中国新冠肺炎疫情真相(二):中共媒体如何塑造钟南山、压制李文亮

通过李文亮事件与钟南山形象反差,深度解析中国新冠疫情中中共对言论自由的打压,以及官方媒体与专家如何合力掩盖真相、重写叙事。

当疫情遇上极权,真相首先被隔离

2020年初爆发的中国新冠肺炎疫情,本应是一场以科学与透明为核心的公共卫生战役。然而,现实却展现出另一幅图景:最早试图提醒同僚注意“非典样病例”的医生被警方训诫,微博上“我们要言论自由”的集体呼喊在一夜之间被系统性抹除;与此同时,少数被官方选中的权威专家,被推上“民族英雄”“国家脊梁”的神坛,用庄重的白大褂为政治决策背书。

讽刺图:现代中国被政府监控的画面
中国人民时刻处于政府的高压和监控中

在这场叙事之战中,李文亮钟南山这两位医生,分别站在两个极端:一个象征被压制的专业良知,一个象征被利用的“科学权威”。本文将围绕这两个人物展开,揭示中国新冠疫情期间,中共是如何通过打压言论自由、操控媒体话语以及吸纳医生为宣传工具,来掩盖早期失误、塑造“完美防疫”的官方神话。


二、从“造谣者”到“吹哨人”:李文亮被噤声的全过程

2.1 武汉疫情早期时间线:一名眼科医生的警告

公开资料显示,2019年12月30日下午,武汉市中心医院眼科医生李文亮在一个同学微信群里,转发了一张疑似“非典”(SARS)病例的CT图片,并提醒身边人注意防护。

这本是医疗圈内部的专业提醒,却被迅速截图外传,引发网络关注。12月31日,武汉市卫健委发布通告,承认出现“不明原因的病毒性肺炎”,但强调“未发现明显人传人现象”,并要求下级医疗机构“未经授权不得对外发布信息”。

2020年1月3日,李文亮被武汉市公安局以“在网络上发布不实言论,严重扰乱社会秩序”为由传唤,并被要求在《训诫书》上签字,承认自己“违法”。

在那份后来被广泛流传的训诫书中,警方使用的是一套极为熟悉的政治语言:

  • “在互联网上发布不实言论”
  • “严重扰乱社会秩序”
  • “必须停止违法行为,否则将依法追究”

对一个只是转发CT与诊断印象的医生而言,这样的措辞并非法律理性,而是政治恐吓。训诫之后,李文亮回到岗位继续工作,于1月10日前后出现咳嗽发热症状,1月31日核酸阳性,2月7日凌晨在武汉中心医院去世。

关键问题在于:
如果李文亮等人最初的专业警示没有被粗暴扣上“造谣”的帽子,相关信息能够更早公开,疫情在武汉乃至全球的走向,是否会有所不同?

2.2 “我们要言论自由”:一夜之间被删光的愤怒

李文亮去世的消息传出后,整个中国社交媒体罕见地爆发了跨阶层的集体愤怒与哀悼

中国人的5个“活命诉求”均难以被政府满足。
在中共的高压下,中国人“难以活命”
  • 大量网友在微博留下“一个健康的社会不该只有一种声音”等留言,引用李文亮生前接受采访时的观点;
  • “#我们要言论自由#”“#言论自由#”等话题在短时间内登上微博热搜;
  • 有人直接点名要求武汉警方向李文亮道歉,有人质疑“究竟是谁在散布真正的谣言”。

据多家媒体与研究者记录,这些话题最多保持了大约半小时到数小时,就被彻底封禁,点进话题页只剩下一句熟悉的话:“因相关法律法规和政策,本话题无法显示”。

大量与李文亮相关的批评性贴文也被逐步删除,许多账号遭到禁言或销号处理。少数人开始转向境外平台或加密聊天工具,继续保存那一夜的截图与记忆。

这正是中国新冠肺炎疫情真相的一个缩影:

  • 当专业人士试图发出预警时,被政法系统以“维稳”名义压制;
  • 当普通公民试图质疑时,被网络审查系统快速消音。
    疫情在现实世界中蔓延的同时,“真相”在信息空间中被高效清除。

2.3 事后“纠错”:迟来的道歉与话语再造

李文亮去世引发的民怨,迫使中央出面“灭火”。2020年3月,国家监察委员会调查后认定武汉警方训诫处理“不当”,建议撤销训诫书并向家属道歉,涉事警员受到轻处分。

几乎在同一时期,官方对外发布的“辟谣”文章中,又强调:

