标题党了一下，其实就是偶然发现了他们网站的接口竟然如此简单的就被“破解了”，有点不可思议。
事情是这样的，想看看401状态码的请求，然后手头正好打开了某sdn网站，刷新了一下页面后，控制台没有401的，我就想着一般点个关注什么的都需要验证是否登录啥的吧，我就点了之后，看了下，接口竟然是这样的：
有两个重点，一是请求参数 username 为空，二是接口返回为 参数错误。我可以理解为：我没有登录，点击关注，直接就获取我的 username 然后调用接口，没获取到 username 返回了参数错误，那么如果 username 有值呢？
接下来我复制了 curl 在 postman 然后手动改了下 username 为 “hhhh”，没想到调成功了
也就是说，只要你知道某人个的 username，那么你就能给他关注别人，“可怕”吧，可能你偶尔上一下号，竟然发现你关注列表里莫名其妙的多了几个人。
我简单的试了一下，username 的获取方式有三种：
- 手动点击关注，接口的 follow 字段就是该用户的 username
- 在该用户主页的左上角也显示了 username
- 在该用户的包括但不限于文章，打开控制台，输入
window.username就可以看到 username 了
既然关注可以，那我取关呢，我试了一下，竟然也可以。也就是说，你可以随意的操控任意人的关注和粉丝了。
有点尴尬，竟然如此简单的就给破解了。。。
那么也就是说我们随意的创造一个“百万”粉丝的号了，写一个定时服务，循环调用接口，但是大量的 username 获取是个问题，需要再找找。但是我建议轻易别试，小心请你喝茶。
总结： 这么大的一个网站，研究点正事，好好控制下网站的复制粘贴，各种爬虫爬来的转载文章，什么积分下载等等吧。。。
