兑换要粘贴 Session JSON：它包含什么、风险在哪、开通后怎么善后 - AIPlan
兑换要粘贴 Session JSON：它包含什么、风险在哪、开通后怎么善后
CDK 兑换要你在浏览器开发者工具里复制 Session JSON,粘贴到兑换站。这段 JSON 包含你账号的临时登录凭证,拿到它的人可以以你的身份登录 ChatGPT。很多人担心:这东西安全么?兑换站会不会留存?怎么让它失效?
Session JSON 里有什么
按 F12 → Application → Cookies → __Secure-next-auth.session-token,你会看到一段很长的 Value,复制出来是 JSON 格式,类似这样(简化示例,真实内容更长):
{
"accessToken": "eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6Ik1UaEVOVUpHTkVNMVFURTRNMEZCTWpkQ05UZzVNRFUxUlRVd1FVSkRNRU13UmtGRVFrRXpSZyJ9...",
"sessionToken": "abc123def456...",
"user": {
"id": "user-xxxxxx",
"name": "你的邮箱前缀",
"email": "[email protected]",
"image": "https://...",
"picture": "https://...",
"groups": [],
"orgs": []
},
"expires": "2026-10-20T10:00:00.000Z"
}
核心字段:
• accessToken:JWT 格式的访问令牌,用来向 OpenAI API 证明"我是这个用户",有效期通常 24 小时。
• sessionToken:会话令牌,浏览器每次刷新页面会用它换取新的 accessToken,有效期比 accessToken 长,12～48 小时不等(官方未公开准确时长)。
• expires:这条 Session 的过期时间,UTC 时区。
拿到这段 JSON 能做什么:
可以在任何设备、任何浏览器上,通过注入这段 cookie,登录你的 ChatGPT 账号,看到你的所有对话、项目、API key(如果你有)、账单信息。也可以代替你发起对话、修改设置、取消订阅、删除对话。
简单说,等于临时拿到了你的账号控制权,但拿不到你的密码和邮箱本身(密码不在 Session JSON 里)。
兑换站拿 Session JSON 做什么
正规兑换站的流程:
• 接收你提交的 Session JSON。
• 用 accessToken 向 OpenAI 服务器发起 API 请求,验证账号状态(是否是 Free、是否已验证手机号)。
• 调用 OpenAI 内部接口(或模拟用户操作),给你的账号绑定订阅(Plus/Go/Pro),订阅信息来自你输入的 CDK。
• 升级完成后,立即释放 Session JSON,不留存任何日志,或者只留存加密后的日志用于问题排查,7 天后自动删除。
站内兑换站(chat.vvae.cn 和 xuvae.com)按上述流程运行,升级后不留原文 Session JSON,后台日志只记录订单号、账号邮箱前缀(不含 @ 后面部分)、升级结果,不记录 accessToken 和 sessionToken。
不正规兑换站的风险:
• 留存你的 Session JSON,把 accessToken 和 sessionToken 写入数据库,过几天拿出来登录你的账号,偷看对话、盗用 API key、或者转卖给他人。
• 把你的凭证批量打包,卖给"共享账号"商家,导致你的账号被多人登录,对话内容泄露,套餐被他人消耗。
• 在你不知情时用你的账号做违规操作(如批量生成垃圾内容、滥用 API),导致你账号被 OpenAI 封禁。
Session JSON 的有效期与失效方法
自然过期:
accessToken 一般 24 小时过期,sessionToken 12～48 小时过期(过期后浏览器会自动刷新,生成新的 Session)。所以你今天提交的 Session JSON,过两天自动失效,别人再拿也用不了。
但这个"自然过期"不可靠,万一兑换站在有效期内用你的凭证干了别的事,你毫无察觉。
主动让它失效:
到 ChatGPT 设置 → 安全,点"退出所有设备"按钮。这个操作会:
• 把你账号的所有登录会话(包括你当前浏览器、手机 App、别的电脑、以及兑换站用过的 Session)全部踢下线。
• 之前的所有 accessToken 和 sessionToken 立即失效,无法再用来登录。
• 你自己也会被踢下线,需要重新登录(输入邮箱密码或社交账号登录)。
点完"退出所有设备"后,你刚才提交给兑换站的 Session JSON 就彻底作废了,即使兑换站留存了也没用。
建议操作时机:
兑换成功后,立即去点"退出所有设备"。不要等几天,不要担心"会不会影响套餐"(不会,套餐是绑定在账号上的,跟登录会话无关)。点完后重新登录,你的 Plus/Go/Pro 还在,但之前的 Session JSON 永远失效了。
