【RFC-088】邮箱验证注册
变更内容：注册时需要填写邮箱验证，只保留邮箱的hash，且不与用户关联，以增加注册成本。此外，仅限主流邮箱，如Gmail、Yahoo、Prontonmail、Outlook等。为保证品葱服务器安全，应使用第三方邮件发送服务发送激活邮件。
参考：匿名的“邮箱验证”的可能性和不可能性
变更理由：最近五毛刷屏十分严重，最主要的原因还是品葱注册成本过低。可以使用一些安全手段增加注册成本，比如注册时需要验证邮箱。为保证安全，邮箱应以hash形式保存，且不与用户名关联。
参考：匿名的“邮箱验证”的可能性和不可能性
变更理由：最近五毛刷屏十分严重，最主要的原因还是品葱注册成本过低。可以使用一些安全手段增加注册成本，比如注册时需要验证邮箱。为保证安全，邮箱应以hash形式保存，且不与用户名关联。
注：尝试实行附议rfc，至少有两位威望大于等于64的用户附议后，方从pre‐rfc成为正式的rfc，以减少无效rfc。
19 个评论
增加不了多少注册成本（最多5分钟一个帐号，手快点网速快点的话2分钟都够），但潜在的安全风险却不小，不赞成
五毛刷屏的问题不是注册成本低，而是发言成本太低，所以刷屏成本也低，甚至一个帐号就可以挖坑刷屏。应对的根本办法是通过技术或规则限制这种操作，而不是寻求注册邮箱验证这种看上去简单实际上没用的解决方案
五毛刷屏的问题不是注册成本低，而是发言成本太低，所以刷屏成本也低，甚至一个帐号就可以挖坑刷屏。应对的根本办法是通过技术或规则限制这种操作，而不是寻求注册邮箱验证这种看上去简单实际上没用的解决方案
我觉得像新用户可以先在新手区发言，然后回答问题之后，才能在其他区发帖，这样一方面保护新用户，另一方面防止刷屏
别这么干，邮箱太危险
Gmail/Yahoo邮箱/Outlook要手机号
我认为意义不大。只有当遭受机器人刷屏时采用邮箱验证、验证码等方式才有意义，人工刷屏无法简单过滤。除非极大提高注册成本如邀请制或旧品葱的人工审核，或是限制发言，刷屏问题将难以解决。
有什么推荐的匿名邮箱吗，如果要搞这个，可以直接推荐给注册人
我也认为增加发言成本比邮箱验证更好。
比如，限制一个ip段一天只能注册两个账号（目前知道品葱的人仍然很少）。
注册后的新id，第一天只能发言N次，点赞M次。
之后随着时间、威望等参数，适当增加N,M值。
比如，限制一个ip段一天只能注册两个账号（目前知道品葱的人仍然很少）。
注册后的新id，第一天只能发言N次，点赞M次。
之后随着时间、威望等参数，适当增加N,M值。
我反對。
1. 對於Tor用戶而言，很難註冊主流郵箱，即使註冊成功，也會有後期如手機號碼的驗證問題。
以Porton為例，早期對Tor友善，但後來對免費用戶開始限制。
我相信是因為太多人濫用資源，簡單說就是把它玩壞了。
除了增加用戶成本，此措施也增加了第三方伺服器的負擔。
對正常用戶而言，這不是增加成本，而是根本斷了註冊的管道。
2. 成本門檻是相對的，不可能有規則直接把用戶分成黑白兩類，只能在其中尋求平衡。
而要方便動態調整門檻，時間成本是很好的選項。
除了驗證碼，我覺得本站也可以採用註冊一段時間才能發言。
有用戶認為，對於有心者，一次註冊很多帳號，時間一到全部都可以發言。
我有兩條思路給各位參考。
第一，有人建議用總量和速度限制，例如一天註冊帳號有總數限制，或是用每小時的註冊量來限制下個小時的額度。
這可以在總量上控制帳號，可是無法控制有心/正常用戶的比例。
第二，對於真的有心註冊者，不可能解決。
有人一天有48小時，他就可以比正常用戶註冊還多帳號。
某團隊有十個人，那他們就可以用正常方式，註冊十倍水號。
