煙囪堵了，網站卻"正在加載"

你打開一篇文章，看到的不是內容，而是一個旋轉的圓圈。或者更離譜——一堵墻，上面寫著"Just a moment..."。這不是你的網壞了，是網站自己把自己鎖門外了。

這次的主角叫"Chimney Blockage"，字面意思是"煙囪堵塞"。但別被名字騙了，它跟壁爐沒關系。這是一篇被Cloudflare防護系統卡住的文章，卡在了一個連人類讀者都進不去的房間里。

一張圖看懂：當安全防護變成安全障礙

讓我們看看這堵墻長什么樣。頁面源代碼里藏著完整的行為邏輯：

【第一層：視覺欺騙】

頁面顯示"Just a moment..."，暗示稍等即可。但meta標簽里藏著content="360"——意思是360秒后自動刷新。不是"稍等"，是"等6分鐘再試"。

這個設計妙啊。用模糊的友好感，掩蓋具體的懲罰時長。用戶不會立刻憤怒，只會困惑地刷新，然后被系統判定為"可疑行為"，進一步加強驗證。

【第二層：技術鎖死】

頁面要求啟用JavaScript和cookies。這本身合理。但代碼里藏著更狠的：

default-src 'none'——默認拒絕所有資源加載

script-src 'nonce-...' 'unsafe-eval'——只允許特定內聯腳本，且允許動態代碼執行

翻譯成人話：你的瀏覽器被捆住了手腳，只能執行Cloudflare指定的代碼，其他一律禁止。這不是"請證明你是人類"，這是"按我的規則玩游戲，否則滾"。

【第三層：身份迷霧】

代碼里有一串神秘參數：cH: '.LP3D9Hs6sqfz01GC7GEZl...'。這是加密的挑戰令牌，每次訪問都不同。系統不給訪客任何可復用的身份憑證，每次都要重新證明自己。

好處是攻擊者難以偽裝。壞處是？普通用戶也被扔進同一個黑箱。RSS閱讀器、自動化工具、甚至某些隱私瀏覽器，全部陣亡。

誰被堵在煙囪外面

注意URL里的線索：source=rss------mindfulness-5。這是一個RSS訂閱源，分類是"正念/冥想"。

想象這個場景：某人設置了RSS自動抓取，想在早晨通勤時讀一篇關于減壓的文章。結果推送過來的是一堵墻。 mindfulness（正念）的內容，被unmindful（無正念）的技術體驗徹底摧毀。

諷刺閉環完成。

更隱蔽的受害者是存檔服務、學術爬蟲、殘障用戶的輔助閱讀工具。它們不會抱怨，只會默默記錄"抓取失敗"。數據就這樣從公共記錄里消失了。

Cloudflare的商業模式：恐懼溢價

這不是技術故障，是產品設計。Cloudflare的"托管挑戰"（managed challenge）故意制造摩擦，用不便換取安全。

邏輯鏈條很清晰：

1. 網站主害怕DDoS攻擊、爬蟲、惡意流量

2. Cloudflare提供"一鍵防護"，承諾擋住99%的威脅

3. 代價是部分真實用戶被誤傷

4. 網站主接受這個交易，因為"被攻擊的損失"看得見，"用戶流失"算不清賬

這是一種恐懼驅動的商業模式。Cloudflare 2023年財報顯示，付費客戶數持續增長。不是因為它讓互聯網更開放，而是因為它讓網站主感覺更安全——哪怕這種感覺建立在犧牲可訪問性之上。

煙囪里的新鮮空氣：替代方案存在嗎

技術上完全可以做得更好。挑戰系統可以：

- 對RSS閱讀器返回簡化版內容，而非完全封鎖

- 區分"自動化但善意"（如學術爬蟲）和"自動化且惡意"的流量

- 提供無JavaScript的降級體驗

但這些需要額外開發成本，且會降低"攻擊成本"——讓惡意行為者也有機可乘。Cloudflare選擇了簡單方案：一刀切，誤傷由用戶承擔。

網站主也有責任。Medium（從URL判斷是托管平臺）默認啟用最高級別防護，把決策外包給平臺。內容創作者可能根本不知道，自己的讀者被擋在門外。

一個未被回答的問題

原文標題"Chimney Blockage"本身是個謎。它想討論什么？真正的煙囪安全？還是某種隱喻？

我們永遠不知道了。因為防護系統太成功，連標題的含義都成了秘密。

這或許是最大的諷刺：一篇關于"堵塞"的文章，被自己描述的堵塞機制徹底封死。不是被黑客，不是被審查，是被"保護"。

下次你看到"Just a moment..."，可以笑一下。你正在見證一個價值數十億美元的安全產業，把互聯網變成一連串需要破解的密室。而鑰匙，有時候連房主都沒有。