  • 没有医生因为吹哨被逮捕”;
  • 李文亮只是“在私人微信群转发信息,引发社会不必要恐慌”,警方向其“进行教育”。

更值得玩味的是,官方刻意淡化“吹哨人”一词,强调他只是“尽职尽责的党员医生”,将其纳入中共自身的英雄叙事之中。

这是一套典型的政治操作逻辑:

  1. 前期:用“造谣”“扰乱社会秩序”对专业预警进行打压;
  2. 中期:舆论失控时,通过审查系统封杀批评性声音;
  3. 后期:在压力之下有限度“纠错”,但通过官方媒体重新定义当事人身份——他可以是牺牲的党员医生,却不能是挑战体制的吹哨人。

在这样的叙事框架中,问题不再是“为什么要训诫李文亮”,而变成“党如何宽恕并表彰了一个优秀党员”。而真正应被追问的决策责任与制度缺陷,始终被有意无意地模糊掉。


信息封锁的系统性:不止李文亮一人被噤声

3.1 被消失的公民记者与“寻衅滋事”的万能罪名

疫情初期,除了体制内医生在院内微信群“吃训诫”,还有一批公民记者试图以影像和文字记录武汉城封锁下的真实景象——挤爆的医院走廊、超负荷运转的火葬场、被拒收的发热病人、哭泣的家属。

他们中包括:

  • 张展:律师出身,2020年2月赴武汉,通过YouTube、推特等发布医院与街头实况,5月被拘捕,12月以“寻衅滋事罪”被判刑4年。
  • 陈秋实:原律师,1月下旬赴武汉拍摄医院、殡仪馆等情况,2月初“被失踪”,后证实被“指定居所监视居住”。
  • 方斌:多次在社交媒体发布医院遗体袋、排队场景,2月被警方带走,从此失联很久。
  • 李泽华:前央视主持人,自行赴武汉拍摄,2月底在遭警车追赶时直播,随后失联,后证实被以防疫为名“隔离”。

指控几乎千篇一律:

“寻衅滋事”“传播虚假信息”“扰乱社会秩序”

这些公民记者的报道,与官方“疫情受控”“秩序井然”的口径发生了尖锐冲突,因此在法律话语与技术审查的双重夹击下被迅速噤声

李文亮的遭遇并非孤例,而是这套系统性机制在体制内专业人士体制外公民记者身上的两种表现形式。

3.2 被精准清除的“错误叙事”

多项研究对2020年1–2月间被删除的微博、微信文章做过溯源分析:

  • 重点被删内容包括:追踪疫情起源的调查报道、描述武汉医疗系统崩溃的现场报道、批评地方政府瞒报的评论;
  • 另一个集中删帖对象,就是与李文亮之死相关的愤怒与哀悼,以及呼吁“言论自由”的话题。

以科技公司与宣传部门高度协同的中国审查体系而言,这样的“精准清除”并不难实现:

  • 通过关键词过滤、话题屏蔽、账号限流或销号,把“错误叙事”迅速压到舆论不可见的地带;
  • 同时在各大门户与社交平台置顶统一口径的“主旋律”内容,把有限的表达空间填满。

结果是:

  • 李文亮的名字可以存在,但只能以“忠诚党员”“模范医生”的包装形象存在;
  • 张展等人的名字则尽可能从公众视野中完全消失,只留在境外报道与人权组织的年报里。

在这样的信息结构下,“真相”不一定完全消失,但被封装在一小撮付出极大风险的记录者手中,无法进入多数人的日常视野,更谈不上影响决策。


钟南山:从敢言的SARS医生,到防疫神话的官方代言人

如果说李文亮代表的是被压制的医生良知,那么钟南山则代表的是被吸纳进权力叙事的专家权威。两者之间的对比,恰恰勾勒出中共在疫情叙事中对“医生”这一角色的两种截然不同使用方式。

4.1 SARS 时代的钟南山:以“诚实”树立的声望

在2003年SARS疫情中,钟南山因多次质疑官方对疫情的低估与隐瞒而被视为“敢说真话的人”。媒体回顾指出:

  • 在官方宣称“北京疫情得到控制”时,他当众反驳:“既然病毒还在扩散,怎么能说得到控制?”;
  • 后来他在总结SARS教训的文章中强调,诚实与真实信息比“稳住局面”更重要,掩盖事实反而会加剧恐慌与失控

正是这段经历,使钟南山在中国公众心目中获得一种特殊的道德光环:

