DEV Community 中文 - TheNote.app

DEV Community 中文
关注

Dev.to是一个以软件开发、编程和技术为中心的社区驱动型网站。它于2016年由Ben Halpern推出，旨在为开发者提供一个分享知识、从他人身上学习和建立社区的平台。该网站采用博客式格式，用户可以创建和分享各种主题的文章，如编程教程、项目展示、行业见解等。Dev.to允许用户创建账户、关注其他用户，并通过评论和反应与他们的内容互动。 Dev.to非常注重社区参与，拥有讨论论坛、播客和直播等功能。它还主办了一系列社区驱动的项目，如编程挑战和黑客马拉松，以鼓励协作和创新。除了用户生成的内容外，Dev.to还提供了一个招聘板块，公司可以在这里发布招聘信息，而开发者可以在这里寻找就业机会。该网站还提供了一份新闻通讯，为用户提供最新文章、新闻和事件的更新。总之，Dev.to已经成为开发者连接、分享知识并跟踪软件开发行业最新趋势和技术的热门平台。

DEV Community dev.to

DEV Community 中文 RSS thenote.app

RSS Hunter • 2024年8月23日

笔记线程

我给 Claude Code 装上了大脑。这一次，让测试来评判它。

本实验测试了 Claude Code 在具备记忆层的情况下执行真实仓库任务的能力。与以往侧重于答案正确性的测试不同，本实验要求代理修改文件并通过确定性检查。配备 RE-call 记忆系统的 Claude Code 取得了 58.3% 的成功率，显著优于无记忆层的 Claude Code（50.0%）及其自身的 CLAUDE.md 基线（36.1%）。RE-call 系统的提升在那些对特定项目记忆敏感的任务中尤为明显。有趣的是，静态的 CLAUDE.md 文件表现甚至不如无配置版本，这表明静态指令可能会引入噪声。RE-call 通过仅在需要时检索相关上下文来证明其效用，而非简单地增加 token 数量。记忆层在大多数符合条件的会话中被咨询，并提供了有用的上下文。尽管 RE-call 增加了 token 使用量和成本，但其目标是防止因过时信息导致的昂贵失败。实验还遇到了 GPT-5.3 Codex 的操作限制，阻碍了确切的对比。最终，本实验验证了生产级记忆层可以通过检索关键的项目特定上下文，提高代理在真实仓库任务中的成功率。未来的工作将专注于优化记忆检索的效率与准确性。

I Gave Claude Code a Brain. This Time I Let the Tests Judge It. dev.to

RSS Hunter • 今天

您的 codex 执行每回合浪费约 900 毫秒。我已测量过具体位置。

作者使用 Bun 重构了 OpenAI Codex CLI 的 JavaScript 运行环境，不仅获得了运行时性能的提升，更发现了架构层面的改进。Codex 引擎的核心为 Rust，上层为 JavaScript 层，该层被替换为 Bun。作者引入了一个新的客户端，以维持单个 Codex 应用服务器进程，避免重复启动进程。基准测试表明，持久化进程相比为每轮对话启动新进程，显著减少了执行时间。一个令人意外的发现是：Codex 的发布版构建中启用了遥测导出器，这会在进程关闭时增加约 900 毫秒的延迟，用于上传指标数据。如果每轮对话都启动新进程，该开销会在每次调用时产生。只需在配置文件中将指标导出器设置为"none"，即可消除这一延迟，而无需修改代码。持久化进程架构带来的性能提升与 JavaScript 运行时无关，因为 Node.js 也取得了类似结果。Bun 的优势主要体现在其工具链上，显著加快了测试启动和安装时间。针对因生成协议类型而导致的初始包体积增加问题，作者通过将声明合并到单个文件中加以解决，最终得到了一个更小、更优化的包。完整文章深入探讨了技术细节，包括图表和更多基准测试。代码和演示项目已在 GitHub 上提供。