這是很單純的拼誰時間多，不管限制是什麼。
甚至，如果註冊總量額度太少，他們還會排擠到正常用戶的註冊，原理跟DDos一樣。
3. 我重申之前提過的建議，與其在註冊關卡上比誰時間多，不如用算法鞏固首頁的品質。
第一，總量大之後，個別有心用戶很難改變整體，所以擴容很重要。
假設以前本站只有500人，則支字大軍數百帳號一下子就把本站淹沒了。
要是本站有5萬人，那他的大軍相形之下就變得無害。
第二，用算法排序，可以做到節省人力。
舉知乎當例子，回答字數太少或太像廣告，都會被摺疊。
讚數、收藏竄升快的，會被自動頂到前排。
以編程隨想的網站為例，複製的、相似的回答，也會被自動折疊。
以上都不需靠人力，而且鬆緊度可調。
這點對於本站來說，應該還很遙遠，可是總有一天需要執行。
用比誰人多、比誰時間多來當限制條件，本站並無優勢，且不可持續發展。
1. 對於Tor用戶而言，很難註冊主流郵箱，即使註冊成功，也會有後期如手機號碼的驗證問題。
以Porton為例，早期對Tor友善，但後來對免費用戶開始限制。
我相信是因為太多人濫用資源，簡單說就是把它玩壞了。
除了增加用戶成本，此措施也增加了第三方伺服器的負擔。
對正常用戶而言，這不是增加成本，而是根本斷了註冊的管道。
2. 成本門檻是相對的，不可能有規則直接把用戶分成黑白兩類，只能在其中尋求平衡。
而要方便動態調整門檻，時間成本是很好的選項。
除了驗證碼，我覺得本站也可以採用註冊一段時間才能發言。
有用戶認為，對於有心者，一次註冊很多帳號，時間一到全部都可以發言。
我有兩條思路給各位參考。
第一，有人建議用總量和速度限制，例如一天註冊帳號有總數限制，或是用每小時的註冊量來限制下個小時的額度。
這可以在總量上控制帳號，可是無法控制有心/正常用戶的比例。
第二，對於真的有心註冊者，不可能解決。
有人一天有48小時，他就可以比正常用戶註冊還多帳號。
某團隊有十個人，那他們就可以用正常方式，註冊十倍水號。
這是很單純的拼誰時間多，不管限制是什麼。
甚至，如果註冊總量額度太少，他們還會排擠到正常用戶的註冊，原理跟DDos一樣。
3. 我重申之前提過的建議，與其在註冊關卡上比誰時間多，不如用算法鞏固首頁的品質。
第一，總量大之後，個別有心用戶很難改變整體，所以擴容很重要。
假設以前本站只有500人，則支字大軍數百帳號一下子就把本站淹沒了。
要是本站有5萬人，那他的大軍相形之下就變得無害。
第二，用算法排序，可以做到節省人力。
舉知乎當例子，回答字數太少或太像廣告，都會被摺疊。
讚數、收藏竄升快的，會被自動頂到前排。
以編程隨想的網站為例，複製的、相似的回答，也會被自動折疊。
以上都不需靠人力，而且鬆緊度可調。
這點對於本站來說，應該還很遙遠，可是總有一天需要執行。
用比誰人多、比誰時間多來當限制條件，本站並無優勢，且不可持續發展。
强烈反对，任何防止五毛党措施，都不能以牺牲发帖人的信息安全为代价。
admin
公共账号
不小，直接占领首页，比如把欢乐恶搞都顶上来，或者把一个标签的话题都顶上来，效果还是很可观的
admin
公共账号
可以限制回帖数量，或者限制挖坟，参考https://pincong.rocks/article/2551里的应急模式。应急模式下可以改成只能新手区水区发帖，无法回复非新手区的久远问题和文章，或者回复不显示在首页
admin
公共账号
只不过目前注册如此方便的情况下赞踩机制都是没有用的，一个号被踩成负再注册一个，没有任何损失，所以还要同时增加注册成本。现在新手区只开放给威望低于-2的用户其实没有意义，我认为应该只在应急时开放新手区，正常情况下所有人在所有区都可发言。我认为应急模式下新人只能回帖，不能回复15天以上的帖，可以回任意新手区的帖，而且一天只能回3-5帖，回帖时加入点击验证码增加成本
