เข้าใจความห่วงนะ โดยเฉพาะคนที่เคยโดนแฮกจากครั้งก่อน แต่ขออธิบายแยกเฉพาะเคสของ cutnoodle ละกัน (ไม่ได้แก้ต่างให้ทุกเว็บ) 1.เว็บนี้ไม่มีปุ่ม Login ไม่มีปุ่ม Connect X ไม่มีช่องกรอกรหัส ไม่มีหน้า Authorize ไม่มี OAuth ให้แอปไปโพสแทนเรา ดังนั้นสิ่งที่ขอมีอย่างเดียวคือพิมพ์ username สาธารณะเข้าไปแล้วกดสร้างวงกลม 2.หลังกดปุ่ม เบราว์เซอร์ไม่ได้ยิงไป x(.)com/oauth และไม่ได้ส่งชื่อเข้าเซิร์ฟเวอร์ของ CutNoodle เพื่อไปคำนวณ แต่ส่งชื่อนั้นตรงไป FxTwitter ซึ่งเป็นบริการบุคคลที่สามที่อ่านโพสสาธารณะของ X แล้วตอบกลับข้อมูลมาเป็น JSON คือโปรไฟล์ของชื่อนั้น โพสกับรีพลายล่าสุดของแอคนั้น และโพสที่คนอื่นที่พูดถึงแอคนั้น 3. ตัวFxTwitter คือ API สาธารณะของโปรเจกต์ FxEmbed อยู่ที่ api(.)fxtwitter(.)com ตอบเป็น JSON ล้วน ไม่ต้องมีแอค X ไม่ต้องมี API key ของผู้ใช้ endpoint ปัจจุบันอยู่ใต้ /2/ ทุก response มี field code คู่กับสถานะ HTTP รายการยาว ๆ มี cursor ไว้แบ่งหน้า และจำกัดประมาณ 1,000 request ต่อนาทีต่อ IP ใครเปิดลิงก์พวกนี้ในเบราว์เซอร์ก็เห็นก้อน JSON ได้เลย เช่น api(.)fxtwitter(.)com/2/profile/ชื่อ หรือ api(.)fxtwitter(.)com/2/profile/ชื่อ/statuses และจะตอบกลับมาเป็นอาเรย์ของโพส ทางเว็บเองบอกว่าอ่านร้อยโพสล่าสุด ไม่ใช่ทั้งหมด 4.JSON ที่กลับมา ตรวจสอบแล้วว่าไม่ใช่ session ไม่ใช่ cookie ไม่ใช่ access token เป็นข้อมูลสาธารณะที่ใครไม่ล็อกอินก็อ่านได้อยู่แล้ว ประมาณนี้ { "code": 200, "results": [ { "type": "status", "id": "123", "text": "...", "created_timestamp": 1750000000, "author": { "screen_name": "someone", "name": "Someone", "avatar_url": "pbs.twimg.com/..." } } ], "cursor": { "bottom": "..." } } ในก้อนนี้มีข้อความโพส เวลา ผู้เขียน ชื่อแสดง ลิงก์รูปโปรไฟล์ และบริบทว่ารีพลายใคร โควตใคร หรือรีโพสต์อะไร ไม่มีไลก์ส่วนตัว ไม่มีรายชื่อผู้ติดตาม ไม่มี DM ไม่มีโพสจากแอคที่ล็อกไว้ 5.จากนั้นสคริปต์ในแท็บจะไล่ทีละโพสเอง แยกชนิดการคุย แล้วให้คะแนนในตัว browser ไม่ได้ส่งขึ้นไปที่เซิร์ฟเวอร์ CutNoodle คิดให้ reply ได้ 3 คะแนน quote ได้ 2.5 mention ได้ 1.5 repost ได้ 1 โพสเก่ายิ่งเก่าน้ำหนักจะยิ่งลด ก็คือจะลดครึ่งนึงทุก ๆ 30 วัน ถ้าคุยสองทางได้โบนัสตามสูตร A + B + 2√(A×B) โดย A คือคะแนนจากเราไปหาเขา และ B คือคะแนนจากเขามาหาเรา แล้วเรียงไม่เกิน 50 อันดับ 6.รูปวงกลมก็ไม่ได้เกิดจาก generative AI เพราะตอนกดปุ่ม เบราว์เซอร์จะวาด Canvas 2D ขนาด 1200×1200 วางรูปเราตรงกลาง จัดคนที่เหลือรอบวงด้วยตรีโกณมิติ ตัดรูปเป็นวงกลม เขียนพื้นหลัง เส้น และป้ายชื่อ 7.สำหรับปุ่มดาวน์โหลด PNG คือการ export canvas ใบนั้นออกมา ไม่ได้อัปโหลดก้อนโพสดิบกลับไป 8.ส่วนรูปโปรไฟล์ก็ใช้วิธีเอา avatar_url ซึ่งปกติอยู่บน pbs.twimg.com อยู่แล้วไปโหลดผ่าน image service ของ CutNoodle ที่แคชไว้ชั่วคราวบน Cloudflare 9.จุดที่เซิร์ฟเวอร์ CutNoodle โผล่คือหลังวาดเสร็จแล้วเท่านั้น ถ้าแค่กดดาวน์โหลด PNG จะไม่มีการเก็บข้อมูล ถ้ากด Copy share link หรือ Post on X แท็บจะส่งผลลัพธ์ที่เห็นบนวงกลมขึ้นไปเก็บประกอบด้วย username ชื่อแสดง ที่อยู่รูปโปรไฟล์ คะแนน จำนวนการคุย และสไตล์ที่เลือก เก็บภายใต้ ID สุ่ม 8 ตัว พร้อมเวลาที่บันทึก แล้วลบอัตโนมัติใน 30 วัน 10.ดังนั้นอันนี้ต่างจากเครื่องมือเก่าที่ทำให้แอคหลุด คือแอค X ถูกเอาไปโพสแทนได้จากสามอย่างเท่านั้น คือ - รหัสผ่าน - session cookie ของ x(.)com อย่าง auth_token กับ ct0 - OAuth access token ที่ผู้ใช้กด Authorize ให้แอป 11.ดังนั้นเว็บคนละโดเมนอย่าง cut-noodle(.)com หรือ api(.)fxtwitter(.)com ไม่สามารถอ่านค่าตรงนี้ผ่าน JavaScript ไปใช้เองได้ การพิมพ์ @ชื่อ ไม่ได้ให้รหัส ไม่ได้ให้ session ไม่ได้ให้สิทธิ์โพสแทน จึงไม่มี token ให้ใครยึดไปโพส แต่ถ้าเจอเว็บเลียนแบบ/เว็บอื่น ๆ ที่หน้าตาคล้ายกันแต่ดันมีปุ่มเชื่อมทวิต, Authorize, หรือ Login with X อันนี้กดแล้วโอกาสโดนสูงมาก ๆ ควรระวังให้ดี ปล.ภาพทั้งหมดเขียนขึ้นจากไฟล์ html และ screenshot จากการดู http request จริง ไม่ใช่ เไ เจนคับ