Your codex exec is wasting ~900 ms per turn. I measured where. dev.to

RSS Hunter • 今天

我们开源了 449 份真实的设备融资报价，以便无需任何人相信我们的算法。

商业设备融资网站常模糊月度付款的计算方式，缺乏对年化百分比利率（APR）和摊销计划的透明度。Equipment Capital Index 旨在通过揭示真实的单机价格及融资摊销计划来改变这一现状。他们现已发布底层数据集，以供验证与进一步开发。该数据集涵盖各类真实设备的综合融资基准，包括建筑、农业、卡车运输、动力设备及物料搬运等领域。数据系从 449 台单独定价的机器中精心编制而成，而非基于调查估算或虚构平均值。当前快照显示，各类别的平均 APR 介于 7.75% 至 8.50% 之间；就所追踪机器而言，全站平均 APR 为 8.17%。本项倡议的核心原则是：每一个数值均可追溯至一台具有来源价格的真实机器，并具备可验证的摊销计算。聚合逻辑亦可复现，从而确保单一事实来源。该数据可通过多种渠道获取：实时 JSON API、自动更新的 GitHub 仓库，以及 Zenodo 上的永久 DOI，以保障可靠访问。我们鼓励开发商业设备成本相关工具的开发人员直接使用此数据，或引用其来源。

We open-sourced 449 real equipment financing quotes so nobody has to trust our math dev.to

RSS Hunter • 今天

Node.js Express 与 Python FastAPI：2026 年您该如何选择？

选择后端框架已不再局限于简单的语言偏好，例如 JavaScript 搭配 Express，或 Python 搭配 Flask/Django。Python FastAPI 因人工智能的兴起以及对类型安全的需求而日益受到重视。Node.js Express 因其非侵入性（unopinionated）特性，在企业级 Web 开发中仍广受欢迎。Express 采用极简主义方法，提供 HTTP 工具，但需要开发者自行构建或集成数据验证和 API 文档解决方案。相比之下，FastAPI 利用现代 Python 特性，如类型提示（type hints）和异步编程，实现自动化的数据处理与序列化。尽管 FastAPI 对数据类型的严格规定可能显得受限，但它通过自动化验证和文档生成简化了开发流程。Express 在高并发 I/O 操作中表现卓越，适用于实时应用。FastAPI 虽然在 Python 中速度很快，但在进行大量数据序列化时会带来稍高的 CPU 开销。对于涉及人工智能、机器学习或数据科学的项目，FastAPI 是更优选择，因为 Python 拥有主导性的生态系统。然而，如果团队仅由 JavaScript 开发者组成，Express 则具备全栈 JavaScript 开发及共享类型定义的优势。最终，决策取决于项目需求：若需实时应用和完全控制，请选择 Express；若需人工智能/数据科学集成及自动化功能，则选择 FastAPI。

Node.js Express vs. Python FastAPI: Which Should You Choose in 2026? dev.to

RSS Hunter • 今天

100 个关于写作、生产力、编程与研究的 ChatGPT 视角 🧠💻

将人工智能视为一系列专用工作模式的集合，而非单一用途的聊天机器人，能使其更具实用性。通过特定指令，用户可引导 AI 采用不同的思维风格，以完成调试、算法设计或研究规划等任务。这种转变将交互从简单的问答形式，升级为涉及目标、上下文、专用视角、分析与迭代的结构化工作流。文中详述了按功能分类的众多“视角”或指令，包括文本转换、语气控制、写作结构化、信息压缩及会议管理等。项目管理视角有助于将宏大目标分解为具备可衡量成果的可执行系统，借助 OKR 与 KPI 实现；风险分析与根本原因分析视角提供了识别不确定性及理解失败的分析框架；生产力视角聚焦优先级排序与反馈，学习视角则鼓励主动检索与实践。对于开发者，代码专用指令涵盖生成、解释、调试、重构与优化，每项均有明确目的；算法与数据结构视角指导技术面试中的问题解决。文中还突出了用于处理数据格式（如 SQL）、设计 API 及开展研究的视角。至关重要的是，它强调了观点与可检验假设之间的区别，以及同行评审与简单批评之间的差异。/audit 视角提供更广泛的审查能力，而元视角 /framework 则有助于选择适当的问题解决方法论。最终，利用这些专用模式可实现更精准、高效的人工智能应用。

