供应链投毒，我们的还剩下哪些选择（转载+自我翻译）

https://www.54yt.net/435.html 原作者发布的爆料文章
https://v2ex.com/t/1056428 供应链投毒后，我们的选择还剩下哪些？
https://www.v2ex.com/t/1057993 曝光无良公司被威胁删帖
https://www.nodeseek.com/post-135201-1 在删帖无果后对博主和V2EX和NODESEEK进行DDOS
https://github.com/bootcdn Bootcdn官方的GITHUB没有了
https://www.nodeseek.com/post-134320-1 请持续关注由中国灰产公司主导的 CDN 投毒

以牙还牙（不可模仿）

https://hostloc.com/thread-1327962-1-1.html 看到有网友被威胁和网暴，也一直在挨打，欢迎大家慷慨解囊

# 前言

我之前转发过原发布者的《供应链投毒后，我们的选择还剩下哪些？》文章导致我被网络恐吓，以下是我被恐吓的证据，那天我刚装好TIM之后，上线发现我的管理员一直AT我，我一看发现有人要起诉我，我就和他聊了，过程中我不停的追问他证据，他却一一回避或者说自己不知道，到后面我删除掉文章之后，突然发现他访问我的QQ空间，然而幸运的是我并没有个人信息在里面，后来他发了我口令红包，我真的不敢领一个恐吓我的人的红包，我知道他们不会给我好东西的，要不然是后面告我敲诈勒索罪，要不然是想要我的转账个人信息，在恐吓完我之后依旧在让我删除文章，后来我就把他屏蔽了。

# 证据

恐吓者进入我的个人空间查看和我群管理员聊天和我的聊天

# 讨论

本文仅限讨论，我将会一直保持中立态度

对于这次的事情，我不做任何评价，只有一个办法就是不占便宜，任何免费公共静态资源CDN的安全都不如把静态资源直接放在本地调用

如果你实在是不能脱离免费CDN，我教你一个方法就是不支持SRI的CDN全部不用，SRI是一种校验用户下载下来的文件是否和正常文件相同的一种技术，如果出现投毒事件，那文件的校验值会和之前完全不一样

如果使用免费CDN的话尽量使用已经出名的大厂的免费CDN或者CDN页面上面的赞助商很多的CDN，例如字节跳动公共库和jsdelivr等

任何免费的东西都在暗中标好了价格