“既有权威学识,又敢对上级讲真话的医生”。

这种形象在疫情初期被再次唤起,并被官方媒体反复利用。

4.2 新冠疫情初期:从“人传人”判断,到“可防可控”的乐观

2020年1月20日,钟南山在央视《新闻1+1》中首次公开明确表示:新冠病毒存在人传人现象,且已有医务人员被感染。

这一表态在当时有重要意义:它推翻了此前地方卫健委“未见明确人传人”的说法,为1月23日武汉封城提供了舆论铺垫。

但与此同时,他在不同场合也传递了几条后来备受争议的信息:

  • 在部分采访中,他强调:疫情“仍在早期阶段,只要采取措施就能控制”,不会重演2003年的SARS灾难。
  • 他曾表示,新冠病毒“传染性不如SARS,毒性也没那么强”,在无形中弱化了疫情的潜在严重性。

这些说法一度被官媒大规模转引,用来支撑“局面总体可控”的官方基调。随着疫情在湖北乃至全国、全球的扩散,早期的这些乐观判断后来被证明过于轻率,但相关采访视频与通稿并未得到同样规模的更正。

4.3 为“完全透明”作证:与现实的尖锐反差

更值得关注的是,2020年4月,钟南山在接受深圳电视台采访时公开表示:“这次中央政府在应对新冠疫情上是完全透明的”,并特意对比2003年SARS时期“有些部门隐瞒信息”的情况,以突出此次的“进步”。

然而,多家独立调查与时间线梳理显示:

  • 早在2019年12月底,武汉已有多起不明肺炎病例,相关样本被检测为新型冠状病毒;
  • 2020年1月3日,中国国家卫健委下发通知,要求相关机构不得私自发布检测结果,部分实验室甚至收到“销毁样本或上交”的指令;
  • 李文亮等医生因在微信群内部提醒同事注意“非典样病例”被警方训诫;
  • 武汉封城前夕,地方与中央媒体普遍淡化风险,强调“可防可控”“不会人传人”的判断。

在这样的事实背景下,钟南山“完全透明”的评价,与大量公开证据形成明显冲突。问题并不只是个人判断失误,而在于:他以专家权威身份,为一种明显存在重大瞒报与信息滞后的官方叙事提供了背书。

4.4 为“动态清零”站台:科学判断与政治路线的合流

进入2022年,当奥密克戎变异株在全球流行,许多国家转向“与病毒共存”策略,而中国坚持“动态清零”,以大规模封控、频繁核酸检测为主要手段。

在这一阶段,钟南山多次公开发言支持“动态清零”,典型表述包括:

  • 完全开放不适用于中国,应坚持动态清零,再逐步放开”;
  • 认为奥密克戎虽然致死率较低,但传播力极强,如不坚持清零,仍将带来巨大死亡人数。

这些说法本身不必然错误,但在中国语境下,它们被迅速纳入政治口号体系:

  • 中共中央高层会议称“动态清零方针是科学的,能够经得起历史检验”,强调要“坚决同歪曲、怀疑、否定防疫方针的言论作斗争”;
  • 媒体与地方政府把“坚持动态清零”写进各类政治学习材料与宣传海报,将其上升为对党中央绝对忠诚的表现

在此语境下,钟南山以“科学家”的名义,对政治路线作出正当化解释,其社会效果远超普通专家观点,而是成为“清零”政策压倒一切、合理化严厉封控手段的重要一环。

与此同时,全国多地长时间封城、频繁静默管理所带来的心理创伤、经济重创与公共服务中断,则在宏大叙事中被轻描淡写地归结为“必要代价”。

4.5 利益冲突争议:当“特效药”遇上股权与论文

除了话语层面的站台,钟南山在医药利益关联方面也陷入争议。

例如,广泛被官方推广为“抗疫中药”的连花清瘟,在中央和地方政府推动下,以“防治新冠”的名义被大规模发放、出口。后来有媒体调查指出:

  • 钟南山曾参与一项关于连花清瘟治疗新冠的“随机对照试验”,而该研究被发现未在论文中披露其与生产企业之间的投资与合作关系
  • 2022年,《金融时报》等报道显示,钟南山及其团队成员持有生产连花清瘟等药物的企业股份,这与其多次公开推荐相关产品构成明显的利益冲突
  • 相关论文后来不得不发布更正,补充披露资金来源与企业背景。

在一个媒体自由受限、学术监督薄弱的环境中,这类争议往往难以在国内获得充分讨论。但从公共伦理上说,当一位全国顶级防疫权威,既参与药品临床研究、又为其公开背书、且同时有直接或间接的经济利益时,公众理应被充分告知。

