拼多多是怎么做到分享的助力链接域名不是自己的呢？

[xiaodongxier]

经常收到朋友发的拼多多助力，无意间发现一个问题，就是拼多多是怎么做到分享的助力链接域名不是自己的呢？

1. https://surl.amap.com/mxNiRlg1d3z
2. https://cc.10010.com/cs/ccc/online/sns/api/view/a61317f05a9e4171986bb845ab4922ce

比如：
上面的第 1 个链接，域名是高德地图的
上面的第 2 个链接，域名是联通营业厅的

[aqqwiyth]

有点没下限, 蹲个坑 看后续

[yuzo555]

首先需要确认这是官方行为还是刷佣的淘宝客干的。

不太用拼多多，楼主说的这种链接是从你普通非技术的朋友那里发来的，并且是为非技术的朋友本人助力的吗？
如果是，那么就可以确定是拼多多的官方行为

[littlewing]

还有这种骚操作

[Zzdex]

nb

[seakingii]

微信和 PDD 互秀下限

[tanrunhao]

能开源不， 有朋友需要。

[fkdtz]

但是各家短链服务、图床不是都要收费的吗？这不是成本吗

[PqZS58MLPBHFpEqm]

为什么第二个链接直接打开是 403 ，但复制粘贴又能访问？啥原理？我蒙了

[jim9606]

看链接的内容没看出直接关联。

我想到的方案是利用 URL 的最后一段，用特殊方法编码跟踪 ID ，客户端通过剪贴板得到 URL 后尝试解码出跟踪 ID 。这样即使整个 URL 是无效的也不影响分享，如果无法控制白名单地址显示的内容就最好是构造成非法地址避免意外跳转。
不过感觉这个方案似乎没有比淘口令那种好多少。

[cskeleton]

@edis0n0 #11 也有可能是他们人逛 loc 看到了吧。之前在 loc 还是哪见过 gov cn 的图床，太会玩了

[Fucter]

法外之地拼多多，反正也没人管，也没规定

[daimaosix]

@PqZS58MLPBHFpEqm 设置了 Referer 白名单，但又允许了空 Referer 访问，就这原理。从 V2 打开 Referer 是 v2ex.com ，不在白名单内所以是 403 ，你复制粘贴后是空 Referer 访问，如果允许空 Referer 访问所以就可以打开了，也不用复制粘贴重新打开，你在地址栏敲下回车就行了。

[qeqv]

@PqZS58MLPBHFpEqm 可能是 Referer Header

[qeqv]

不喜欢拼多多，但拼多多就好像淘宝京东的一杆尺子

[Knuth]

第二个好牛逼，怎么实现的

[dqzcwxb]

用图床传推广图,推广图链接到 openinstall 这种无码邀请提供商然后跳转出微信下载 app,全程不与自家 app 或者域名关联完全封不掉
提供一个技术关键字可能跟这个不太相关,微信落地页域名防封

[nyxsonsleep]

@sadfQED2 csdn 可以获取其他公众号验证码？

[lopda]

微 多 大 战

[zxcslove]

都是小而美逼的

[pytth]

这应该是 XSS ，拼多多把他们的 html 传到其他站，然后修改 dom 显示自己的内容，将其他站作为入口域名，将 oss 等 cdn 作为落地页域名。