Loon-0x00
审计完了，79 个远程脚本已按 pin 的提交全量拉下来逐个扫过。先给结论：**没发现任何脚本把你的请求头、正文或 Cookie 外发到第三方**。但有四个真实的风险点你应该知道： 1. bsbsb.top — 设计性的外发（B 站空降助手） Sparkle 的脚本会拿你正在看的视频 ID 去 bsbsb.top 查跳过片段：不带 cookie、不带请求头，但"在看哪个视频"这个信息本身会发给这个第三方社区服务器。插件里还有一条规则专门让它走代理。不用空降功能的话，在插件参数里关掉 sponsorBlock 就没这条外发了。 2. 两份混淆脚本 — 合集自带的，我之前没逐个筛 财新（fmz200_caixinAd.js）和夸克（fmz200_quark.js）是 jsjiami 全混淆的，不可审计——和我们 v2.3 立的规矩冲突，它们是 v2.1 基线里带进来的。其余脚本要么可读、要么是