bilibili-API-collect：兩萬星的 B 站非官方 API 文檔庫，一封律師函後刪檔、在鏡像裡轉生

用 AI 摘要這篇文章：

ChatGPT Claude Perplexity Google Grok

如果你這幾年寫過任何跟 B 站（嗶哩嗶哩）有關的程式，很可能直接或間接用過 bilibili-API-collect 這份文檔。2026 年 1 月 28 日上午 9 時 32 分，一封由 B 站委託律師事務所發出的侵權告知函寄進維護者信箱。兩天後，這個在 GitHub 上累積 20,162 顆星、被 fork 走 2,904 次的專案，整個倉庫只剩下兩個檔案：一頁停用聲明，加上那封律師函的截圖。174 份 API 文檔、128 個 gRPC 介面定義檔、35 個主題目錄，全部刪除。

判斷先說在前面：文檔刪得掉，缺口刪不掉。B 站官方開放平台到今天仍然只開放帳號授權、投稿管理與直播相關能力，第三方工具真正依賴的評論、搜尋、彈幕、觀看歷史這類讀取介面，到今天都沒有出現在官方選單上。所以這份文檔不會真的消失，它正在數千個 fork 和幾個持續補檔的鏡像裡轉生。真正需要重新盤點的，是所有把作品蓋在這套介面上的開發者：你腳下的基礎設施，屬於別人的法務部門隨時可以抽走的那一種。

兩天內，一個完整文檔庫變成兩個檔案

把 GitHub 上還看得到的紀錄串起來，死亡的速度比多數人想像得快。

這個專案 2020 年 3 月開張，收錄的是所謂「野生 API」，散落在 B 站網頁版、手機 App 與電視用戶端裡，官方從未提供文件的內部介面。保存下來的刪檔前版本裡，docs 目錄切出 35 個主題：登入、彈幕、評論、直播、搜尋、收藏、漫畫、錢包、排行榜，幾乎 B 站產品的每個角落都有對應章節。repo 的 issue 軌跡一路活到 2026 年 1 月 26 日，最後一筆是新增介面的提案，前一週還有人在補欄位說明。對照組可以說明它的量級：事件後最大的同名鏡像只有 307 顆星，原始倉庫是它的六十五倍。

然後是 1 月 28 日。維護者在同一天提交了兩個名稱就叫 deprecated 的 commit，兩天後的 1 月 30 日補上最後一次更新，倉庫正式歸檔成唯讀。文檔網站同步消失：網際網路檔案館（Wayback Machine）的存檔紀錄顯示，這個站 1 月 28 日台北時間近中午抓到的還是正常頁面，1 月 30 日下午抓到的已經是 404。從律師函進信箱到整座文檔庫清空，中間只隔了一個上班日。

現在打開這個 repo，你會看到 GitHub 的歸檔橫幅寫著 2026 年 1 月 30 日之後唯讀，預設分支是 deprecated，分支裡只剩 588 位元組的停用聲明和 254 KB 的律師函截圖。停用聲明的標題就叫 Deprecated，開頭的中文宣告只有一句：本倉庫停止維護並永久關停。issue 全數凍結，沒有告別討論，沒有移轉公告。六年的累積，最後留下的是自己的訃聞。

Pin

律師函指控的，恰好是文檔裡最敏感的那些頁面

維護者在停用聲明裡逐條轉述了指控內容：函件認為這個倉庫以技術手段，對 B 站平台非公開的 API 介面、呼叫邏輯、參數結構，以及存取控制和安全認證機制，進行系統性收集、整理，並以技術文件、程式碼示例的形式向不特定公眾傳播。

對照被刪掉的目錄結構，這段指控的指向非常具體。文檔裡有一整個子目錄專門講介面簽名：App 端的 appkey 與 sign 簽名怎麼產生、已知的 App Key 清單、網頁端 Wbi 簽名（參數名叫 wts 與 w_rid）的計算方式，以及 bili_ticket 這類新的憑證機制。這些頁面整理的，恰好就是打開平台存取控制的鑰匙規格，法律語言裡的安全認證機制，說的就是它們。

從律師函截圖能讀到的資訊比聲明更多。發函方是上海一間律師事務所的維權部門，引用了民法典、反不正當競爭法等中國大陸法律，主張侵權與不正當競爭，並形容這份文檔為未經授權的資料存取與資源抓取提供了直接的技術基礎，極易遭地下產業利用。要求的補救措施列了三項：停止引導或幫助他人收集、傳播、使用非公開介面；停止披露相關技術細節或規避技術保護措施的方法；刪除並下架 GitHub 及其他平台上的所有程式碼、文件與展示內容。函件同時限定兩日內回覆，期限正好是 1 月 30 日，那天倉庫完成了最後一次更新。