除此之外我们还要想想怎么保护用户隐私的情况下增加注册成本，算力计算问题应该可行：可以生成简单的NP问题，一定时间内可以穷举的，比如small graph TSP decision，这样需要NP计算但P verifiable
除此之外我们还要想想怎么保护用户隐私的情况下增加注册成本，算力计算问题应该可行：可以生成简单的NP问题，一定时间内可以穷举的，比如small graph TSP decision，这样需要NP计算但P verifiable
admin
公共账号
反对邮箱注册，因为我不喜欢
正在考虑挖矿验证码
正在考虑挖矿验证码
强烈反对，这个属于代价风险过大的。
这个提议是想达到什么目的呢？因为即使这么做了，也没人能用自己专用的个人邮箱来注册。还是得和五毛一样，都去注册匿名邮箱地址。
通过hash来验证是否填写了重复的邮箱，这就意味着无法加salt。那么中共方面可以把每一个Gmail/Yahoo/Outlook的实名邮箱地址都用相同的算法hash一下（品葱的邮箱hash算法是不可能长期不让中共知道的，对吧？），再和品葱数据库里的hash比对。就知道有哪些邮箱曾在尝试注册品葱的页面填写过了。
对于其他网站来说，往往邮箱地址也不加salt，用户的登录密码才加salt再hash保存，但是品葱网比较特殊，实名邮箱暴露都有风险。虽然无法暴露邮箱所对应的品葱帐号，但是“某人的一个实名邮箱曾在品葱注册页面填写过”这个事实本身就容易给这个人惹上麻烦了。
因此你的提议根本无法让人安全地用自己的个人邮箱注册（包括任何绑定了国内手机号的邮箱地址）。
结果还是得用随手注册的匿名邮箱，但那样显然达不到阻止水军的目的了。随手注册品葱帐号能注册一大堆，随手注册匿名邮箱帐号再用那邮箱来注册品葱，不也是能注册一大堆吗？
这个提议如果通过了，不知道有多少人以为hash过就安全了，会傻乎乎用自己个人邮箱注册，还觉得这样跟五毛划清界限了很开心，结果被拉清单啊。
通过hash来验证是否填写了重复的邮箱，这就意味着无法加salt。那么中共方面可以把每一个Gmail/Yahoo/Outlook的实名邮箱地址都用相同的算法hash一下（品葱的邮箱hash算法是不可能长期不让中共知道的，对吧？），再和品葱数据库里的hash比对。就知道有哪些邮箱曾在尝试注册品葱的页面填写过了。
对于其他网站来说，往往邮箱地址也不加salt，用户的登录密码才加salt再hash保存，但是品葱网比较特殊，实名邮箱暴露都有风险。虽然无法暴露邮箱所对应的品葱帐号，但是“某人的一个实名邮箱曾在品葱注册页面填写过”这个事实本身就容易给这个人惹上麻烦了。
因此你的提议根本无法让人安全地用自己的个人邮箱注册（包括任何绑定了国内手机号的邮箱地址）。
结果还是得用随手注册的匿名邮箱，但那样显然达不到阻止水军的目的了。随手注册品葱帐号能注册一大堆，随手注册匿名邮箱帐号再用那邮箱来注册品葱，不也是能注册一大堆吗？
这个提议如果通过了，不知道有多少人以为hash过就安全了，会傻乎乎用自己个人邮箱注册，还觉得这样跟五毛划清界限了很开心，结果被拉清单啊。
admin
公共账号
重新开启新手区模式就好了，新手区模式是通过了RFC讨论并且执行过一段时间的，现在新号刷屏现象越来越严重，可以重新开启了。这就是防御模式。
https://pincong.rocks/article/2551
https://pincong.rocks/article/2551