100 Writing, Productivity, Coding & Research Lenses for ChatGPT 🧠💻 dev.to

RSS Hunter • 今天

当被拒绝提供事实时，编码代理会编造事实。我所有的四次探测均返回了错误的零。

一篇新论文揭示，当编码代理面临信息缺失时，它们会编造事实而非承认无知。在关键数据不可用时，这些代理会伪造文件或猜测数值。研究人员发现，当记忆中的知识受阻时，多个 AI 模型以完全相同的方式失败，表明存在共同的脆弱性。有趣的是，不同系统配置通过测试的成本差异巨大，而更昂贵的配置在事实缺失时并未带来真实性优势。该论文强调，旨在监控代理读取的工具对这些编造行为视而不见。这些监控工具通过观察读取操作，预期在信息缺失处会出现一个空的“空洞”。然而，代理会用看似合理的发明填补这些空洞，使其看起来如同正常操作。这种现象——即零结果可能表示缺失或连接失败——并非编码代理所独有，而是广泛适用于测量领域。作者通过四个玩具探针加以说明，每个探针均因对编码、模式、类型或词汇的假设而返回零，尽管正确答案实际上存在。提出的解决方案是采用控制实验，这是科学实践中的标准做法，以验证仪器。阳性对照确认仪器功能正常，阴性对照确保其能正确区分。对于 AI 系统而言，这意味着对每次测量都执行控制实验的程序化方法，而非依赖人类感知来检测可疑的零结果。核心问题在于，编造的缺失与实际的编造不同，前者无法被检测。因此，在信任零结果之前，必须通过控制实验验证仪器的完整性。

Coding Agents Invent Facts When Denied Them. All 4 of My Probes Returned a False Zero. dev.to

RSS Hunter • 今天

构建模块化 C++ 静态库：清晰架构、封装与安全输入处理

当所有代码都集中在一个文件中时，大型 C++ 项目将难以管理，从而导致代码重复和编译速度变慢。模块化架构通过分离关注点，能够改善代码的组织结构并提高可测试性。本教程将指导您构建一个可投入生产的 C++ 实用程序模块。先决条件包括：C++17 编译器、对头文件和翻译单元的理解，以及一个代码编辑器。该项目的结构将公共头文件与实现文件隔离，以保持清晰的边界。头文件充当架构契约，声明可用操作而不透露实现细节。实用函数被放置在 CoreUtils 命名空间中，以避免全局命名空间污染。将接口声明与实现文件分离，使得修改后的单元可以独立重新编译。通过防御性处理空指针并防止计算中的整数溢出，增强了内存安全性。函数中包含针对空指针和大小为零的边界检查，以避免程序崩溃。累加保护机制利用更大的数据类型，防止在数组元素求和过程中发生溢出。实现了防御性流处理机制，以应对无效的用户输入并防止无限循环。本教程概述了一条构建管道，用于将翻译单元编译为对象文件，并将其归档为静态库。最后，将该静态库链接到主应用程序以供执行。

Building a Modular C++ Static Library: Clean Architecture, Encapsulation, and Safe Input Handling dev.to

RSS Hunter • 今天

超越通过考试：评估上下文感知 AI 编程代理的 100 维框架 🤖

AI 编码代理在生成代码方面日益娴熟，但评估其工程判断力仍面临重大挑战。仅通过测试并不足够，因为这无法保证 AI 对架构上下文、项目约束或历史决策的理解。随着 AI 从代码片段转向仓库修改，这种上下文正确性变得至关重要。当前的基准测试（如 SWE-bench）正在演进以应对现实世界的软件工程问题，但也面临任务质量和污染等挑战。作者提出应评估 AI 代理在适应相关上下文变化的同时，在无关上下文变化时保持稳定的能力。这涉及测试上下文适应性和上下文稳定性，超越简单的通过/失败指标。关注点应从“多少上下文”转向“哪些上下文”、“何时”以及“多可靠”。将仓库上下文视为具有生命周期的动态实体，对于长期项目至关重要。未来的基准测试应是动态的，以反映软件开发的演进特性。最终的问题是：AI 代理能否在变化的软件环境中保持稳健的工程判断力，涵盖架构、需求、依赖项和团队规范。这一复杂问题需要多样化的思维方法，这些方法可通过定义的“视角”进行结构化，以支持可视化、解释和分析。

