通过支付宝新浪微博的说明，可以明白这次支付宝泄露用户隐私的原理。
当支付宝用户转账付款成功后，系统会生成一个“转账付款结果”的展示页面，其上有转账详情，包括付款收款人的用户名、金额、说明、备注、时间。这个页面是公开的，只要有网页地址，谁都可以看。这就是漏洞所在。
一般来说，因为付款结果页的URL复杂而随机，其它人不会看到，搜索引擎蜘蛛也不知道。但有时，有的付款人为了向收款人证明自己已经付款，会把链接发布在公开的网页上（一般是论坛BBS），这时，搜索引擎爬虫顺着BBS的链接，就可以抓取到付款结果页了。
支付宝在中国数亿的海量用户，即便很小比例的人分享，最后泄露的数据也不会少，据说泄露的页面有2000-3000条。假定有支付宝有5亿用户，其中有百分之一用到转账付款，就有500万人。有万分之一的转账付款用户分享付款结果页，就是有500人分享。再假定这些爱分享的养成习惯，一人分两条，就是1000条。
案例分析
论坛“中国投资资讯网交易在线 xx007.cn”上有用户“朱海杭 abcd4068@sohu.com ”出售首日封。在第10楼，李硕回复款已付支付宝，并附上了付款结果页链接。
注：以下的看似隐私的信息，是主人自己发布在公开的网页上，非我泄密。
中国投资资讯网交易在线 → 邮票大卖场 → 邮资封片JP/JF/TP/YP/FP
标题：编号227： 同济大学和曹冲称象 总公司丝织首日封 量少价格便宜
卖布的猪 2013-3-4 23:50:00
http://www1.xx007.cn/dispbbs.asp?boardid=7&id=8157051同济大学 52套 15元一套
曹冲称象 55套 15元一套
零售价格15元一套 包挂号
一起走12元一套 一起走包邮包品
需要尽快联系认证员注：交易级别有效期至2013年4月9日。
姓名：朱海杭（87年出生，已通过身份核查，号码一致，照片一致）
地址一：河南省民权县城关镇一中 邮编：476800
电话：0370-8569718
地址二：上海市普陀区灵石路1197号聚奇城邮币卡市场二楼2059号包房 （邮编200072）
家庭住址：河南省郑州市金水区玉凤路凤鸣路聚锦苑3号楼3单元901室 邮编：454000
手机：13623700700 13585706131
农行：6228482382010321412 朱海杭
招行：6225 8821 3485 1622 朱海杭
工行：622202 1716006839757 朱海杭
建行 6227002471750435491 朱海杭
支付宝账号 ：abcd4068@sohu.com 朱海杭 QQ 513983272lishuo1129 2013-3-7 23:25:00
https://shenghuo.alipay.com/send/result.htm?outBizNo=2013030700001000820039962618&sign=0dbe871f0e543d77ccd62ab676643953
款已付支付宝，或请发：北京市丰台区西罗园南里21楼408 李硕 100068 13911267527李硕
北京丰台区和义东里2区18楼8门502室
邮编100076 电话13911267527
根据李硕先生在邮品交易论坛贴出的“支付宝转账付款成功结果页”链接，搜索引擎爬到了支付宝公开的转账详情：
这是 Google 对 https://shenghuo.alipay.com/send/result.htm?outBizNo=2013030700001000820039962618&sign=0dbe871f0e543d77ccd62ab676643953 的缓存。 这是该网页在 2013年3月18日 09:43:12 GMT 的快照。 当前页在此期间可能已经更改。
转账成功，对方已收到您的500.00元款项。
转账详情
付款账户： lishuo…com
收款账户： abcd4068@sohu.com
付款金额： 50…00元
付款说明： 转账
付款时间： 2013.03.07 2…8
状态： 转账成功
朱海杭的另两条支付宝收款记录：
- 转账成功，对方已收到您的70.00元款项。
转账详情
付款账户：
收款账户： abcd4068@sohu.com
付款金额： 70.00元
付款说明： 极限片20套款
付款时间： 2013.02.12 21:55:37
状态： 转账成功
https://shenghuo.alipay.com/send/result.htm?outBizNo=2013021200001000880034994505&sign=08274e2213d2a66a12a821142c5b5765 - 转账成功，对方已收到您的35.00元款项。
转账详情
付款账户：
收款账户： abcd4068@sohu.com
付款金额： 35.00元
付款说明： 购买盖销火箭3套和恐龙一套
付款时间： 2012.11.10 10:42:48
状态： 转账成功
https://shenghuo.alipay.com/send/result.htm?outBizNo=2012111000001000020012878605&sign=6ef2e30c8a9f0abd28b9563dc893b2a8
★后续
支付宝程序员已经连夜做了修复了漏洞，把生活助手付款结果展示页面的详情全部去掉，“增加一个消费记录详情的链接，该链接点击后需要用户登录才可以看到”
转账成功，对方已收到您的500.00元款项。
查看详情 https://lab.alipay.com/consume/queryTradeDetail.htm?tradeNo=2013030700001000820039962618
总结
到此，我算是有点明白，搜索引擎并非在网站服务器按目录全部抓取数据，而是沿着互联网上一个接一个的链接来抓取。如果一个网页压根没有被任何搜索引擎索引直接或间接地链接难，即难以抓取了。所以，新网站需要提交到搜索引擎，所以网站多做外链有点好处。
相关
2013-03-28 13:00:59 XUEXX.COM IPO
2013-03-28 19:22:14 AddBackLink
