StarDict是一款跨平台字典应用，但在X11环境下运行时，会通过未加密的HTTP将用户的文本选择发送到两个远程服务器，存在严重的安全问题。Vincent Lefevre在测试Debian 13时发现了这一问题，并报告给了oss-security邮件列表和Debian的bug追踪系统。安装StarDict时默认会安装包含YouDao等插件的stardict-plugin包，进一步加剧了安全风险。

标题：StarDict在X11环境下将剪贴板内容发送至远程服务器

主要内容：

StarDict是一款遵循GPLv3协议的跨平台词典应用程序，支持多种语言，并拥有丰富的插件生态系统。然而，该应用在X11环境下运行时存在一个严重的安全问题：在Debian的默认配置下，StarDict会通过未加密的HTTP协议将用户的文本选择发送到两个远程服务器。

这一问题由Vincent Lefevre于2025年8月4日报告给oss-security邮件列表和Debian的bug追踪系统。他在测试即将发布的Debian 13（"trixie"）时发现了该问题。默认安装StarDict时，会同时安装stardict-plugin包，其中包含一些常用插件，如用于中英翻译的YouDao插件和另一个在线中文词典dict.cn插件。

StarDict的“扫描”功能默认开启，该功能会监控用户的文本选择（即鼠标高亮显示的文本），并自动弹出翻译结果。结合这两个功能，任何选中的文本都会被发送到上述两个服务器。虽然这种情况仅在StarDict运行时发生，但该应用设计为常驻后台，以便用户随时查阅。

在Wayland环境下，StarDict不存在此问题，因为Wayland默认阻止应用程序捕获其他应用的文本。然而，这也意味着StarDict的扫描功能在Wayland下无法使用。

Debian的StarDict包维护者Xiao Sheng Wen认为该行为并无问题，指出用户如果不希望使用扫描功能或YouDao插件，可以手动禁用。但Lefevre对此并不满意，强调涉及隐私的功能不应默认开启。

值得注意的是，StarDict的扫描功能虽然在此情境下存在问题，但也是用户选择该应用的原因之一，尤其是在阅读外语内容时，能够快速查阅单词翻译。然而，YouDao插件通过未加密的HTTP协议与后端服务器通信，这意味着用户选择的文本不仅会被发送到服务器，还可能被路径上的任何人截获。

这并非StarDict首次出现此类问题。早在2009年和2015年，就有用户报告过类似的安全漏洞。尽管2009年的问题通过禁用网络词典的默认配置得以解决，但2016年添加的YouDao插件并未遵循该配置。2015年的问题直到2025年8月6日才被修复，期间该包曾因其他原因被暂时移除。

根据Debian的包流行度统计，目前仅有178人安装了StarDict，远低于2009年至2015年间的约1000人。尽管如此，仍有许多用户可能在过去几年中无意间将文本选择发送到了互联网上，这包括从密码管理器中复制的密码或编辑中的敏感邮件和文档内容。

Debian作为一个包含数万个软件包的大型发行版，其稳定性承诺导致部分软件更新延迟或零散。Linus定律（“只要有足够多的眼睛，所有bug都是浅显的”）仅在人们关注并报告问题时才有效，而维护者是否认为存在问题并加以修复同样关键。

从X11转向Wayland的部分原因是为了减少应用程序间相互监控的安全漏洞。尽管适应新方式需要成本，但许多人仍积极推动Wayland的发展。未来，StarDict的默认行为可能不再构成威胁，或者用户可能会像现在一样接受其请求的特殊权限。

无论如何，存在严重安全问题且长期未修复的情况令人担忧。Linux长期以来以安全性著称，维护这一声誉需要开发者、维护者和用户共同努力，及时修复安全漏洞。

评论内容主要围绕StarDict软件的隐私问题和解决方案展开，观点多样，以下是总结：

1. 隐私问题严重性：

   • 多位评论者指出StarDict存在严重的隐私问题，尤其是其默认将用户选择的文本发送到远程服务器进行翻译的功能。
   • 引用："StarDict sends X11 clipboard to remote servers"（评论7）；"having them combined by default? That's pretty much malicious."（评论5）

2. 解决方案建议：

   • 一些评论者建议使用本地词典来避免隐私泄露，认为本地存储的词典文件体积不大，完全可以替代在线查询。
   • 引用："The easiest solution seems to be to patch it to use offline dictionaries."（评论4）；"Querying a local dictionary on each clipboard seems okay"（评论5）

3. 对软件设计的批评：

   • 评论者批评StarDict的设计，认为其默认行为不合理，甚至带有恶意，尤其是对用户隐私的忽视。
   • 引用："It's really difficult to not assume malice with something like this."（评论3）；"the whole thing does seem like a trap."（评论8）

4. 对Debian包管理的批评：

   • 部分评论者批评Debian的包管理策略，认为其默认安装推荐包的行为对用户不友好，可能导致不必要的安全风险。
   • 引用："I always disliked this kind of 'maximalism' from the package manager."（评论11）；"the default is a disservice here."（评论11）

5. 对用户责任的讨论：

   • 有评论者认为用户应自行阅读软件描述来了解功能，但也有反驳指出，要求用户阅读所有包描述是不现实的。
   • 引用："the package description can be read by any user who chooses to install the software"（评论12）；"If someone started reading all the package descriptions... they'd still be reading them."（评论12）

6. 对技术环境的反思：

   • 评论者讨论了X11与Wayland的安全性问题，认为Wayland在防止应用间窥探方面更有优势，但也指出根本问题在于软件本身的设计。
   • 引用："Part of the justification for moving to Wayland over X11 is to make security vulnerabilities... more difficult to introduce."（评论10）；"How is this an X11 vs Wayland issue and not a distribution hygiene issue?"（评论10）

7. 对用户控制的期望：

   • 评论者强调用户应有权控制自己的数据，即使软件并非恶意，用户也应拥有隐私保护的“幻觉”。
   • 引用："I, as an individual deserve the illusion of control over my data and communication."（评论17）；"I have neither the time, nor inclination to read all release notes."（评论17）

总结：评论者普遍认为StarDict的默认在线查询功能存在严重的隐私风险，建议使用本地词典替代。同时，批评了Debian的包管理策略和软件设计，强调用户应有权控制自己的数据，并反思了技术环境对安全性的影响。