diff --git a/pages/activitypub-security.txt b/pages/activitypub-security.txt
index f258f201f9f34a1695c3e4fe60a3381b7657fdb9..2c6d39bcb601e88f44e95be751bd14c9d502de62 100644
--- a/pages/activitypub-security.txt
+++ b/pages/activitypub-security.txt
@@ -74,10 +74,18 @@
     * 我们的公开内容，例如公开嘟文以及转发；
     * 我们的用户名、个人简介、头像；
 
-在本站屏蔽了这个外站后，外站上仍然有可能留下屏蔽前的信息。
+在本站屏蔽了这个外站后，外站上仍可能：
+  * 留下屏蔽前的信息；
+  * 没有开启安全模式时：
+    * 主动获取上面提到的“对方站点主动获取的内容”；
+    * 经由双方实例都加入的 “中继”（relay）获取信息。
 
 我们的邮箱、IP 地址不会被外站知道。
 
+==== 微博对微博用户的权限？ ====
+
+可以把上面的“本站站长”权限与法律取一个大致的交集。
+
 ===== 屏蔽（Block）有什么作用？ =====
 
 在屏蔽后，屏蔽前的信息仍然有可能留下。
@@ -108,11 +116,9 @@
   - 那么用户 c 转发我（a）的嘟文会不会被 b 看到？
 实际上，一般来说（对大多情况下的 c 来说），c 的“转发”实际上进行了如下操作：c 所在的实例 C 对实例 B 说“我转发了 https://AAA/aaa/123 这条链接的东西”，实例 B 顺着这个链接去向实例 A 要相应的内容。所以，B 要想知道真正的内容必须要经过 A，而安全模式使得我们知道来访者是 B ，这时屏蔽就可以起作用，这没有安全模式是做不到的。
 
-但是，一个人可以有多个账号，这方面不多说，而身份信息的欺骗从技术上大概也只需要多一个没有被屏蔽的域名而已，只要实行的不是密不可透的**白名单**，那么还是会有风险。
+但是，一个人可以有多个账号，这方面不多说，而身份信息的欺骗从技术上大概也只需要多一个没有被屏蔽的域名而已，只要实行的不是密不可透的**白名单**，那么还是会有风险。（但有时候可能增加哪怕那么一点安全性也是好的？无论如何还是不要放松警惕。）
 
 注：这里的身份信息的校验大概过程是：
   - B 访问 A 时说自己是 B，（没有安全模式时 B 可以直接说自己是个普通人，下面的屏蔽也无从谈起。）
   - A 再去问 B “这个访问是不是你的呀”，得到回应（其实是密码学校验，不是回应）后，放行/屏蔽访问。
-  - 但如果 B 说自己是 D，同时 B 有 D 的控制权，那么欺骗 A 从技术上说是可能的。（但这样子倒不如直接从 D 那里访问。）
-
-（有时候可能增加哪怕那么一点安全性也是好的吧……但是如果实在在意的话，不要放松警惕。）
\ No newline at end of file
+  - 但如果 B 说自己是 D，同时 B 有 D 的控制权，那么欺骗 A 从技术上说是可能的。（但这样子倒不如直接从 D 那里访问。）
\ No newline at end of file