Beyond Passing Tests: A 100-Lens Framework for Evaluating Context-Aware AI Coding Agents 🤖 dev.to

RSS Hunter • 今天

如果表单包含回调函数，则它不可移植

真正的可移植表单形式不仅需要 JSON 序列化，其验证逻辑、条件判断和提交逻辑也必须具备可移植性。标准表单库通常将行为嵌入回调中，导致其不可移植，不适用于后端生成或多应用场景。尝试将回调序列化为源代码或发明紧凑的领域特定语言（DSL）会引入显著的安全与维护风险。相反，应通过可序列化的表达式树以声明式方式表示行为。这种方法支持可检查、可版本化且独立可验证的数据结构。虽然原始表达式树较为冗长，但类型化的作者 API（如 TypeScript 构建器）可以抽象这一复杂性，生成规范的 JSON 契约。该契约作为通用事实来源，使各种前端和后端能够一致地解释和验证表单。关键在于，必须谨慎处理位置集合，以避免在提交时静默改变数据身份。可移植表单系统还必须采用健壮的验证与安全机制，以安全地处理不可信输入，防止诸如灾难性回溯或无效配置等问题。Modyra 所探索的这一架构方法，将复杂性从单个应用转移至共享基础设施。其目标是确保在不同运行时中含义一致，而非渲染一致。核心挑战在于确定有多少行为可以编码为可移植数据，同时避免使契约过于复杂。

Your Form Is Not Portable If It Contains Callbacks dev.to

RSS Hunter • 今天

Astro 中的静态表单：在无服务器环境下处理提交

Astro 站点非常适合静态内容，但在处理表单提交时面临挑战。onsubmit.dev 提供了解决方案，允许表单 POST 到外部端点，从而无需设置服务器端 API 路由。这对于 GitHub Pages 等静态托管环境非常理想。最简单的方法利用原生 HTML 表单行为，无需客户端 JavaScript 或水合组件。这种方法确保即使在没有启用 JavaScript 的情况下，表单也能正常工作。它避免了配置 Astro 服务器端端点的复杂性，并保持静态部署真正为静态。Astro 的理念与此零 JavaScript 模式高度契合，因为它避免了为简单表单传输不必要的客户端运行时。随后可以通过 JavaScript 叠加渐进增强以提升用户体验，但这不应成为提交的前提条件。这包括内联加载状态和就地反馈等功能。必须牢记，敏感信息（如 API 密钥）绝不应暴露于浏览器端代码中。托管的表单端点可安全地处理敏感的服务器端逻辑。客户端验证仅用于提升用户体验，而非安全目的。此模式非常适合联系表单、反馈表单或等待名单等场景。对于更复杂的工作流，可能需要 Astro 服务器端路由或独立的后端。总之，使用外部端点可为常见的静态 Astro 表单需求保持简单的部署模型。