钟南山从SARS到新冠的形象变化,并不只是个人“变节”或“老去”的简单故事,而是专家在威权体制中逐步被吸纳、绑定、利用的过程

  • 一方面,他早年的“敢言”经历被官方包装进新的英雄叙事,成为当前体制“已经吸取教训、更为开放”的象征;
  • 另一方面,当权力需要科学权威为其路线背书时,他的“话语权”又被高度动员,为“完全透明”“动态清零”“中药特效药”等政治与商业叙事提供了关键支点。

医生与媒体:在权力阴影下被迫作出的选择

5.1 谁的声音被放大,谁的声音被消音

把李文亮与钟南山放在同一张时间轴上,会看到一个极为清晰的对比:

  • 李文亮
  • 身处一线,却缺乏发声渠道;
  • 面向的是小范围同学微信群,却被警方视为“造谣”,遭训诫;
  • 去世后,其“要多种声音”的观点被删帖,名字被改造为“好党员”。
  • 钟南山
  • 拥有国家级话语平台,几乎所有主流媒体争相报道;
  • 面向全国观众,既能宣布“人传人”,也能为“完全透明”“动态清零”担保;
  • 任何质疑其利益冲突与判断失误的声音,在国内舆论场都难以大范围传播。

这并非两位医生个人性格差异所能解释,而是权力对不同类型声音的选择性放大与压制

  • 只要你的话语有利于“维护稳定”“证明体制优越”,就会被无限放大、被塑造成“国家英雄”;
  • 一旦你的话语触碰到官员失误、制度缺陷或权力责任,就会立刻被打上“谣言”“寻衅滋事”的标签,被从现实或虚拟空间中清除。

5.2 “讲真话的成本”与“配合宣传的回报”

在疫情叙事中,医生面临一个残酷的现实选择:

  • 坚持专业良知,讲真话:可能要付出职业风险、政治风险,甚至人身自由的代价——李文亮被训诫、张展被判刑,都是活生生的例子。
  • 适应政治环境,谨慎发言甚至主动站台:则有机会获得国家荣誉、社会声望、学术资源、项目资金,甚至商业利益。

在这样的激励结构下,真正敢于承担风险讲真话的人本就稀少,而制度又不断惩罚这少数人、奖励那些“识时务”的人。长此以往,整个专业共同体自然会向“沉默多数”或“配合宣传的少数精英”倾斜。


言论自由与公共卫生:武汉的教训远未结束

6.1 没有自由讨论,就没有有效防疫

新冠疫情从早期的武汉本地爆发,到最终席卷全球,已经被大量研究证明:信息披露的早晚、舆论环境的开放程度,与疫情防控成效高度相关

在武汉的案例中,我们看到的是:

  1. 早期信息被压制
  • 医生在内部微信群的专业提醒,被视为“造谣”;
  • 媒体被要求统一发布“未见明显人传人”的乐观口径。
  1. 中期舆论被严控
  • 真实反映医院崩溃与民众痛苦的报道被迅速删除;
  • 试图独立报道的公民记者被拘捕、失踪。
  1. 后期叙事被重写
  • 训诫李文亮的行为被轻描淡写为“处理不当的小失误”;
  • 中央政府被塑造成“完全透明”“及时果断”的典范,专家权威为此反复背书。

即时疫情在后来某个阶段被暂时压下,这种建立在恐惧与审查之上的防疫模式,仍然是脆弱而昂贵的:

  • 人们不敢按真实情况报告症状与接触史,担心被隔离、被追责;
  • 基层官员权衡“瞒报风险”和“现报就地问责”的压力,更倾向于短期掩盖;
  • 公众对官方通报缺乏信任,只能在谣言与碎片信息中自行判断风险。

没有言论自由的防疫,注定难以真正科学。

6.2 谁来记住李文亮?谁来审视钟南山?

在中共的叙事中,李文亮被收编为“党的好儿子”;在许多普通人的记忆中,他仍然是那个被训诫后无奈签字,却在采访中说出“一个健康的社会不该只有一种声音”的普通医生。

同样地,在官方媒体镜头里,钟南山是“共和国勋章”获得者、“民族英雄”;而在更广泛的信息空间里,人们也越来越看到他在新冠疫情中的复杂甚至矛盾角色——既曾在关键时刻说出“人传人”,也在另一些关键节点为“完全透明”“动态清零”“中药特效药”提供了权威背书。

“中国新冠肺炎疫情的真相”并不会只停留在一时一地的争论中。
更关键的是:

  • 未来当新的公共卫生危机出现时,中国乃至其他国家,会选择怎样的治理路径?
  • 是继续用“稳定压倒一切”的逻辑压制专业声音与公民监督,还是承认多元声音和透明信息本身就是防疫工具的一部分?
  • 医生、记者和普通公民,是否还能在不冒巨大风险的情况下,讲述他们看到的事实?

