原标题:《I never authorized an integration that scans my secrets》 评分: 39 | 作者: trvrprkr 💭 默认把密码哈希前缀送第三方,还叫隐私? 🎯 讨论背景 Home Assistant(开源的本地智能家居自动化平台)的 Supervisor(负责管理附加组件和系统配置的组件)会检查被标记为密码的配置值是否已出现在泄露数据库中。它接入 HIBP(泄露凭据查询服务)的 Passwords API:发送 SHA-1 hash 的前 5 个字符,再在本地对返回结果匹配,以减少向服务端暴露完整 hash 的风险。该能力据称已存在约五年,但近期版本开始显示相关警告,才让更多用户发现其存在;关闭选项此前未被充分文档化。争议的核心因此不仅是密码检查的技术隐私边界,也在于默认开启、缺少明确告知,以及项目维护者对反馈的回应方式是否符合其隐私定位。 📌 讨论焦点 技术机制虽降低泄露风险,但默认启用缺乏知情同意 该检查会对被标记为密码的应用配置计算 SHA-1 hash,仅把 hash 的前 5 个字符发送给 Have I Been