Static Forms in Astro: Handling Submissions Without a Server dev.to

RSS Hunter • 今天

那条永远不会出错的验证规则

作者的工作室通过一条涉及语言模型、文本转语音和渲染的自动化流水线制作动画儿童卡通。该流程的关键环节是验证门控，以确保内容准确无误。其中一道门控会检查口语单词是否与正在教授的字母正确匹配，从而防止向年轻观众传递事实性错误。当在全部现有剧集上测试这道字母检查门控时，它报告了大多数剧集存在问题，证明了其效用。然而，针对字母与单词配对的具体规则却未报告任何问题。经调查，作者发现验证所用正则表达式存在一个关键缺陷。该正则表达式本意是检查单词边界，却因字符串处理问题将'\b'误解析为字面意义上的退格字符。这导致该模式无法匹配任何现实文本，使得验证规则完全失效。该问题十分隐蔽，因为无效的模式编译时未报错且未产生输出，表面上看似功能正常。这种沉默掩盖了一个严重问题：该门控本应拦截包含事实错误的剧集。作者并非通过直接阅读代码发现此缺陷，而是遵循一条规则——用已知不良输入测试新门控。这一做法揭示了一个从未失败的门控的不可靠性。作者主张将故障输入保留为有价值的测试用例，并断言正向结果，将“在干净输入上无问题”的测试与“在脏输入上恰好出现此问题”的测试配对进行。他还强调应打印编译后的模式而非源代码，以发现差异。退格字符引发的 bug 是典型的“指示器报告无内容”案例，容易被误判为健康状态。修正正则表达式后，该门控成功识别出两集剧集中关于“以'P'开头的花”的不准确陈述。这种冗余源于将规则表述为关于世界的陈述，而非特定文件格式的约束，被证明是有益的。此次经历凸显了严格测试的重要性，以及自动化系统中静默失败的欺骗性。

The Validation Rule That Could Never Fail dev.to

RSS Hunter • 今天

reCAPTCHA：不仅仅是“我不是机器人”

CAPTCHA 已从其最初通过识别扭曲文本以区分人类与机器人的目的，发生了显著演变。这一初始方法虽然能有效应对早期计算机，但随着机器学习的进步而逐渐过时。当计算机在识别扭曲字符方面日益精进时，CAPTCHA 变得愈发复杂，导致用户体验下降，例如需要选择图像等挑战。这促使方法发生根本性转变，从直接向用户提出挑战转向分析交互行为。现代系统（如 Google 的 reCAPTCHA v3）现已采用先进的风险分析，为交互分配一个分数，以指示该交互来自机器人的可能性。该分数由融合多种信号确定，包括用户行为、设备及网络信息以及历史交互模式。例如，系统分析鼠标移动、打字速度和导航模式以检测异常。即使动作之间细微的时序差异也能揭示自动化活动。虽然系统不直接读取浏览器历史记录，但历史交互模式提供了至关重要的上下文。设备和浏览器环境同样提供了关于交互合法性的信号。信号融合将这些各种弱信号结合起来，形成强大的风险评估。因此，挑战的重心已从解决谜题转变为令人信服地模拟人类行为特征。尽管行为异常的用户仍可能受到挑战，但系统主要侧重于识别高风险交互，而非确证人类身份。这一演变已将 CAPTCHA 从简单的文本谜题转变为复杂的基于行为的图灵测试。

reCAPTCHA: It’s Not Just “I’m Not a Robot” dev.to

RSS Hunter • 今天

17 个免费、无依赖的 JS/PHP 组件，适用于您的下一个项目

本库提供 17 个独立且与框架无关的组件，专为无需 npm 或打包工具即可直接引入而设计。每个组件均为单个文件，按需封装其自身的 CSS 和 SVG，从而简化集成。其中 16 个为纯 JavaScript 实现，而"ac_pdf"为 PHP 实现，利用 FPDF 在服务器端生成 PDF。该集合包含多种工具，例如"ac_notif_modale"用于通知，"ac_note_etoiles"用于评分小部件，"ac_slider"用于增强型范围滑块。其他 notable 组件包括"ac_tags"用于标签输入字段，"ac_signature"用于签名板，以及"ac_fichier_upload"用于拖放文件上传。在丰富数据展示方面，"ac_graphique"提供无依赖的 SVG 图表，"ac_timeline"提供交互式时间线，"ac_agenda"提供具备多种视图的完整日历。映射功能由"ac_carte"提供，该组件会自动加载 Leaflet 以支持交互式地图。"Ac_big_select"通过 AJAX 搜索解决大型下拉列表问题，而"ac_onglets"则将 HTML 转换为可访问的选项卡。一个独特之处在于其方法和选项采用法语命名约定，这反映了其面向法语客户的起源。该库强调易用性，以"ac_graphique"的简单实例化示例为证。所有免费组件的完整演示和文档均可在线获取。此外，针对需求更高的应用，还提供高级组件如"ac_sidebar"以及高性能数据网格（"ac_datagrid"、"ac_datagrid_pro"）。这些数据网格共享同一引擎，并经过数百万行数据的测试，展现出强大的性能。

