Alist 疑似被卖，谨慎更新

[frencis107]

https://github.com/AlistGo/alist/issues/8649

https://github.com/AlistGo/alist/issues/8651

谨慎使用：

阿里云盘 Open （ aliyundrive_open ）驱动：
<Oauth 令牌链接> 会依赖官方提供的 https://api.nn.ci/alist/ali_open/token 接口

OneDrive 驱动：
<重定向 Uri> 会依赖官方提供的 https://alist.nn.ci/tool/onedrive/callback 接口

https://t.me/alist_news/85

https://github.com/AlistGo/auth

[lepig]

等下一大大佬 fork

说实话 有 nas 了以后，alist 基本上 没用过了

[zhaoahui]

等大佬开分支

[Link99]

@lepig 请教下 不用 alist 的话各种网盘资源应该用什么下载到 nas

[baizhu]

说来说去，还是要小仓鼠本地存储啊。。。

[xuromky]

上面怎么多了个这么大的广告位

[zeromake]

有很多网盘 token 依赖 alist 的 api 啊

[wheat0r]

目前还没有新的 stable ，直接用 github 的二进制或者 docker hub 上的 xhofe/alist:v3.45.0 就可以，别从官网下载

[cogear]

话说这样的项目能卖多少钱，有懂行的吗

[lepig]

@Link99 我之前用的阿里云盘，夸克这 2 个比较多。 都是使用的官方客户端，把 nas 中的 media 文件夹挂载到 PC 上，直接往这个文件夹下载就行。

至于你说的要“各种”网盘都包括的话，统一管理 ，那么 alist 确实要方便一丢丢。

现在 电影资源我基本上都是 PT 了，在 transmission 或 qt 直接下载到 nas

[baton]

@wheat0r 听说 3.40.0 才是收购前的最后一个版本

[YuukiHibiki]

但他实在是给的太多了~

看来之前决定把网盘媒体库 cd2+alist 改成 strm 的决定是正确的

[wheat0r]

@baton #10 据说到 v3.45.0 还没有什么问题，这个可能要具体审计代码才知道了

[zhouqian]

@baton 我刚发现用的 v3.41.0

[Ansen]

貌似有台中招了, 不知道会被上传什么信息走
```bash

$ /opt/alist/alist version
Built At: 2025-05-24 06:32:59 +0000
Go Version: go1.23.4 linux/amd64
Author: Xhofe <[email protected]>
Commit ID: ffa03bfd
Version: v3.45.0
WebVersion: 3.45.0

$md5sum alist
4b565e5ae722a69be12d8241b7779b87 alist
```

[Gilfoyle26]

很正常，开源打开名气，然后卖一个好价钱，赚一波。

[Ansen]

你们谁有 curl -fsSL "https://alist.nn.ci/v3.sh" 这个脚本, 目前貌似拉不下来了

[Twelveeee]

离谱

[seedhk]

@Ansen #14 上传信息的 pr 已经关了，没合并到 release 里，所以目前应该没有上传

[wheat0r]

@Ansen #14 稍微了解一下情况再害怕也来得及

[Ansen]

@wheat0r #19 我知道没有合并, 但是我这里是走 https://alist.nn.ci/v3.sh 下载的, 还和 release 的 md5 不一致, 所以才担心

[wheat0r]

@Ansen #20 那确实，一般有 github release 的软件我都不在官网下载

[BQsummer]

没啥实锤啊

[zhouquanbest]

@Link99 现在很多 NAS 都直接支持网盘了 我用的绿联云支持 115 百度和夸克

[Ansen]

@Ansen #14 通过 https://github.com/AlistGo/docs/blob/main/docs/.vuepress/public/v3.sh 脚本,反查到我本地的文件用的是 https://github.com/AlistGo/alist/releases/download/v3.45.0/alist-linux-musl-amd64.tar.gz, 和我本地的 alist 文件一致, 所以没有中招

[hausen]

@Ansen #14 我的 token 可能就是他泄露的

[hausen]

@BQsummer 实锤确实没有，不过我前段时间在 v2 发帖说文件被下载了

[zjyg1993]