李文亮的故事,之所以在中国乃至全球引发共鸣,正是因为它超越了疫情本身——那是一个专业人士在强权面前、在恐惧之下,仍试图守住一点点良知与责任的故事

而钟南山的故事,则提醒我们:权威与荣耀并不能自动等同于真相与正义。在一个缺乏独立媒体与制度性制衡的环境中,再伟大的专家,也可能在不知不觉中成为权力叙事的一部分,甚至成为其最有力的代言人。


中共使用谎言统治社会、奴役人民。
中共使用谎言统治社会、奴役人民

真相不是天然形成的,它需要被争取

中国新冠肺炎疫情的真相,不是一份官方调查报告,也不是几位专家在电视上的乐观判断,而是无数被删掉的微博、被封禁的视频、被训诫的医生、被判刑的公民记者,以及那些至今说不清家人究竟死于何种原因的普通人。

当李文亮被训诫、张展被判刑、钟南山被封神时,我们真正看到的,是一个体制如何对待“真相”本身:

  • 对于不受控制的真相——压制、抹去;
  • 对于可以被利用的真相——包装、放大;
  • 对于难以承认的错误——改写、转移。

从公共卫生角度看,真正可靠的防疫能力,建立在透明信息、独立媒体与专业自主之上;从公民社会角度看,一个社会是否健康,很大程度上取决于它是否允许“第二种声音”存在

李文亮已经无法再发声,但他的遭遇与那一夜“我们要言论自由”的集体呼喊,仍然在提醒人们:

如果说疫情教给中国乃至世界的最大教训之一,那便是——当权力可以轻易压制真相时,病毒并不是人类面临的唯一危险。

这才是“中国新冠肺炎疫情的真相”中,最不该被遗忘的部分。

使用 PrivateBin 对抗取证与监视:从“零知识粘贴板”到自建隐私分享系统

PrivateBin 是零知识加密 pastebin:内容在浏览器端 AES-256-GCM 加密,服务器只存密文。本文讲清服务商能看到什么、如何正确使用与自建加固。

为什么是 PrivateBin:它解决的是“内容可见性”,不是“全能隐身”

在现实世界里,“取证”和“监视”往往不是电影式的黑客入侵,而是更朴素、更常见的路径:

  • 聊天软件/邮件/云文档里长期留存的明文
  • 企业网关、DLP、杀软、聊天“链接预览/安全扫描”带来的自动化抓取
  • 服务器访问日志、反向代理日志、CDN/WAF 日志里记录的IP、时间、UA等元数据;
  • 终端侧(你的电脑/手机)浏览器历史、剪贴板、截图、同步备份带来的本地痕迹

PrivateBin 的核心价值,是把“内容”变成端到端加密(浏览器端加密/解密):服务器只存密文,因此服务商天然更难“内容取证”。但它并不承诺让你在网络里隐身,也不承诺对抗恶意服务商投毒脚本这类“供应链式攻击”。官方也明确指出:用户仍需要信任服务端不要下发被篡改的脚本,必须使用 HTTPS,并且要理解访问日志仍可能暴露“谁在什么时候访问过”。

项目网址

  • PrivateBin 官方站点:https://privatebin.info/
  • GitHub 仓库:https://github.com/PrivateBin/PrivateBin
  • 官方演示实例(Try it out):https://privatebin.net/

下面我们用“隐私优先”的方式,把它讲透并教你落地。


PrivateBin 是什么:零知识(Zero-Knowledge)Pastebin 的工作方式

PrivateBin 是一个极简、开源、自托管的 pastebin 系统,官方描述它为“服务器对存储数据零知识(zero knowledge)”。其关键机制是:数据在浏览器中加密/解密,并使用 256bit AES-GCM

它的“零知识”靠什么实现?