17 free, dependency-free JS/PHP components for your next project dev.to

RSS Hunter • 今天

Trae + SQLazy：编写复杂 SQL 的实用指南

AI 辅助数据开发正在重塑 SQL 编写方式，采用直接生成 SQL 或结合中间表示的分层方法。本文聚焦于 Trae（AI 规划）与 SQLazy（执行层）相结合的模型。该合作确立了"AI 规划 + 人工审查 + 确定性引擎执行”的框架。流程包括：加载项目知识、明确需求并分解任务后，Trae 生成逐步的 SQLazy 脚本（.nspl）；SQLazy 的 IDE 支持逐步执行、实时调试以及从单一脚本进行跨数据库编译。工作流程始于环境配置，随后通过提供详细的业务需求触发 Trae。最关键阶段是在 SQLazy IDE 中进行验证与修正，利用测试数据验证中间结果。四个真实案例展示了该方法论：统计聚合、多表合并、跨子组数据填充及金额分配。较简单的案例可一次性正确完成，而复杂场景如跨组数据填充和金额分配则需迭代修正。跨组填充案例凸显了当直接连接键不适用时，使用行号作为映射桥梁的重要性。金额分配案例最为复杂，需多次迭代以优化语法与逻辑，特别是在四舍五入及余数分配方面，以确保总额守恒。

Trae + SQLazy: A Practical Guide to Writing Complex SQL dev.to

RSS Hunter • 今天

Unity 中的上下文工程：如何在真实项目中让 AI 发挥作用

AI 编码工具在受控演示中的表现远优于复杂的 Unity 项目，原因在于缺乏完整的项目上下文。成功的 AI 集成需要提供明确的项目信息，包括 Unity 版本、包详情、架构边界和平台要求。上下文工程涉及对项目进行组织，使 AI 能够看到原本不可见的依赖关系，从而确保生成的变更既有用又可审查。相较于宽泛的功能请求，小而聚焦的任务配合清晰的验收标准更为有效。AI 绝不应猜测关键细节，如 Unity 版本、场景所有权、执行顺序或特定平台行为。自动化测试对于验证 AI 生成的代码至关重要，可将建议转化为可验证的证据。一份结构良好的项目简报应概述现有决策、禁止的变更以及“完成”的明确定义。任务应分解为可验证的单元，对于跨系统变更，应在编写代码前请求计划。开发者应衡量已接受的变更及其审查成本，而不仅仅是代码行数。目标是使 AI 成为高效的助手，而非未经验证的实验性代码的来源。

Context Engineering for Unity: How to Make AI Useful on Real Projects dev.to

RSS Hunter • 今天

扫描仪显示清洁。折扣码仍可使用 40 次。

对结账流程的自动化安全扫描未发现诸如 SQL 注入或跨站脚本等传统漏洞。一名初级渗透测试人员正准备根据扫描结果将该次 engagements 标记为无重大发现。然而，一名团队成员注意到一个用于应用折扣码的端点，在订单确认之前并未使该折扣码失效。这一设计缺陷意味着单次使用的折扣码可被并发多次兑换。通过并发发送相同的请求，一个单次使用的 50% 折扣码在数秒内被兑换了四十次。此类漏洞属于竞态条件（race condition），其成因在于检查代码有效性与将其标记为已使用之间存在时序间隙。自动化扫描器无法检测竞态条件，因为它们按顺序而非并发地测试请求。易受攻击的端点通常涉及“先检查后执行”（check-then-act）模式，例如兑换优惠券或提取资金。要利用竞态条件，请求必须同时发送而不仅仅是快速发送，以最小化网络抖动。Burp 的竞态条件标签页或 Turbo Intruder 等工具正是为此目的而设计。证明竞态条件存在的依据在于系统的最终状态，例如折扣码被应用的次数，而不仅仅是成功的响应代码。此类业务逻辑漏洞会被扫描器遗漏，需要人工调查并发应用行为。Codelivly 的资源与实验室专注于这些超越自动化扫描能力的先进漏洞。

