2026-08-16

大家好，第一次来推广节点发帖。

前段时间我和朋友一起弄了个 AI API 中转小站，叫 TokenMarket：

地址： https://tokenmarket.cheap

不是什么大公司，也没有专业运营团队，就是我们几个人自己维护。做这个站的想法也很简单：尽量把价格压低一点，同时把常用模型和线路多接一些，方便大家在 Codex 、Claude Code 、Cherry Studio 之类的工具里直接使用。

目前站里有 GPT / Codex 、Claude 、Gemini 、Grok 、DeepSeek 、Qwen 、Kimi 、GLM 等模型，支持 OpenAI 、Anthropic 和 Gemini 常用接口格式。

简单说一下大家比较关心的倍率：

GPT / Codex 常用线路大约是 0.08 ～ 0.25 倍； Claude 常用线路大约是 0.18 ～ 0.30 倍； Gemini 大约是 0.7 ～ 1.1 倍； Grok 大约是 0.20 ～ 0.22 倍。

站里还有一些更便宜的体验线路，也有价格高一些、稳定性更好的线路。不同模型和上游价格会调整，具体还是以价格页面实时显示为准。懒得研究线路的话，创建密钥时选 auto 就行，会自动挑当前延迟和可用性相对合适的线路。

这里也把话说明白：额度和倍率不掺水。页面显示什么倍率就按什么倍率算，输入、输出、缓存和每次扣费都可以在调用日志里查，不会先把赠送额度写得特别大，再偷偷套一层看不见的倍率。

普通用户注册本来送 10 元免费额度。这次给 V2EX 的朋友补到 20 元 ，大家可以先用用看。

注册后在帖子下面留下用户 ID 或用户名就行，不要留邮箱、密码和 API Key 。我看到后会补上额度。也可以直接在首页加客服微信，备注“V2EX + 用户名”。

另外站里有邀请功能。朋友通过你的邀请链接注册并充值后，你可以长期拿到他后续实际消费的 10% 返利，不会从朋友的额度里扣。

小站目前还在慢慢调整，号池的资源以及上游线路（这个是实话，国模以及 Claude 的 kiro 都是对接的企供上游）偶尔有波动，这个不敢拍胸口说永远不出问题。碰到响应慢、模型调用失败或者扣费有疑问，都可以直接找我，我们会尽量处理，也欢迎大家提意见。

先在此感谢各位愿意试用。

他之前是干列车员的，他对象是瑜伽老师，然后直播卖衣服，在郑州买了房，他俩付了 160w ，他爸付了 60w

视频通话听我妈说的

这直播卖衣服真赚钱啊

昨天发帖分享了一个刚做的小网站，叫 锐评。

网站可以给不同社区打分，档位是：

夯 / 顶级 / 人上人 / NPC / 拉完了

我怕兄弟们连快捷登录都懒得点，跟别提注册登录了，就把游客权限也打开了：不登录可以评分，也可以评论。让大家先进来玩玩，真有人乱搞的话，我再去后台关掉游客权限。

当时觉得这个方案挺宽松灵活的，现在看，确实宽松，主要是方便攻击脚本发挥。

我的帖子没爆，服务器先爆了

当天晚上我先后在几个社区发了帖子：

• 20:50：2Libra
• 21:01：V2EX
• 后来又发到了 Linux Bi

本来以为能来几十个人，帮忙测测功能、提点意见。没想到互联网上有坏人，没过多久，网站就打不开了。我打开 Vercel 后台一看，请求量已经飞起来了。

两个相邻 IP 正在疯狂请求网站里的条目：

103.197.30.225
103.197.30.226

主要目标是 /t/rping-cc。一共制造了大约 20 万次 Firewall Actions ，还顺手给“锐评”刷了接近 3,000 次“拉完了”。

我做这个网站，本来是想让大家锐评互联网社区。上线第一天，网站自己先登上了「拉榜」榜首。

拔电源吧

我一开始没当回事儿，毕竟早就想过：有人乱搞的话，去管理后台关掉游客权限就行。

没想到的是，攻击来的时候，我自己也进不去后台了。页面打不开，无奈只能直接改数据库，把游客评分和评论权限先关掉。权限改完，异常评分是不再增加了，但那两个 IP 还在继续请求，给服务器上强度。

刚开始我其实没怎么生气，觉得网站刚上线就被打，也算是给自己上了一课，当个乐子看就好。我屏蔽了 IP 、加了防护规则，也在帖子里明确说了这件事。

结果那个人并不打算到此为止。IP 被 ban 以后，它又换了 IP 继续捣乱，还注册了一个用户名叫 xjp 的账号，开始刷乱码评论。评分刷不动了，就改刷评论区。一共发了 128 条锐评，评论区被它刷得像乱码瀑布一样。