你可以把一次 PrivateBin 分享理解为两段式:

1) 服务器端拿到的只是密文:你提交的 paste 内容在本地(浏览器)被加密后上传,服务器存储的只是加密后的结果。
2) 解密钥匙不交给服务器:PrivateBin 生成的“解密 key”放在链接的 # 之后(URL fragment 部分)。Fragment 不会随 HTTP 请求发送到服务器,它只在客户端侧被浏览器处理;PrivateBin 官方 FAQ 也明确说明:解密 key 位于 URL 的 hash 之后,不存储也不传输

换句话说:服务商即使拿到了数据库/文件系统里的所有 paste,也主要是拿到“上锁的盒子”;钥匙在你分享给对方的链接里(而且是链接 # 后面的部分)。

重要提醒:这也意味着“拿到完整链接的人=拿到钥匙的人”。官方强调:不设置密码时,任何拿到链接的人都能解密内容;需要“更私密”,就要再加一层“密码”。


加密与协议细节(技术向但很关键)

根据官方 Wiki(Encryption format)的说明,PrivateBin 在客户端侧大致做这些事:

  • 生成一段随机的 paste_key(示例写的是 32 字节随机数),并把它编码后放进 URL fragment(# 后面)。
  • 若你设置了“额外密码”,密码会参与派生最终加密用密钥(你可以把它理解成“链接里的随机 key + 你输入的密码”共同决定最终能否解密)。
  • 使用 PBKDF2(HMAC-SHA256)等方式进行密钥派生,并使用 AES-GCM 进行加密;同时可以启用压缩(例如 zlib)后再加密以减少体积。

你得到两道门:

  • 门 1:完整链接(含 # 后的 fragment key)
  • 门 2:你额外设置的密码(可选,但强烈建议在“对抗转发/日志泄漏”场景使用)

“一次性阅读(Burn after reading)”如何对抗链接扫描?

很多企业/邮箱/聊天系统会对外链做“安全扫描”和“内容预览”。如果你设置了“阅后即焚”,扫描器可能在你朋友打开之前就先访问一次,导致 paste 被销毁。

官方加密格式文档提到一种 URL 变体:在 fragment 里加入 #- 前缀,让打开链接时先需要用户确认才加载 paste,用来降低 URL 扫描器“自动执行 JS 并触发销毁”的概率(官方明确说这第二种 URL 主要是为 burn-after-reading 准备的)。

这点在“对抗监视/取证”的实操里非常有价值:你对抗的不是数学上的 AES,而是现实里的“自动化系统”。


提供商(服务商)能看到什么 / 看不到什么(最重要的一节)

一图看懂:服务商可见 vs 不可见

类别服务商能看到(或推断)服务商看不到(除非你泄露链接/终端被入侵)
内容本体密文(ciphertext)、未加密的盐值/部分元数据字段明文内容(paste 文本、附件内容、评论内容等在浏览器端加密)
解密钥匙——URL # 后的解密 key:官方说明它不存储也不传输,位于 hash 后
你设置的密码——密码不存储也不传输(官方 FAQ 明确写出)
元数据(粘贴属性)例如:创建时间戳、过期秒数、格式类型(纯文本/代码/Markdown)、是否开启讨论等(部分元数据不加密)——
访问层面日志访问 IP、访问时间、User-Agent、可能的 Referer(取决于你的环境与服务端配置)——(这些本来就发生在传输层/HTTP 层)
评论头像/图标若启用基于 IP 的头像/标识,可能带来 IP 被猜测/关联的隐私风险(可配置禁用)——

进一步拆解:哪些字段是“端到端加密”的?

官方 FAQ 给出了清单:以下内容在浏览器端端到端加密(上传前加密、下载后解密):

  • paste 文本
  • 文件与文件名
  • 讨论区评论
  • 讨论用用户名(昵称)

同时,FAQ 也明确指出:有些元数据不加密,比如时间戳、过期时间、格式、是否开启讨论、以及某些基于 IP 的用户图标等。

这就是为什么“PrivateBin 让服务商看不到内容”,但不能让服务商“看不到你和谁在什么时候互动过”。


使用 PrivateBin 的正确姿势

一个 PrivateBin 实例。
一个 PrivateBin 实例。

第 1 步:选实例——能自建就自建,不能自建就做最小信任选择

官方 FAQ 的建议非常直接:推荐自建;否则就找你信任的运营者。

如果你必须用别人的实例:

  • 确认地址栏是 https://
  • 可用 SSL Labs、securityheaders、MDN Observatory 等做基础检查(官方给了清单);
  • 也可以使用官方的实例目录(instance directory)辅助选择。

第 2 步:新建 paste 时,优先做这 4 个隐私决策

1) 设置过期时间:越短越好(减少“未来被翻旧账”的取证窗口)。
2) 需要时启用阅后即焚(burn after reading):一次访问就销毁,适合一次性口令。
3) 强烈建议设置“额外密码”:因为“完整链接就是钥匙”,而链接可能被转发、被截屏、被日志记录;加密密码是第二道门。
4) 慎用讨论功能:讨论会引入更多交互与元数据;如果一定要用,考虑隐藏评论时间显示(配置项允许不展示时间以增加隐私,但内部仍会记录用于排序)。

