「数码荔枝」关于 Downie 事件始末的说明与回应

[1ychee]

事情起末

V 站网友 @Pudddd 在 2024/03/11 发帖，讲述了他购买了正版 Downie ，并用所得激活码 & 邮箱 ([e-mail]) 激活 Downie 后，通过软件内的反馈通道提交 issue ，却被 Downie 软件直接判定为盗版，并弹出了一长串内容很不合适的弹窗。

该内容不仅在 V2EX ，也在 Reddit 中引发了大量讨论。

作为 Downie 在中国地区的代理商，我们有必要做一个统一的说明和回应。

---

首先，无论如何，我代表开发商 Charlie Monroe Software ，以及数码荔枝，向 @Pudddd 以及被此事影响到的用户，诚挚道歉！

---

其次，帖子出来后，Reddit 原贴中的 @secpoc 用户直接对 Downie 4 进行逆向工程，并表示 Downie 内置了一个 blacklist —— 如果检测到用户使用了来自这个黑名单中的邮箱，将被直接弹窗。同时，软件内不包含任何对用户硬盘内文件进行随机移除的代码，也不包含任何可疑或非法的网络行为：

此时，大概可以猜到，用户 @Pudddd 激活所用邮箱 ([e-mail]) 就在上述黑名单中。

---

接下来，出于谨慎，我们通过邮箱咨询开发商关于此弹窗内容的真实性以及背后的原因。开发商在今日凌晨 (2024/03/12 1:15 AM) 回复。截图如下：

对此弹窗解释的翻译，如下：

“我对这一说法进行了研究，它有一定程度的真实性。这是很久以前遗留下来的 (代码)，当时我刚创办公司，不得不经常打击盗版。我完全忘了这一点。

以前，如果有用户在 Downie 盗版的反馈通道提交 issue ，且使用了虚假邮箱 (如，我收到过来自于诸如 f_k@f_k.com 的反馈)，且内容非常粗鲁 (如，通过语言羞辱我等行为)，那么我就会将那个邮箱加入黑名单，然后对应的用户就会收到这样的弹窗内容。

我知道弹窗内容看上去很吓人，但我保证：Downie 从未删除过用户的任何东西。这只是我尝试对 (自己判定为不友好用户) 的一种恐吓手段。我承认这不是最好的办法。尽管如此，我们从未访问或删除过任何文件。”

所以，能确定的是，在早期有盗版用户在软件内使用 [e-mail] 对开发商进行不友好行为，导致开发商将这个特定邮箱加入黑名单。而用户 @Pudddd 在激活软件时，(可能) 出于对自己隐私的保护，恰好使用该邮箱进行软件激活，导致被误伤。(这也是为什么在数码荔枝与 Downie 合作的那么多年后，同样也第一次发现软件内竟然还有这种弹窗文案，可见出现的概率很低。)

开发商在邮件中继续表示：

”在下一次更新中，这个问题将被彻底删除。如前所述，这是多年前留下的问题 —— 我甚至都忘了这个问题的存在。很抱歉以这种方式出现了这个问题。不过，它将会被删除，而且它始终只是一条信息，没有删除过任何东西。“

---

随后，在半小时后的下一份邮件中，开发商表示自己已在推特上公开进行道歉，且在今天 (2024/03/12) 更新软件版本至 4.7.5 (4682)，履行自己的承诺，移除了该弹窗的相关代码：

开发商在邮件中的道歉，翻译如下：

“我真的对此感到非常抱歉，如果时间能回溯，我一定不会在软件内添加这样的文案。它很愚蠢，也不成熟。如果你能在 V2EX 中也能 post 我的道歉链接，并进行解释，那么这会很有用。”

开发商的公开道歉声明如下： https://twitter.com/charlieMonroe/status/1767223124930482647

---

最后，在今天 (2024/03/12) 与开发商的往来邮件中，开发商表示如果能得到该用户的允许与联系方式，他会专门写一份道歉信给他 (目前数码荔枝已通过私聊向该用户转达开发商的想法，还在等待回复中)：

这件事情的前后大致就是如此。

数码荔枝

数码荔枝负责 Downie 在中国的销售 / 推广 / 客服支持，也有义务处理并解释有关 Downie 的事务。在这个帖子中，我们尝试以最客观的方式去描述该事件，也尝试站在各方角度去理解当事人的心情。

1. 我们能理解用户 @Pudddd 对看到这个弹窗提示的愤慨。(再次，我代表开发商 Charlie Monroe Software ，以及数码荔枝，向 @Pudddd 以及被此事影响到的用户，诚挚道歉！)

2. 我们也能理解开发商对盗版用户的厌恶，但就此在早期撰写此弹窗文案，是非常不妥的。在昨天我们联系开发商的邮件中，也希望开发商采用更温和中性的措辞。建议措辞翻译为：“你可能运行的是 Downie 的盗版，我们将暂时停止为你提供技术支持，直到我们排除这种可能性。请联系我们并提供你当时购买的激活码、付款记录或其他信息。” 不过开发商更新了软件版本至 4.7.5 (4682)，已移除了该弹窗的相关代码。

3. 对于 Downie 较为简陋的盗版验证机制，我们自己也感到不解。我们会在之后与开发商继续沟通，看看是否能够改进盗版验证机制，避免未来出现 [购买了正版，却被鉴定为盗版] 的尴尬事情。

尾声

在本次事件中，因为在激活软件时随手输入的邮箱，正好存在于开发商的 blacklist 中，后续引发了一系列事情，这是任何人都想不到的。

我们在任何时候，都建议顾客在购买或者激活软件时，都使用常用的、同一个邮箱。经历过这个事情后，我们觉得这个建议更加重要了。

最后，我再次代表开发商 Charlie Monroe Software ，以及数码荔枝，向 @Pudddd 以及被此事影响到的用户，诚挚道歉！

[Foxxoccino]

https://blog.charliemonroe.net/an-apology/
刚刚作者在自己的博客上又发了一篇道歉的文章。

[mercury233]

好像没看到那个用户的使用权有没有被恢复，或者有没有开放退款

[leonshaw]

@fluffyfoxxo
Apology is cheap, show me the compensation.

