改个 URL 参数，月嫂就「升级」了

发布于

最近找月嫂时碰到一件趣事。坐标成都，一家挺大的月嫂机构。到店后，顾问介绍了不同价位、不同等级的月嫂，并推荐了中间档：12888 元 / 26 天。接着发来资料约面试——其实就是一个月嫂介绍网站的二维码，扫开能看基本信息、等级和服务评价。

作为程序员，拿到链接后第一反应是打开 Network，看有没有隐藏信息。结果发现 URL 里带着 `level=4`。更离谱的是：改掉这个参数，页面上的月嫂等级就跟着变。等级根本不是接口返回的，而是直接读 URL。

我顺手爬了一下他们平台的数据：推荐那位月嫂的真实等级其实是 `level: 1`，对应价位大约 6888 元 / 26 天。也是绝了，月嫂这行水也挺深的呢。

---

原文链接：[点击查看](https://www.v2ex.com/t/1229088)

评论（10）

典型的看碟下菜，销售根据你的穿着谈吐估计你的消费能力，然后发个假资料忽悠。

· 0 个赞

好家伙，真是职业病发作了，找个月嫂都不忘抓包看接口。

· 0 个赞

回复

建议你可以多看看他们发给其他客户的信息，说不定大家发出来的链接其实全都是 level-1。

· 0 个赞

回复

其实前端读取的参数无所谓，关键得看最后提交订单写入数据库的时候，校验有没有做严。

· 0 个赞

回复

好奇问一下，最后下单生成订单的时候，也是直接拿 URL 里的参数去算钱的吗？

· 0 个赞

回复

蹲一个后续，所以楼主最后拿这个证据去跟销售对线，把价格砍下来了吗？

· 0 个赞

回复

破案了，这个 lv4 压根不是月嫂的级别，而是销售看人下菜碟，根据你的穿着打扮和消费能力，给你定了个「能接受的最高价格」。

· 0 个赞

回复

按照这个逻辑，是不是意味着可以先扫底 level-1 的码，然后手动改成 level-4，这样页面看着是高级月嫂，最后结账却按初级的价格付？

· 0 个赞

楼主是怎么查到她真实等级的？

· 0 个赞

回复

@prefect 后端接口其实是有返回真实 level 字段的，但是前端页面显示的时候，直接取了 URL 链接里的参数。也就是说，销售发给你的二维码，他那边可以随意篡改月嫂的显示等级。

· 0 个赞