第 3 步:复制并保存“删除链接”(很多人忽略)

PrivateBin 在创建 paste 后通常会给你一个删除链接/删除 token(用于提前删除)。官方 FAQ 说明:没有删除 token 就只能等过期或等清理周期。

隐私建议:把删除链接保存到你的密码管理器/安全笔记中,避免“发错了却删不掉”。

第 4 步:分享链接要“分流”——链接和密码不要走同一条通道

因为:

  • 链接里包含 fragment key(“钥匙”),拿到链接的人理论上就能解密(没设密码时尤其如此)。
  • URL 缩短服务会记录访问日志,官方明确不推荐;并且配置文档也提醒:URL shortener 会泄露加密 key,建议只用自建短链。

一个实用的“反取证/反监视”习惯是:

  • 链接走 A 通道(例如邮件);
  • 密码走 B 通道(例如端到端加密聊天、电话口述、当面)。

第 5 步:接收方打开时,尽量避免留下本地痕迹(“端点取证”才是大头)

PrivateBin 解决的是“服务器看不见内容”,但本地仍可能留下:浏览器历史、缓存、剪贴板、截图、同步备份。

实操建议:

  • 用无痕窗口/临时浏览器 profile;
  • 不要让浏览器/输入法云同步剪贴板;
  • 在“高风险场景”用隔离环境(例如专用浏览器、临时虚拟机);
  • 别把完整链接(含 #)粘进会被记录的地方(工单系统、群公告、笔记软件)。

自建 PrivateBin(把信任面缩到最小)

如果你的目的是“对抗警察取证和监视”,自建几乎永远是加分项:你把“可被强制调取日志/可下发恶意脚本”的第三方,缩减成你自己(或你信任的组织)。

第 1 步:确认运行环境与最低要求

官方安装文档写明最低要求:

  • PHP 7.4+
  • zlib 扩展
  • 浏览器启用 JavaScript

(可选)如果你使用特定头像库可能需要 GD 扩展;jdenticon 不需要 GD。

第 2 步:下载与部署(官方 TL;DR 路线)

官方给的“TL;DR”是:下载最新 release archive,解压到 Web 目录。

我们建议你阅读安全小节与配置选项,别把默认配置当“万能安全”。

第 3 步:把敏感目录移出 Web 根目录(强烈建议)

安装文档提供了一个非常重要的加固思路:你可以在 index.php 中定义不同的 PATH,把 cfg/data/tpl/vendor/ 等目录移出 document root,只让 Web 可访问静态入口,从而降低被误配置暴露的风险。

这一步对“对抗取证”也有意义:即使 Web 服务层面出现路径穿越/静态目录暴露一类问题,你也尽量不把数据直接放在可被下载的位置。

第 4 步:配置文件与功能开关(把“隐私默认值”调到位)

官方配置文档说明:复制 cfg/conf.sample.phpcfg/conf.php 并修改。

建议的“隐私优先”取向(按需取舍):

  • password = true:允许用户为 paste 设置额外密码(建议启用)。
  • fileupload:默认 false;除非你确实需要传文件,否则建议保持关闭,缩小攻击面与误上传风险。
  • discussiondatedisplay:如果你开讨论,可考虑不显示评论时间(减少旁观者通过截图/转发做时间线分析),但注意内部仍会记录用于排序。
  • icon = “none”:评论头像可能与 IP 推断相关,配置页面明确说这是潜在漏洞点,并引用了安全审计(ZeroBin audit 的相关问题);对“隐私极致”场景建议禁用。
  • cspheader:保持严格 CSP,减少第三方资源加载与被动追踪面;FAQ 也解释了默认 CSP 会阻止第三方图片,以防用“追踪像素”跟踪访问者。
  • urlshortener:除非你自建短链,否则不要启用;配置文档明确说这会泄露 paste 的加密 key。

第 5 步:必须上 HTTPS(否则“对抗监视”从根上失败)

安装文档写得很直白:没有 HTTPS PrivateBin 不安全,因为 JS/WebAssembly 文件可能在传输中被篡改。

此外,官方首页也强调:用户需要信任服务端不会注入恶意代码;并建议使用 HTTPS、HSTS 等。

这背后的逻辑是:PrivateBin 的加密发生在浏览器端,如果你拿到的是被动过手脚的脚本,“端到端加密”可能会被绕开(例如脚本在解密后把明文偷偷发走)。这也是官方反复提示的边界。

第 6 步:阻止搜索引擎与机器人“捡到钥匙”