这就不是乐子了，这人确实是坏种，这么干对你有什么好处呢？

只能先拔电源，把服务关了。

日志里的时间线

后来我导出了攻击前后近两个小时的完整日志。这个客户端第一次出现是在：

21:12:53  GET  /t/v2ex       200

紧接着：

21:13:09  GET  /t/rping-cc   200
21:13:16  POST /t/rping-cc   200

它进入网站 23 秒后，就开始尝试刷票。刚开始还挺克制，隔几秒请求一次，像是在试接口。十分钟后，大概确认接口确实没什么防护，于是正式开工：

21:24  开始高频请求
21:25  单分钟接近 2,000 次
21:35  第一轮高峰
22:02  第二轮高峰
22:05  基本结束

Vercel 的 DDoS Challenge 大约拦下了 16.4 万次请求，但仍有 5 万多次攻击被放行。

所以是 V 站用户干的吗？

刚开始我怀疑是 linux bi 用户干的，毕竟我天天逛 v 站，默认把战里兄弟都当成高素质人群了，但是从日志上看，我开始怀疑是 v 站用户攻击的。

V2EX 帖子发于 21:01 ，帖子里放的是专属链接 /t/v2ex；可疑客户端在 21:12:53 第一次出现，第一条请求刚好也是 /t/v2ex，23 秒后就开始测试刷票。时间和路径确实挺吻合。

当然，我可定无法证明是某位 V2EX 用户，链接可能被转发，也可能通过别的方式传播，更没有证据指向某个具体账号，大家看个乐子得了。

连夜补窟窿

关站以后，我紧急补了几条安全规则。

屏蔽攻击 IP ，开启 Attack Mode ，增加全站请求限流，给统计接口和详情页写操作单独限流，关闭游客评分和评论，清理异常数据，再检查一遍服务端校验和数据库约束。

以前担心登录会劝退用户。现在觉得，劝退几个嫌麻烦的用户，总比把我劝退强。

我之前为了让注册登录方便一点，还把 confirm email 关掉了。现在看来，这个开关还是得打开。要求用户确认邮箱，至少能给批量注册增加一点成本，不能再让脚本注册完账号就直接开刷。

总结：Vibe Coding 路边一条

这个网站 MVP 版本全靠 Vibe Coding 快速做出来的。

上线几十分钟就被打爆了，我也低估了互联网上有些人的恶意，难怪很多论坛、社区都设置各种注册条件、发言条件。这都是被你们这帮坏种逼的。

这次算是被互联网坏人上了一课，也提醒自己，敬畏技术，生产级的产品不是 AI 几下就能做出来的。

目前已经重新上线。下次争取活久一点。

有哪家 ai 的 ocr 强大的吗？或者是哪个插件和库强大的？我想把扫描文件和复印文件，使用 ocr 把文件的内容提取出来，主流的 ai 我都试了下，我发现老是不理想。有更好的办法吗？提高精准度提取的方案。

有条件时眯一会，没条件时有什么好的方法硬撑吗？ 喝茶，喝咖啡，呼吸新鲜空气都试过，偶尔还行，长时间不太管用。

各位用 Pi 的大佬都转 DSH 了吗？最近节奏有点快，我又在忙别的事情，有点跟不上。据说 DSH 是比 Pi 更定制化的框架，但说实话，我现在用 Pi 也挺顺手，不太想转来转去。大家用 Pi 的都转了吗？

Codex 不太够用了， 想用 deepseek 作为补充

最佳实践是怎么样的？ 求助🙏

就算是香港 肉身跑一趟的车票价格都还挺贵的 暂时没有去旅游的打算 所以不考虑顺路

最近 sb 社区最近挺火的 我突发奇想我也做了一个社区叫 lao1.me 但是我没有蹭 do 流量也没有诋毁他 我就想这么搞流量做新功能 我昨晚新功能了 我去引流介绍 让后去 do 站上面发帖，结果被站长始皇后看见了 他就注册了我的社区 lao1.me ，发了一篇文章 让后我就去看看我的 do 账号结果就被封禁了 让后我就开始回复始皇后结果始皇后说你开富可敌国可以引流 我就开始跟他对骂 结果很多人对始皇后不满，都在骂始皇后 让后就是始皇后的报复 刚开始在我的社区灌水无限刷帖刷用户 让后我做了限制他又开始打我服务器 这个始皇后只能别人拥护他，不能说他不好