如果你装了 Home Assistant，这周末大概率刷到过那条"已泄露密码检查"的提示。智能家居圈最近最炸的事件不在小红书，在 GitHub 和 Hacker News：HA 被指未经授权扫描用户密码。真正把事闹大的不是扫描本身，是维护者 19 分钟内的两轮硬关 issue，和 116 分钟后的一百八十度道歉。
时间线不复杂，但每个时间点都很扎眼。10 月 16 日晚（UTC），用户 Viss 在官方文档仓开了 issue #49314，标题就写着 “I never authorized an integration that scans my secrets”。19 分钟后，核心维护者 frenck 回复，开头一句 “Oh hi there”，定性"这不是侵犯隐私"，甩出 Cloudflare K-匿名博客和维基百科链接自证，还补刀：要学的是你自己的密码已经躺在泄露库里。Viss 回击，自述（未独立核实）经营安全公司 Phobos Group、2011 年在 Twitter 红队部署过 1Password，要求功能改成用户主动开启。19:56，“won’t fix”，关。20:12，老用户 0x00string 求重开，换来第二封关闭辞：威胁没有用，想卸载 fork 请便，反正这是开源。20:33，事件上了 HN。21:11，frenck 置顶道歉：承认此前回复"比这件事应得的更轻慢"，并交出一条从没写进文档的命令：`ha security options --pwned=false`。从首回复到道歉，全程 116 分钟；从上 HN 到道歉，只隔 38 分钟。Hacker NewsGitHub知乎
你的密码真的出家门了吗？按官方口径：没有。这项检查在 Supervisor 里存在多年，扫的是 add-on 配置里标记为 password 的字段，本机算 SHA-1 哈希，只把前 5 位十六进制字符发给 Have I Been Pwned，HIBP 返回同前缀哈希清单，比对在你自己机器上完成。密码学上它甚至算教科书级操作——HIBP 创始人 Troy Hunt 早在 2021 年就专门写过文章为这套机制澄清误解。吵的从来不是数学，是体感：默认开启、事前无提示、数据流向外网第三方，而那个开关一直活在命令行里、没进文档。HN 冲到 219 支持票、170 多条评论；老玩家 troed 在 issue 区对"这不是侵犯隐私"回了句 “yes. yes it is.”；有人点破查 HIBP 时你的 IP 反正会露出去，有人补刀更狠：这是 Home Assistant，不是 Cloud Assistant。GitHubHome Assistant官网Troy Hunt博客Hacker News
这次事件最值得记的不是道歉，是道歉之后认下的三个错。一认态度：在置顶道歉评里承认自己此前的回复 “more dismissive than this deserved”。二认类比搞错——他原本拿 1Password"也这么干"当挡箭牌，被网友指出后到 HN 回帖承认：1Password 的泄露密码检查其实是隐私设置里的用户开关，“我的比较错了”，一夜之间，“别人也这么干"的辩护反而坐实了"这本来就该让用户自己开”。三认文档失职——官方文档页现在已经补上了"如何关闭该检查"（Turning off the pwned secrets check）一节，就在这次事发之后。GitHubHacker NewsHome Assistant官网
如果你的 HA 也被扫出了警告，先别急着重装，三件事最实惠。① 不想被扫：用带 Supervisor 的安装方式（Home Assistant OS 或 Supervised）跑上面那条命令就行，官方文档写明这个开关只对带 Supervisor 的安装开放。② 警告真的命中了，说明你配置里某个标成 password 的字段确实在公开泄露库里——换掉那个密码，比在评论区吵三天有用。③ 正观望 HA Green 这类官方硬件的，有位 HN 网友说得直白：让他犹豫的"不是把哈希发给谁，而是这件事在 GitHub 上得到的回应"——把全家数据托付给一个开源项目之前，看看它关 issue 的方式，比看 README 更诚实。Home Assistant官网知乎Hacker News
issue 至今保持关闭。背景值得记住：就在本月 2 号，Nabu Casa 官宣把订阅服务从 Home Assistant Cloud 改名，官方说法是"要更准确地描述这项服务本来的样子"。Home Assistant官网
去云化的旗子举得越高，下面两个节点就越值得盯：这个扫描功能会不会真按用户要求改成主动开启才生效，机制和开关说明能不能完整补进文档。哪个发生了，这篇就有 v2。
