简书文章刷阅读量的小漏洞

方法简介
简书中文章阅读量有一个漏洞，可以无限刷量。这个漏洞挺有意思的，如果你是在登录状态，同一篇文章无论你浏览多少次，阅读量只算做一次，但如果你是非登录状态，则你打开一次或者刷新一次阅读量就加一次。当然这个操作不能在app内做，可以分享链接至手机浏览器或者在pc端进行，要记住是非登录状态。

方法利用
做安全或者了解安全的朋友还可以进一步使用burp suite进行抓包自动刷量。有兴趣的朋友可以单独找我聊聊。

深入分析
经过分析其实简书的阅读量校验规则比较简单，一个单独的页面请求进行阅读量标记，url中包含待标记文章的id，在请求体中包含referer，后端收到请求后会校验referer中的文章id与url中id是否一致，如果一致则认为有效进行阅读量+1，如果不一致则直接返回success但不做+1，如果是登录用户则进行判断是否已经记录过（阅读过），如果是第一次阅读则+1（最近新增加了逻辑作者本人阅读不做+1）。

不建议使用
其实刷量没有实际意义，毕竟不是真实用户流量，只是希望简书优化下该漏洞，比如限定下ip或cookie，避免被无限刷量。不过也有可能是简书故而为之。