有個細節值得記下來：整份文檔採用 CC BY-NC 4.0 授權，禁止任何商業使用，README 開頭就把「僅供學習測試」連講了三次，還提醒貢獻者上傳資料前刪掉 SESSDATA 這類登入憑證。更早的版本裡甚至寫著一行後來應驗的警告：因為專案的特殊性，可能隨時停止開發或刪檔。作者一直知道自己站在什麼地方，只是沒想到抽走地板的時間表這麼精確。

被刪掉的東西，等於一整套 B 站外部說明書

要理解損失的規模，可以把保存下來的 fork 拿來數一遍。我找到一個仍完整保留 master 分支內容的 fork 副本：副本本身是原倉庫歸檔後才建立的，master 的內容則是刪檔前的狀態。整個專案共 379 個檔案，其中 174 份 Markdown 文檔放在 docs 目錄下，另外 grpc_api 目錄收了 128 個 gRPC 的 proto 定義檔，散在近兩百個子目錄裡。proto 檔是介面的形狀定義，哪個服務有哪些方法、丟什麼參數、回什麼結構都寫在裡面，拿到它等於拿到產生請求的模具，這部分等於把 App 內部通訊的規格直接寫成了規格書。

文檔的寫法也很坦白。README 自述採用的研究方法包括黑箱測試、控制變數、程式碼逆向分析、拆包反編譯與網路封包側錄，對象是 B 站主站的業務介面，並明確聲明官方開放平台不屬於這個專案的範圍。換句話說，它從頭到尾都知道自己在整理的是官方不想文件化的東西，而且整整做了六年，做到兩萬顆星。不過 README 的待辦清單也自己承認：二級目錄還沒整理完，部分文檔老舊沒跟上改版。它稱不上完整的官方級規格書，更像一份眾人分工、邊用邊補的共用筆記，這一點在評估鏡像的可靠度時同樣成立。

這份說明書的價值，看 README 尾部的「成品」清單就知道。清單上掛著二十多個專案：老牌瀏覽器增強腳本 Bilibili-Evolved、VTB 資料中心 vtbs.moe、全自動錄播投稿工具 biliup、彈幕轉字幕檔的 danmaku-to-ass、本地彈幕播放器 BiliLocal、能把 B 站當成其中一個片源的 Android 串流客戶端 AnimePipe。TechMoon 介紹過的工具也在這條鏈上，例如把 B 站影片轉成逐字稿的 Bili2text、備份只有九十天保存期觀看歷史的 BilibiliHistoryFetcher、直播還在播就能回放剪精華的 ShadowReplay。這些工具呼叫的介面，很多當年就是靠這份文檔才有辦法寫出來；文檔抽走之後，它們不會立刻壞掉，但下一次 B 站改簽名、改參數，維護者要自己重新逆向。

順帶一提，維護者 SocialSisterYi 自己的 GitHub 頁面上，其他專案都還活著，包括用必剪 App 語音辨識引擎做字幕的 bcut-asr，那是另一個逆向 B 站體系內部服務的專案，427 顆星。從目前看得到的跡象，被指名的只有 bilibili-API-collect 一個。

官方開放平台補不上這個洞

很多人聽到「非官方 API」的第一個反應是：為什麼不用官方的？把官方開放平台的文件中心實際打開看一遍，答案就很清楚。

嗶哩嗶哩開放平台（openhome.bilibili.com）今天仍然正常上線，導覽列出來的能力是：帳號授權、使用者管理（取得使用者公開資訊）、影片管理（稿件的發布、刪除、查詢）、資料開放（使用者授權之後的帳號與稿件資料）、專欄管理、直播能力，外加各平台 SDK、沙盒環境與 Webhooks。導覽裡甚至有專門的處罰規則與處罰公告頁，管理拿到授權的開發者。直播側另有獨立的直播開放平台。

Pin

看出問題了嗎？這份選單全部圍繞著兩種身分設計：拿到使用者授權的第三方登入服務，以及管理自己稿件的創作者工具。如果你的產品剛好落在這兩種身分裡，例如做「用 B 站帳號登入、代管自己影片」的服務，官方這條路其實是通的，還附沙盒環境讓你試。卡住的是另一整批應用：第三方工具真正需要的公開資料讀取介面，評論區內容、全站搜尋、影片彈幕、觀看歷史、排行榜，一項都不在官方目錄裡。官方沒有把這些能力換個地方開放，至少到今天都沒有開放過。