感谢提醒，已经从 docker 卸载，换回 filebrowser ，也够我用了

[weijunn]

tg 有回应了确实被卖了

[sardina]

项目已交由公司运营，之后我会帮忙审查开源版本仓库的代码，以及确保 release 的分发由 ci 自动构建，main 分支已开启分支保护，后续所有的提交都会经过 pr 审核。

[kiolygenius]

项目已交由公司运营，之后我会帮忙审查开源版本仓库的代码，以及确保 release 的分发由 ci 自动构建，main 分支已开启分支保护，后续所有的提交都会经过 pr 审核。

[daimaosix]

没啥好用的直接替代品，真的烦

[zhengfan2016]

又没闭源，下面反对声音这么多，fork 一份搞个 openAlist 又不难，有选择性的继承上游 alist 的代码

[coolcoffee]

看了下我的版本还是 3.45.0 ，还好没追新。这个供应链攻击太恐怖了，防不胜防

[programApe]

@zhouquanbest 还好你没用阿里，我到 2029 的 vip 然后前几天用了下绿联内的阿里云盘发现了这个 10g 是真恶心啊。。

[suyuyu]

好奇给了多少

[zong400]

感谢提醒，虽然我一直不更新版本，除非用不了。

[Rinndy]

能卖多少

[jqtmviyu]

@zhengfan2016 #31 好像还把原来的一些贡献者踢了. 卖了可以光明正大的卖, 没必要悄悄的. 更别说接收的公司有前科, 还有一个 pr 收集设备信息(虽然最终未合并)
https://github.com/AlistGo/alist/pull/8633/files#diff-bb283e07a0d769f0619f035e02eb9faf9b435979986ed95a28e95946658ff8a7

[AlexRoot]

@zhouquanbest 为啥我绿联云里是 百度 阿里云盘 115 onedrive,没有看到夸克呀。

[jqtmviyu]

@coolcoffee #32 再往前退几个版本. 又不是最后一个版本才卖的. 我从 3.42 退到 3.40, 数据兼容.

[FrankAdler]

官方的这个 api 是没有开源的吗

[b19g3r]

这个不是还有很多贡献者吗? 不能是只有仓库 owner 才有收入吧?

[cuiko]

我靠，我立马连回家把服务关了

[admxj]

先关闭云盘的三方授权，再关闭服务

[kero991]

@zhengfan2016 #32 他是仓库所有者，又不是作者，一个开源项目茫茫多的代码贡献，是它一个人的吗它就卖了。新来的公司上来就把所有贡献着全 t 了，凭什么没有反对意见。
要我说这骂的算轻的。
想挣钱可以，婊子也挣钱，挣钱就别想立牌坊。

[momooc]

后端也卖了吧，回退用处大吗？

[Hozoy]

@kero991 #45 感觉这在开源项目中挺常见的，一个人是创始者并且贡献了 95%以上的代码，卖了也没啥问题吧

[skiy]

@kero991 没必要这么激动。linux kernel 踢掉俄罗斯开发者也不是没见过。不是你参与贡献，项目就有你份的。所以，这就是为什么很多开源项目需要签 CLA 了。否则不合并你的 PR 。

[mydingyan]

@programApe 绿联网盘管理里登录阿里云盘 下载文件也是走的第三方流量？？？？

[Vesc]

@cogear 我也很好奇

[paranoiagu]

@coolcoffee
3.45.0 版本安全吗？看了一下我自己的，也是这个版本。但是官方最新版本也是这个么。

[psllll]

@kero991 如果不改协议，确实不需要其他人同意就可以卖的

[momooc]

fork 一份/回退不难，没有后端不也用不了吗？现在最紧要的情况是如何注销各种网盘的 token 。

[WillemNZ]

换 dufs 了

[cnyang]

@Ansen http://web.archive.org/web/20250000000000*/https://alist.nn.ci/v3.sh

[coolcoffee]

@paranoiagu 应该是不安全，我看错了。赶紧去回滚去🤣

[kero991]