安装文档提到:根目录提供 robots.txt,请求搜索引擎不要索引/爬取,从而避免 paste key 泄露;如果你把 PrivateBin 装在子目录,建议把 robots.txt 放到站点根并调整路径。

文档还提到 .htaccess.disabled:可用于阻挡一些已知机器人/链接扫描 bot(Apache 下可改名启用;其他 Web 服务器需手动配置)。


真正“对抗取证与监视”的关键:你要防的是这些“现实攻击面”

1) 访问日志依然能出卖你:IP/时间/频率

官方首页提醒:管理员可能被迫交出访问日志;PrivateBin 加密了内容,但“谁访问过(尤其首次访问)”仍可能通过日志暴露。

因此,如果你对“监视”敏感:

  • 选择你信任的运营者或自建;
  • 尽量减少日志留存(反向代理/应用/系统日志策略);
  • 高风险场景使用 Tor/VPN 等降低 IP 关联(这属于通用网络匿名性范畴,PrivateBin 本身不替你解决)。

2) URL 本身就是“证据”:浏览器历史、聊天记录、工单系统都可能保存它

因为解密 key 在 URL # 后面,完整 URL 一旦被记录,就等于钥匙被记录。FAQ 明确说“key 是 URL 的一部分”;并强调不要在公开场合发布链接。

落地建议:

  • 避免把链接粘贴到会被长期保存/可审计的系统;
  • 不要用第三方短链;官方明确警告短链服务可能从访问日志取到你的完整 URL(含 key)。

3) 讨论区的“头像/标识”可能引入 IP 推断/关联风险

配置文档明确说明:PrivateBin 的评论头像基于评论者 IP 生成,这是潜在隐私问题;为最大安全可禁用。
被引用的安全审计中也提到:基于 IP 派生的 vizhash 头像存在“在线猜测”风险(尽管评估为较低影响,但在高敏感场景仍应减少不必要的可关联信号)。


常见误区:PrivateBin 不能替你解决的 5 件事

1) 它不能防“恶意服务商/被入侵服务商”下发恶意脚本:官方明确承认 JavaScript 加密的概念性问题:你仍需信任服务端不投毒脚本;要更强就自建并用 HTTPS,或使用第三方客户端。
2) 它不能抹除访问日志元数据:IP/时间等依旧可能存在。
3) 它不能保护你的终端:浏览器扩展、木马、系统级取证、剪贴板记录、截图等都能绕过“服务器零知识”。(这是端到端加密工具普遍边界)
4) “不设密码”并不私密:拿到链接的人就能解密,官方在 FAQ 里写得很直白。
5) HTTP(无 TLS)= 直接破功:官方安装文档强调没有 HTTPS 不安全,因为脚本可能被篡改。


实操:一次“隐私优先”的 PrivateBin 分享(10 步流程)

PrivateBin 操作演示图
PrivateBin 操作演示

1) 尽量使用自建实例;做不到则选可信运营者并确认 https://
2) 打开新建 paste 页面。
3) 粘贴敏感内容(例如一次性口令、服务器日志片段、配置片段)。
4) 设置较短过期时间(例如 10 分钟/1 小时),避免长期暴露。
5) 勾选 burn after reading(如果是一次性秘密)。
6) 设置一段足够强的“额外密码”。
7) 创建 paste,复制“访问链接”和“删除链接/token”。
8) 链接发给对方,但密码走另一个通道(端到端加密聊天/电话/当面)。
9) 如果你担心“链接扫描器提前访问”,考虑使用官方文档提到的“需要确认才加载”的 URL 变体思路(尤其搭配阅后即焚)。
10) 对方读完后,你用删除链接手动删除(或等待阅后即焚/过期自动清理)。


附录:隐私加固清单

使用者清单(你在用别人实例时)

  • 只用 HTTPS(不然别发敏感内容)
  • 永远设置过期时间(越短越好)
  • 高敏感内容:开启阅后即焚 + 额外密码
  • 不用第三方短链(会泄露 key)
  • 不在公共平台贴完整链接(完整链接≈钥匙)

站长清单(你在自建时)

  • PHP 7.4+、zlib 扩展到位
  • 配置 HTTPS(并考虑 HSTS/安全头)
  • cfg/data/ 等移出 Web 根目录(PATH 技巧)
  • 设好文件权限:避免其他系统用户读取 conf 与 data
  • 严格 CSP,默认阻止第三方图片追踪
  • 视需求禁用 IP 派生头像/标识(icon=none)
  • robots.txt 与机器人拦截策略,避免搜索引擎/扫描器“捡到钥匙”