這就是野生文檔存在的根本原因，也是它會在 fork 裡轉生的原因。需求放在那裡六年，到今天的官方選單仍然沒有補上，現在補上的是法律手段，缺口本身依然原封不動。想寫一個 B 站評論分析工具的人，明天醒來面對的選擇跟去年一模一樣：要嘛逆向，要嘛放棄。只是現在還多了一條：用一份隨時可能再收到律師函的鏡像。

文檔現在活在哪：封存派與續命派

GitHub 上搜尋同名 repo，今天還找得到 47 個。依對待這份遺產的態度，可以分成兩派，現況整理如下（表中星數與狀態為 2026 年 10 月 21 日時點）：

封存派以 pskdje 的副本為代表。這個 307 顆星的鏡像在 2026 年 1 月 24 日到 25 日之間，也就是律師函寄達前三天，剛好從上游同步了最後一版。事件發生後它的維護者也把自己的倉庫設為歸檔，說明寫著將轉為私有記錄。另一個 70 顆星的 bilibili-api-collect-new 建立在 1 月 29 日，事件隔天，內容凍結在 1 月 30 日，像一份標本。

續命派目前看得到的主角是 qianxuntudou-ops 的副本。這個鏡像今年 4 月重建了提交歷史之後持續補檔：9 月 11 日一次補上 70 個 App 端介面說明（素材來源標註為第三方客戶端 biliuwp-lite-dev 的原始碼），10 月 13 日又補了電競賽事、主播中心、互動抽獎等 34 個介面。它的文件數量已經達到 209 份（含少數說明頁），超過原版 docs 目錄的 174 份。封存派保存的是遺體，這個鏡像還在解剖新樣本。

Pin

兩派各有各的道理，也各有各的風險。封存派凍結的是 1 月 24 至 25 日那個時點，B 站這幾個月改了什麼簽名、換了什麼參數，它一概不知道；續命派跟得上變化，但新補的文檔沒有經過獨立驗證，而且一個持續公開更新同類內容的 repo，邏輯上就是下一個最顯眼的目標。要判斷手上的副本還能不能信，有兩個便宜的檢查點：看它最後一次補檔的日期距離今天多久，以及 B 站在這段期間有沒有改版紀錄；再看 repo 的 issue 有沒有人回報特定介面失效，通常壞掉的人會先出現在那一頁。

台灣開發者可以把風險拆成三層來看

這次的法律行動依據是中國大陸法律，收函對象也是中國大陸的維護者。台灣的開發者不太可能因為讀過這份文檔就收到同樣的信，但只把風險看到這一層，會嚴重失準。實際要面對的東西可以拆成三層。

最上面那層是法律與屬地。律師函的直接效力止於收件人，但 B 站的司法管轄與平台主張能延伸到哪裡，沒有判例可查，這一塊至今是未知數，不能當成安全保證。中間那層是帳號與條款。呼叫非公開介面通常需要 SESSDATA 這類等於「把登入狀態交出去」的憑證，原版 README 以「請勿濫用」再三警告、附上免責條款，也提醒貢獻者別把這類憑證帶進貢獻內容；踩線的實際後果從帳號受限到封鎖都屬合理推測，同樣沒有判例可查。最下面那層，也是日常最常遇到的那層，是技術反制。簽名演算法改版、參數結構調整、風控規則收緊，文檔跟不上就整批工具一起失效，這在過去六年是家常便飯，跟律師函無關。

所以具體的建議是：如果把 B 站資料當作產品的原料，先確認官方開放平台拿不拿得到，拿得到就走官方，哪怕功能少；拿不到，就把「這條供應鏈隨時會斷」寫進設計假設裡，別讓它成為單點故障。純研究或個人工具用途，使用封存副本時記得標記時點，因為它凍結在 1 月，之後的介面變化它全部缺席。

哪些問題到現在還沒有答案

事件發生快九個月，幾個關鍵問題仍然開著。B 站會不會對鏡像與 fork 進一步主張權利，沒有人知道，封存派的自我歸檔說明有人認真對待這個風險，續命派的持續更新說明也有人賭不會。續命派文檔的正確性與完整度，209 份裡有多少跟得上現行介面，需要的人得自行驗證。官方開放平台會不會因此調整開放範圍，也還沒有任何公開訊號。

可以確定的部分如下：原倉庫已於 2026 年 1 月 30 日歸檔並清空內容，文檔網站消失，這兩件事不會逆轉；官方平台的選單截至 2026 年 10 月 21 日仍是帳號授權與投稿直播導向，缺口還在；而那份兩萬人按過星的說明書，正在別人的倉庫裡長出第 209 份文件。B 站這次抽走的是地板，不是需求。