@skiy #48 恰恰是绝大多数人都太理性了，每人冲他们，国外环境刀片都寄上门了
既然你们都表示挣钱可以理解，那我还顾忌什么呢？下次还敢呗。

[jonty]

擦 我去关个服务

[DefoliationM]

已关服务，还有其他类似的静态服务吗？

[zzbd]

文档网站已经打不开，想查查怎么解绑都费劲🐶

[kero991]

@skiy #48 https://github.com/AlistGo/alist/issues/8659

[tpopen]

hutool 发公告了吧。
https://www.oschina.net/news/342402

[tpopen]

@tpopen 发错帖子回复了。。。sorry

[TimPeake]

[skiy]

@kero991 那你应该了解了 redis 了，它协议直接改了。它这个 alist 协议没改，代码也没变化（并没有闭源）。alist 这个，相当于只是把此仓库和组织卖给了别人。类似的操作，国外的有 drone / ngrok 等等。并没看到有人说要寄给上述公司刀片。

[berserk5683]

小雅的分支看起来暂时安全

[tiiis]

新分支开始了 https://github.com/AlistTeam

[Makerlife]

现在有没有适配 Alist 的阿里云盘等 OAuth API 的开源第三方实现，能直接用自己的开发者账户

[HashV2]

@xuromky 这么看不是 Alist 被卖了，是用户被卖了

[components]

xiaoya alist 目前是可靠的

https://img7.uploadhouse.com/fileuploads/32013/320138278c4614d42cb901d39fe48e4efbe8ef2b.png

[635925926]

我只有一个疑问？原来 oauth 网盘 token 的接口没有开源？

[Paradox4068]

可能会倒闭，但不会变质（

[xayoung]

@635925926 阿里云盘好像是要去注册成为开发者的

[582033]

项目所有权变更：据报道，AList 原开发者 Xhofe 已确认项目被出售给一家名为“贵州不够科技”的公司，但交易过程缺乏透明度，未提前向社区发布正式公告。



文档与代码修改：新接手方对 AList 的中文文档进行了大幅修改，加入了非技术性内容（如微信链接），并更改了官网和下载地址。此外，部分代码提交（如添加操作系统信息统计功能）未经充分审核即被合并，引发了供应链攻击的担忧。



社区管理变动：AList 的 Telegram 群管理团队出现大换血，原管理人员退出或匿名，官方沟通渠道的可靠性受到质疑。



历史案例的警示：新接手公司疑似曾收购其他开源项目（如 Java 工具库 Hutool ），并有类似争议行为。这进一步加剧了用户对 AList 未来发展方向的担忧。

[cj323]

这波操作太败人品，信誉废了，社区肯定接不住这么大的包袱 fork

alist 只会迅速死亡

[phub2020]

@cj323 败人品，但是赚钱啊。再一次说明，为爱发电不长久

[bowencool]

@Link99 #3 rclone ，但是支持的基本上都是国外的网盘

[shellcodecow]

这个用户量, 给 7 位数打底吧?

[spike0100]

@582033 hutool 也有问题吗

[daimaosix]

@shellcodecow 6-7 差不多

[cosette]

偷偷摸摸弄，必然是看上了已有的用户，说实在的，你正常的公开收购也没什么，很多转商业项目的，做的很好，你的产品做得好有刚需就是硬实力，但显然某些公司并不在意产品本身，也没那个实力维护和继续做产品。

至于原作者，我相信也不是没精力、没时间维护，轻易也不会把项目卖掉，还是给得太多了，达到了心理预期。

[windywinter]

理想很好，现实往往都有很大的压力。

[ptaooo]

https://github.com/AlistTeam/alist/issues/3
已经开始组织一个新的开源版本了

[wsseo]

无可厚非

[xuejianxianzun]

@wsseo 无可厚非个屁，几十万用户的项目，事先没有发布公告通知用户偷偷的卖了，昨天大家还以为是被投毒了，斤今天才知道是作者偷偷卖了。
目前一些下载链接和 API 地址已经变了，未来明确会收集用户信息（说是 6 月 23 号开始）。

[xuejianxianzun]