如何识别不安全的兑换站
不安全特征:
• 域名不在商品说明里,或者是临时短链:正规兑换站会在商品页明确写域名(如 chat.vvae.cn 或 xuvae.com),不会让你扫二维码跳转到一个陌生短链或 IP 地址。
• 要求提供密码或邮箱验证码:兑换只需要 Session JSON,不需要密码。要密码的要么是钓鱼站,要么是想控制你的邮箱。
• 页面设计粗糙,域名拼写怪异:比如 chatvvae.cn(多一个 v)、xuvae.cn(少了 .com),这类是仿冒站,目的是骗你的凭证。
• 没有 HTTPS 或证书过期:正规兑换站都是 https:// 开头,浏览器地址栏有锁图标,点开能看到证书有效期和签发机构。HTTP 明文传输的站不要用。
• 兑换后要求"绑定微信"或"加群领售后":正规流程是兑换完就结束了,不需要额外绑定。要你加群或扫码的,可能是想拉你进骗子群或卖你其他东西。
站内兑换站标识(2026年10月17日):
• Plus/Pro:只认 https://chat.vvae.cn,域名中间是 vvae 四个字母,没有其他变体。
• Go:只认 https://xuvae.com,注意是 .com 不是 .cn。
订单页面会直接给出兑换站链接,点过去后检查地址栏,确认域名一致。
通用兑换站的风险
有的竞品宣传"通用兑换站,全渠道 CDK 都能用,不限店铺"。这种站的逻辑是:你把 CDK 和 Session JSON 一起提交,站自动识别 CDK 类型(Plus/Go/Pro、哪个区),然后给你升级。
风险点:
• 通用站要对接多个上游渠道,后台系统复杂,日志留存可能更多(为了排查"这张卡是哪个渠道的"),Session JSON 被留存的概率更高。
• 有的通用站是中间商,你的 Session JSON 会被转发到真正的上游兑换接口,中间多经过一层,多一次泄露风险。
• 通用站往往不是商家自建,是第三方技术服务商提供的工具,商家自己也不知道这个工具后台留不留日志。
相比之下,专用兑换站(如站内的 vvae/xuvae):
• 只对接自己店的 CDK,不接受其他店的卡,后台逻辑简单,容易做到"用完即删"。
• 技术维护方与商家是同一主体(或者商家明确授权的技术团队),责任链清晰,出问题有人负责。
如果必须用通用站:
• 只用知名竞品的官方通用站,不要用来路不明的第三方站。
• 兑换完立即点"退出所有设备",不要拖延。
• 定期检查账号登录记录(设置 → 安全 → 活跃会话),看有没有陌生设备或 IP。
Session JSON 泄露后怎么办
如果你怀疑 Session JSON 被他人拿到了(比如在不可信的兑换站用过,或者截图发给了陌生人),立即做三件事:
• 点"退出所有设备":让所有现存 Session 失效,包括泄露的那一份。
• 改密码:到 设置 → 账户 → 更改密码,改成新密码后,之前的密码无法再登录(Session JSON 本身不包含密码,但改密码是额外保险)。
• 检查 API key:到 OpenAI API 平台(platform.openai.com)看你的 API key 有没有被盗用(查用量、查调用日志),如果有异常用量立即删除 key 重新生成。
• 检查订阅和支付:到 设置 → 账单 看有没有不是你操作的订阅变动或扣费,有的话联系 OpenAI 客服([email protected])说明情况,要求回滚或退款。
如果你的对话内容涉及敏感信息(公司机密、个人隐私、API 密钥明文),泄露后无法撤回,只能亡羊补牢:改相关系统的密码、撤销泄露的 API key、通知相关方可能的数据泄露。
兑换安全最佳实践
• 只用商品页明确写出的兑换站,不点陌生链接。
• 提交 Session JSON 前,确认地址栏是 HTTPS 且域名正确。
• 兑换成功后,立即到 ChatGPT 点"退出所有设备",等 10 秒,重新登录,确认套餐已到账。
• 不要把 Session JSON 截图发给客服或其他人,客服只需要订单号和报错截图(报错截图里不要包含 Session JSON 原文)。
• 定期检查账号活跃会话,看有没有陌生 IP 或设备,有的话立即踢出并改密码。
站内兑换站承诺:升级完成后立即释放凭证,不留存原文 Session JSON,后台日志加密存储且 7 天自动删除,技术维护方不查看、不转售、不用于其他用途。但即便如此,也建议你兑换后主动点"退出所有设备",这是你能控制的最强保险。
站内 Plus ¥115.50、Go ¥31.50、Pro 5x ¥661.50 起,价格以商品页为准,兑换站只认 chat.vvae.cn(Plus/Pro)和 xuvae.com(Go)。
参考资料资料核对日期：2026-10-17
• Data controls in ChatGPT | OpenAI Help Center
• AIPlan 当前公开商品说明
延伸阅读• 代充安全 = 自助兑换 vs 代登录:两种模式的风险边界与选购建议
• CDK 充值时怎样保护账号？分清订单信息与登录凭据
• API Key 怎么保存和使用？先确认密钥属于哪个服务