一家田某阿姨,还有一家贝某馨机构也是这样的。

这是一个专为移动设备优化的页面(即为了让你能够在 Google 搜索结果里秒开这个页面),如果你希望参与 V2EX 社区的讨论,你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://v2ex.ih06.com/t/1229088

V2EX 是创意工作者们的社区,是一个分享自己正在做的有趣事物、交流想法,可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX