簡介
用於同步登入狀態的核心基礎設施。本專案最初基於 CookieCloud 改造而來，於 2026 年 9 月 29 日脫離上游作為獨立專案維護。前端簡化了介面，後端強化了安全性，並以 Hono + Bun 帶來約 40% 的效能提升
程式碼遵循 AGPL-3.0 授權條款（此前發布的版本仍遵循 GPL-3.0），完全開源：
請注意，如果您是主播，想用這個擴充功能解決嗶哩嗶哩直播的使用者名稱打碼問題，請先仔細閱讀下方的 安全與隱私 說明，再決定是否使用
瀏覽器擴充功能安裝方法
1. 登入嗶哩嗶哩
確認要安裝擴充功能的瀏覽器中已登入嗶哩嗶哩
2. 安裝瀏覽器擴充功能
依您使用的瀏覽器，選擇下方對應的擴充功能安裝
瀏覽器與系統需求：
- Chrome 148 或更高版本（Windows 10+、macOS 12+）
- Microsoft Edge 148 或更高版本（Windows 10+、macOS 12+）
- Firefox 140 或更高版本（Windows 10+、macOS 10.15+）
括號內標註了對應瀏覽器支援的最低作業系統版本。其他基於 Chromium 的瀏覽器需 Chromium 148 或更高版本核心。暫不支援 Safari 以及 Android 版 Firefox。
3. 開啟同步
安裝好後，在瀏覽器的擴充功能列開啟 LAPLACE Login Sync，點擊「複製金鑰」，然後點擊「儲存並同步」
4. 設定彈幕機
開啟 彈幕機設定器，切換到「進階」標籤頁，將金鑰貼到上方的「同步金鑰」中
5. 檢查是否運作正常
開啟控制台或加入 OBS 元件，查看彈幕事件是否正常顯示
影片教學
如果您比起文字更習慣看影片，可以參考下方的影片教學
安全與隱私
最後更新：Sep 29, 2026
請注意，如果您對本專案沒有一定的技術理解，那麼安裝 LAPLACE Login Sync 並同步登入狀態可能會變成一個高風險行為！請確保完整閱讀下列常見問題後再決定是否安裝！
LAPLACE Login Sync 是什麼？
LAPLACE Login Sync 是一個瀏覽器擴充功能，用於在瀏覽器中同步嗶哩嗶哩的登入狀態
它的原理是什麼？
當你登入嗶哩嗶哩後，瀏覽器會保存一些「通行證」（技術上叫 cookie），這些通行證就像飯店的房卡——有了它，網站就知道「這是已經登入的使用者」，不用再每次向櫃檯進行身分驗證
- 你安裝在瀏覽器中的擴充功能（LAPLACE Login Sync）會定時收集這些通行證資訊
- 收集到通行證資訊後，擴充功能會用你的專屬密碼把它鎖起來（加密），只有知道這個金鑰的人才能開啟
- 伺服器只是個「保險箱寄放處」，它看不懂裡面裝的是什麼，因為鑰匙只有你自己有
- 但是，當 LAPLACE Chat 需要使用通行證時，LAPLACE Chat 會用你的金鑰開啟保險箱，取得通行證資訊
- 拿到通行證資訊後，會在伺服器端存取已授權的嗶哩嗶哩 API，取得登入後的直播彈幕推流
我為什麼需要這個擴充功能？
由於嗶哩嗶哩本身的限制，我 不得不 取得您的通行證（cookie）資訊，才能拿到未打碼的彈幕資訊
那麼它是否安全？
本專案最初基於 CookieCloud 開發，現已獨立維護並升級至 Protocol v2 加密協定，安全性相較原始 CookieCloud 有顯著增強：
- 強密碼拉伸：採用 PBKDF2-HMAC-SHA256（100,000 次反覆運算）與綁定 UUID 的專屬 Salt 衍生主金鑰，徹底解決了舊版 CookieCloud 僅擷取 MD5 前 16 位導致有效熵不足 64 位的安全弱點
- 帶認證的加密（AEAD）：透過 HKDF-SHA256 衍生子金鑰，採用 AES-256-GCM 演算法進行認證加密，附加驗證資料（AAD）中綁定 UUID，防止密文被竄改或跨使用者重放
- 金鑰承諾（Key Commitment）：解密前驗證承諾值，防止攻擊者構造單份密文在多個密碼猜測下成功解密（阻斷針對伺服器端的密碼猜測 Oracle 攻擊）
- 長度填補（Padding）：明文按 1024 位元組分塊填補，避免密文尺寸變化洩漏單個 Cookie 的增減
- 現代原生標準：移除第三方 crypto-js 相依套件，全平台基於 Web Crypto 原生 API 實作；同時保留對舊版 v1 格式的唯讀相容
本專案的伺服器端支援私有認證模式（Private Mode），並限制了請求本體解壓縮與提交大小，杜絕 Zip 炸彈與 DoS 風險。即使你的同步登入金鑰完全外洩，他人也僅能透過本站的伺服器取得您的直播彈幕事件，無法存取其他任何嗶哩嗶哩 API 1
是否還有其他風險？
將通行證（cookie）交由第三方（本站）保存，本身就是一個高風險行為，通常來說，我並不推薦您這麼做，但是由於嗶哩嗶哩的風控原因，您如果想取得完整的彈幕資訊，交出通行證（cookie）是目前唯一的方案
事情沒有那麼簡單，我是程式設計師，我懂技術，你雖然加密保存了我的 cookie，但是你依然可以解密我的資料！
確實如此，交出 cookie 的安全問題通常需要從兩方面考慮，一方面是外部因素，保存 cookie 本身的伺服器是否足夠安全，能否抵禦外部攻擊；一方面是內部因素，替您提供 cookie 保存服務的一方本身是否可靠
- 外部因素：本功能自 2023 年 12 月上線至今，沒有發生過一起資訊外洩事件
- 內部因素：這完全憑您個人經驗評估本站的信用
作為外部因素，如果資訊被外洩了，會出現什麼情況？如何補救？
- 如果本站的同步登入金鑰外洩了，攻擊者/拿到外洩資訊的他人可利用您的登入狀態存取嗶哩嗶哩直播的即時彈幕資訊，該彈幕資訊為唯讀資訊，也就是你在彈幕機中看到的樣子 1
- 如果本站的 cookie 發生外洩，那麼攻擊者可以存取到在本站加密的 cookie 資訊，但是無法解密，因此也無法得到 cookie 中的實際內容
- 在極端情況下，如果本站的 cookie 和同步登入資訊同時外洩，並且攻擊者可以將 cookie 與同步登入資訊對應起來，那麼攻擊者可以存取你完整的嗶哩嗶哩帳號
以上三個情況出現的難度依次遞增，通常來說，極難出現上述情況
因此，請勿將同步金鑰分享給陌生人，如意外外洩，請按照下列步驟操作：
- 在瀏覽器中，立即登出用於同步登入的嗶哩嗶哩帳號
- 開啟 LAPLACE Login Sync 擴充功能，點擊「儲存並同步」——將未同步的登入狀態同步至伺服器，此時您在本站的同步狀態會立即失效
- 點擊「重置」，然後再次點擊「儲存並同步」——此時會棄用之前的同步金鑰，並產生新的同步金鑰
- 重新登入嗶哩嗶哩
- 再次開啟 LAPLACE Login Sync 擴充功能，點擊「儲存並同步」
- 使用新的同步金鑰替換之前的同步金鑰
作為內部因素，如果你作惡，會出現什麼情況？如何補救？
我可以直接註銷你的嗶哩嗶哩帳號，沒辦法補救 :D
我不信任你，但我還是想使用你的彈幕機，有什麼其他辦法？
你可以用一個嗶哩嗶哩小號進行同步登入，只要該帳號的狀態正常（正常註冊，不需要實名，沒有被停權或功能限制），都可以使用本彈幕機。在極端情況下，即使本站被完全攻破、資料被完全外洩，或者你認為本站會盜取你的帳號，你也只會損失一個小號
唯一的限制：由於嗶哩嗶哩自身的限制，如果您想在控制台中查看禁言資訊，只有主播本人和房管的登入資訊可取得禁言事件。當然你也可以把這個小號設為房管
我是紅客、資安人員，我發現了本站的安全漏洞，如何領獎？
請造訪 Bounty Hunter 了解更多
伺服器效能測試
新版伺服器帶來約 40% 的效能提升，測試環境為 Apple M2 Max
| (index) | Task Name | ops/sec | Average Time (ns) | Margin | Samples |
|---|---|---|---|---|---|
| 0 | bun-hono | 5,206 | 192054.40348383566 | ±1.12% | 52069 |
| 1 | bun-express | 4,180 | 239192.77248372967 | ±0.83% | 41808 |
| 2 | node-express | 3,612 | 276843.9688278622 | ±0.84% | 36122 |
加密效能測試
測試環境為 Apple M4 Max，搭配 bun 1.2.12 與 node 22.14.0
| Task name | Latency avg (ns) | Latency med (ns) | Throughput avg (ops/s) | Throughput med (ops/s) | Samples | |
|---|---|---|---|---|---|---|
| 0 | bun-md5 | 792.34 ± 0.29% | 709.00 ± 41.00 | 1364597 ± 0.02% | 1410437 ± 77104 | 1262080 |
| 1 | bun-sha1 | 504.96 ± 0.35% | 458.00 ± 41.00 | 2238279 ± 0.02% | 2183406 ± 214675 | 1980338 |
| 2 | bun-sha256 | 545.81 ± 0.59% | 459.00 ± 1.00 | 2079642 ± 0.02% | 2178649 ± 4757 | 1832233 |
| 3 | cryptojs-md5 | 6459.3 ± 0.26% | 6083.0 ± 208.00 | 160191 ± 0.06% | 164393 ± 5435 | 154816 |
| 4 | cryptojs-sha1 | 5042.3 ± 0.24% | 4750.0 ± 166.00 | 204651 ± 0.05% | 210526 ± 7150 | 198323 |
| 5 | cryptojs-sha256 | 4511.0 ± 0.28% | 4209.0 ± 166.00 | 230339 ± 0.05% | 237586 ± 9015 | 221681 |
| 6 | cryptojs-encrypt-aes | 12853 ± 0.33% | 12083 ± 458.00 | 80201 ± 0.08% | 82761 ± 3029 | 77803 |
| 7 | cryptojs-decrypt-aes | 11860 ± 0.28% | 11208 ± 375.00 | 86668 ± 0.08% | 89222 ± 2896 | 84319 |
| 8 | crypto-sha1 | 10681 ± 1.00% | 9125.0 ± 875.00 | 103418 ± 0.13% | 109589 ± 11009 | 93629 |
| 9 | crypto-sha256 | 10467 ± 0.63% | 9208.0 ± 626.00 | 102776 ± 0.11% | 108601 ± 7908 | 95535 |
| 10 | crypto-encrypt-aes | 2701.9 ± 3.69% | 2042.0 ± 126.00 | 454319 ± 0.07% | 489716 ± 32205 | 370104 |
| 11 | crypto-decrypt-aes | 2380.6 ± 4.99% | 1708.0 ± 125.00 | 542888 ± 0.07% | 585480 ± 45833 | 420069 |
| 12 | bun-md5-hmac | 1052.1 ± 0.22% | 1000.0 ± 41.00 | 998763 ± 0.02% | 1000000 ± 42753 | 950460 |
| 13 | bun-sha1-hmac | 590.91 ± 0.61% | 542.00 ± 1.00 | 1785374 ± 0.02% | 1845018 ± 3410 | 1692314 |
| 14 | bun-sha256-hmac | 609.30 ± 0.19% | 583.00 ± 41.00 | 1709654 ± 0.02% | 1715266 ± 115266 | 1641215 |
| 15 | crypto-md5-hmac | 1128.3 ± 2.97% | 1000.0 ± 41.00 | 953015 ± 0.03% | 1000000 ± 40307 | 886255 |
| 16 | crypto-sha1-hmac | 732.45 ± 5.93% | 625.00 ± 42.00 | 1556967 ± 0.03% | 1600000 ± 115266 | 1365274 |
| 17 | crypto-sha256-hmac | 716.45 ± 4.83% | 584.00 ± 41.00 | 1576307 ± 0.03% | 1712329 ± 112329 | 1395786 |
Footnotes
最後更新於 2026年10月28日