还有个很大的影响是有些网盘的挂载需要 token ，如果之前授权给了 AList 作者的 API 来获取 token ，那么公司就可以使用这个 token 来访问完整的网盘文件。肯定是能读的，至于能不能写，我不清楚那个 API 里是否包含了写入权限（不过鉴于 AList 里可以向网盘里上传文件，所以也可能有写权限）。
因此，如果挂载的网盘里有私密数据，就应该去删除 token 或修改密码，以防止隐私泄露。

[niuxuewei]

@xuejianxianzun 可是你也没花钱吧。。开源代码所有权本质上还是属于作者吧（ P.S. 我也是 alist 白嫖用户，一个项目没法长久盈利的话，只是用爱发电，结局无非是停更 or 卖掉）

[zjstar]

太多项目都用了吧，会影响未来使用么

[simplove]

我刚才 onedrive 上的密钥更换了，用本地的方式来获取更安全。
版本也降级到 v3.40 ，先用着，后面再看看

[miaomiao888]

一声都不吭把你们卖了，卖产品还是卖用户。

[Falcon1]

给的实在是太多了

[msg7086]

@niuxuewei 花不花钱不是瞒着用户的理由啊。
我每天免费给你一瓶矿泉水，突然有一天开始偷偷在里面加料，因为是免费的所以就可以接受吗。

[paranoiagu]

@coolcoffee 我回滚 3.40 了，反正够用

[Hephaistos]

@niuxuewei 卖没问题，商业化也无可厚非。
但偷偷卖给一家有黑历史的公司半年以上还一份公告都没就有问题了

[Kirkcong]

@Hephaistos #94

https://www.v2ex.com/t/1138125#reply12

“贵州不够科技。该公司创建初期我就去面试过了，做的黑产，中东盘菠菜。面试过程不问技术，敢做就入职，工资保证是干净 U 兑换的，面试官兼法人看起来 30 出头，目测背后还有人。”

[BardOS]

onedrive 用这个 https://vtzp.github.io/alist 手动生成就好了，就一个 index.html 文件，全程自己操作，回调地址本地，也不怕什么了

[niuxuewei]

@msg7086 问题是正常的人/公司没人愿意支持作者，哪怕在卖之前给点资助/提供些新的代码呢？维护一个没有收益的开源项目代价是很大的，况且我觉得也原没到食品投毒这种程度。作为用户原因把自己视为重要的数据交给一个无法可持续运营的项目，那就要做好这种准备。这跟找工作一样的，要么忍要么滚。

[niuxuewei]

@msg7086  至于是否有意瞒着用户，这个问题我不好评价。如果是有意为之，那作者这样做是有些不妥。

[msg7086]

@niuxuewei 没人愿意支持作者这个是你在做开源项目的时候就已经知道的事情。难道作者在立项的时候就指望有很多人给作者金钱或者技术上的支持？难道我今天去 github 上立个项目我就觉得用户们会给我账号打钱？不会吧？
开源项目本身就不「需要」运营。作为作者你不想玩了，那你哪怕什么都不做，都比把用户卖了换钱来得强。你说的「作为用户原因把自己视为重要的数据交给一个无法可持续运营的项目，那就要做好这种准备」，我换一种更难听的话，就是「不要相信中国人写的项目」。
我们看到中国人开的项目，都是秉承着相信中国人的技术与良知，所以愿意用国人的项目。如果都像你说的，只要没给他们赞助，没给他们做出贡献，就要承担用户数据被出售，软件升级时被植入第三方公司的不明代码，这种风险，那只能说明潜意识里你认为国人项目终究要作恶，没人应该相信中国人。你想想看这句话背后的逻辑。

顺便一提，要是你给他们做过贡献或者给过资助，难道你这个用户就不会被变现了？你软件升级的时候就不会被植入不明代码了？醒醒。

[niuxuewei]

@msg7086 没必要上升到国人，redis 前段时间许可证不也是这样么，都是利字当头。开源项目本来就是这样，自由不等于免费。自由是双向的，作者有卖出的自由，你也有不相信的自由，是吧？