[Jirajine]

@fluffyfoxxo #121 这个声明总体来看还行，tldr：
1.作者声称删文件是威胁和玩笑，没有真正实行，并且可以反编译验证弹窗的这个函数中没有调用其他的行为。
2.作者声称访问邮箱是错误的指控，访问邮箱是曾经的行为，现在是 dead code ，并且可以验证现在的版本访问邮箱的字符串没有被引用。

还有一点小问题：
1. 没有解释在最开始的时候不承认推脱到第三方来源，这种文案写过不可能忘了。
2. 不了解 macos 逆向不确定这种方式验证是否可靠，并且即使可靠，也只能确定：
2.1. 弹窗的这个函数没有其他操作，不能确定软件的其他部分没有恶意行为。
2.2. 作者承认过去版本曾经有过访问邮箱的行为，现在不再这么做了。

[VIVIANSNOW]

全文 80 就是洗。如此恶劣事件。但凡做个人，有个态度。应该经济补偿一下。送个把软件。 道歉有个屁用。呵呵。我只是说作者真恶心。怎么不嘴硬了。不过如果我是 op 。我也这样洗。只不过会比你洗得更好而已 哈。所以。洗没错。

[miaoxw]

道歉当然很好，不过已经产生的不信任想要挽回，说真的怕是没那么容易。
我不是 Downie 的用户，但我看到这样的威胁，哪怕只是威胁，肯定是会打消购买的顾虑的。

[Neolin]

开发者先是嘴硬不承认，被人找到确切证据之后在 Twitter 的“道歉”也只是别人推文下面的回复，过了大半天才有一个比较书面且公开的道歉，真是傲慢啊

[giganet]

已经删了...哎...

[INW017bzMfgkkYGn]

@bojackhorseman 开发人员也有不理智的时候，或者说被气疯的时候

[Daitabashi]

@unbridle 见过那么多嘴硬的，这种跪的已经算快的了

[getapitch]

荔枝的做法和回复算是很可以了。但是 Downie 的回复基本上就是给自己找理由推脱。总体意思是 “我不小心的，文件确实没删你，这事儿下次我不干了。”没有一点补偿措施，说实话看不太到什么诚意。另外就是类似的下载软件实在是太多了，甚至没有纠结一下要不要让他继续留在电脑里的必要。

[Willjim]

不成熟时的一个举动，本意吓唬恶意破解者，但翻车误吓到正版用户，实际也没删除功能。
看博客说读取 mail.plist 是对破解团队的反击，但此前就已废弃，也给出方法让人求证。

算是愚蠢的狂怒之举，不过看了大家的留言似乎在地球上，是不允许人不理智的，为犯的错道歉也是没用的。

这开发商的情商，要是有软件功能一半高就好了……

[eggrolls]

@Justin13 是的，软件激活时验证一下购买时的邮箱不就行了，很多软件都这样，不知道 downie 为什么不做

[eggrolls]

只能说代理商躺枪了，要下架肯定不舍得，看淘宝销量还挺大的，只能陪开发者一起道歉了

[gpt5]

@persistz 我也注意到这个问题了。我想有可能是 puddd 发了邮件后，在下个版本更新的时候，作者把 1@1 那个邮箱软件中的黑名单了。puddd 在更新软件后才被弹窗。

[littlecap]

感觉得赔 2000 块钱。

[metalbuild]

竟然还在用「忘记了」装傻阿....如此痛恨盗版的入血程度还会忘了自己的反盗版手段?看来不只流氓, 还有精分 不到一天的时间从教育客户到突然忘记🥹

[sumarker]

在这件事发生之前我甚至都没听过 Downie 这个软件（请恕我孤陋寡闻了），所以搜索了一下，却发现了一些其他的东西
主要是 www.downie.cn 以及 vip 结尾的网站，看起来像 dowine 中国的“官网”，只是当我尝试打开它们时，发现 cn 的那个被 norton 警告是危险的网页
同时我还发现了上面有相关的备案信息（虽然只是 ICP 备案）但备案确实是大陆的公司，所以我也不清楚 op 在这件事上的立场
u1s1 ，单看 op 的描述，以及 downie 官网 blog 上的道歉来看，确实是在努力道歉的样子，只是对用户来说是否缺乏必要的诚意？
就好比有个熊孩子到了自己家里，然后熊孩子回去时说，他没动过家里的任何东西一样。
也许独立开发者会有一个心思，尽力避免出现“白嫖”或者“恶意”的用户，但方法就算我这样的没有做过独立开发的人来说也不算高明。
另外就是我有一个疑问，下单时候的邮箱应该是用来接收激活码的吧？

[7Sasuke7L]

@zhongjun96 我安装某些软件，Apple 会提示该软件含有恶意，会提示我不要安装，也就是 Apple 能识别一个软件是否含有恶意代码，就像 Win 的杀毒软件一样，如果真的 Downie 含有恶意代码，那 Apple 能像识别病毒一样识别出来吗？

[Saury]