2025 年了，还有运营商劫持？

今天日常调试程序抓包过程中突然看到非我司域名的请求，顿生疑惑。

前面三个请求的域名还是什么 www.cdnaccelerationcache.com 看起来似乎是个 cdn ，后面什么 winners.club 看着就明显不对劲了，再展开看响应还是什么“以德会友 智者博弈”。。。一看就不是什么正经东西。

马上搜了前端和移动端的代码都没找到相关域名，于是又到抓包软件重新捋了一下，最后发现居然是 vconsole.min.js 被植入。

前端开发同学在使用 vconsole 的时候使用了 bootcdn 的地址： https://cdn.bootcdn.net/ajax/libs/vConsole/3.12.1/vconsole.min.js 。

今天正好我抓包的时候被我抓到了，不知道是中间运营商干的还是 bootcdn 被污染了。

真是曹蛋，再次提醒，项目里不要直接通过第三方 URL 引用外部 JS 。

下面附抓包截图

PS：抓包时的网络运营商是四川移动，用的还是企业专线。