突破許可權查看人人網特定使用者所有相簿(加密除外)的演算法

在學校論壇上看見一個chrome外掛程式，可以用來進行人人網搜尋，查看照片，方便好用，在此共用，：猛擊這裡下載

以下是該工具的設計思路

steps:                                         

1.訪問對方首頁，發現“相簿”處為灰色，無法進入，沒關係。複製下Ta的人人網id
2.訪問:http://photo.renren.com/getalbumprofile.do?owner=Ta的id

這時候，你就進入了Ta的頭像相簿裡。頭像相簿搞定。

3.點擊頭像相簿的第一張照片（一定要是第一張），這時可看到地址欄上顯示

http://photo.renren.com/photo/Ta的id/photo-第一張頭像照片的id

4.對上一步得到的網址進行編輯，在photo- 前面插入字串"latest/"，得到http://photo.renren.com/photo/Ta的id/latest/photo-第一張頭像照片的id

5.訪問第4步得到的網址，此時進入了該使用者的"最近照片"的相簿。注意到，照片的下方顯示著"來自：某某某|
相簿： 頭像相簿"

6.滑鼠放在照片右側，點擊一下，可看到進入了下一張該使用者最近上傳的照片。注意到，照片的下方顯示著來自：某某某|
相簿： 另一個相簿"，這裡的“另一個相簿”是可以點擊並進行瀏覽的，於是“另一個相簿”搞定。

重複第6步，直到發現新的相簿。對於一般使用者而言，此方法可搞定所有相簿(至少是大部分)，除非Ta一次性上傳了200張照片造成"最近照片"的相簿裡只有一個相簿……

以下是開發人員感想：

花了2個月的時間，從連chrome都拼不對的零基礎開始，學js html css php mysql ，共寫了4千行代碼，完成了一個chrome外掛程式，對人人網的搜尋介面進行封裝，改進和擴充。

功能是按輸入條件即時搜尋全國所有大學的人人網使用者同時列出其照片

並且:

1,標記其相簿是否對非好友可見

2,列出其相簿數目

3,按照某種準則將使用者分為 文藝，普通，其他等幾類。

4,支援收藏

5,支援收藏結果上傳，收藏使用者人氣+1

6,可查看即時熱門排行榜。

7,用了webkit的css，介面美觀友好

所以：

如果很多人蔘與，每個人獨立搜尋並收藏上傳其覺得不錯的結果，那麼整個熱門排行榜就是集體搜尋勞動的結晶，大家可以共用，如果你真的愛看美女帥哥照片的話，這會是個不錯的工具。如果覺得無聊，那我猜你一定是個專心致志學習，為了保研或者出國而奮鬥，偶爾上極速下個電影放鬆下下的好孩子。

開發這個，樓主是不是寂寞了？


樓主只是為了學習互連網技術，找一個比較具有吸引力的東西來做而已。和寂寞無關，和興趣有關，和用技術把腦海裡的想法變為現實的熱情有關。

這個是否侵犯了人家的肖像權？

本外掛程式並沒有商業成分，也沒有醜化人家的肖像，只是讓校內網使用者本來通過手動可以達到的目的，更加智能方便一點（比如人人網改造器）。不構成侵犯肖像權的判定條件。
所以放心吧。

能看設許可權的使用者的相簿是怎麼回事？

分情況。當使用者設了“同大學的人可見”，那麼其一切相簿可見。原理是每選擇一個大學，本外掛程式將在後台自動添加目標使用者所在大學的資訊，即偽裝成那個大學的人員進行目標使用者的訪問，這樣，能看到的有效使用者數目就可以大大增加了。
當使用者佈建了"僅好友可見"，並且你不是Ta的好友時，本外掛程式最多可看包括頭像相簿在內的該使用者最新的四個相簿。

其實方法很簡單，利用人人網設計上的疏忽，先使用它們完全不設防的getalbumprofile.do檔案來訪問目標使用者的頭像相簿，再利用，在進入目標使用者相簿的前提下，人人網系統在頁面右側列出的三個該使用者最新發行的三個相簿的地址，來訪問這三個相簿即可。

工具如下：