标签：凭据保护

白嫖插件的全景解剖：三万两千星里的伪造指纹、纸糊保险库与那条干净的下限

dsh-our-free-model——32.6k star、零运行时依赖、88 个测试脚本实跑 75/79 通过。它的「免费」来自四条车道：伪造 OpenCode 官方客户端指纹的匿名通道、复用用户本人十一个 AI 工具账号额度的渠道包、自动签到加验证码铸造、以及用 GitHub star 换额度的共付网关。安全审计抓出两个高危：密封凭据无需宿主门禁即可在本机还原出 64 字符签名密钥（混淆不是加密），本地管理面没有身份认证（信任栅栏只挡浏览器跨站）。但没有发现任何遥测或提示词回传——这条下限比很多同类项目干净。