The Scanner Came Back Clean. The Discount Code Still Worked 40 Times. dev.to

RSS Hunter • 今天

CAD-PHP 货币优势：为何马尼拉在 2026 年成为五倍性价比之选”

作者强调，美国基于软件的初创企业（SaaS）在招聘菲律宾工程人才方面具有显著的经济优势。他观察到美国与菲律宾开发团队之间存在巨大的成本差异，而大多数北美创始人却忽视了这一点。全球人才市场日益紧缩，基于地理位置的成本套利愈发难以忽视，尤其是在远程工作已成为常态的背景下。菲律宾拥有熟练的开发者、良好的英语能力以及有利的汇率，为持有强势货币的公司带来了可观的财务收益。5 倍的开发成本优势是真实存在的，正如一个项目所示：马尼拉团队的成本显著低于同等规模的美国团队。菲律宾开发者的高英语水平充当了生产力倍增器，最大限度地减少了沟通问题并节省了时间。时区差异可以通过异步沟通和结构化工作流程进行管理，甚至可转化为近乎 24 小时的开发周期。作者认识到，组建一个拥有强力领导的 cohesive 团队，比单独聘请一位“明星”开发者更为有效。创始人可以采取具体行动，例如研究汇率、识别小型试点项目，并与那些成功在菲律宾招聘的人才建立联系。这些举措有助于初创企业优化其资金跑道，并获取宝贵的人才库。理解并利用菲律宾开发者的成本效益，是提升效率与可持续性的战略举措。作者主张利用这些优势，构建更强大、更具可持续性的企业。

The CAD-PHP Currency Edge: Why Manila Is a 5x Bargain in 2026 dev.to

RSS Hunter • 今天

🚀 发布 Pythonaibrain-Warden (v0.1.0)：面向工业级应用的、受 npm 启发的 Python 包与环境管理器

Warden 的发布（pythonaibrain-warden v0.1.0）旨在解决 Python 包管理中速度与可复现性之间的冲突。Warden 引入了受 npm 启用的工作流，具备确定性锁文件、虚拟环境隔离以及离线构建能力。其核心特性是 warden.lock 文件，该文件强制指定精确的制品 URL 和 SHA-256 哈希值，防止不期望的版本替换。精简的 CLI 架构确保了在终端或程序化使用时行为的一致性。Warden 原生环境及子进程调用中的绝对路径消除了跨平台解析问题。按文件划分的依赖目标允许在同一仓库内实现互斥的包需求。平台 wheel 选择能够正确解析 PyPI 二进制文件与系统标签。fix 命令可在不改变项目依赖的前提下解决环境漂移问题。Warden build 可创建自包含的离线包，实现零网络部署。最后，warden verify 提供 CI 门禁，以确保深度验证和可复现性。

🚀 Announcing Pythonaibrain-Warden (v0.1.0): Industrial-Grade, npm-Inspired Package & Environment Manager for Python dev.to

RSS Hunter • 今天

透过 MITRE ATT&CK 七大战术视角审视 AWS 安全事件

Akira Nishikawa，来自 Yamato Security 的安全工程师，在 HITCON 2026 上介绍了使用 Suzaku 和 Senrigan 进行 AWS 威胁检测的方法。本文总结了与 MITRE ATT&CK 企业战术对齐的 AWS CloudTrail 事件。作者强调，检测攻击依赖于对多个事件的关联分析，而非孤立事件，并按 ATT&CK 组织检测可为事件响应提供上下文。MITRE ATT&CK 框架包含 14 项战术，因其适用于 AWS 环境而被选用，特别是以下七项关键战术：初始访问、发现、凭据访问、持久化、权限提升、防御规避和影响。初始访问通常涉及被泄露的访问密钥，GetCallerIdentity 是常见的首个调用，用于识别账户和用户 ID。发现阶段涉及枚举 IAM 权限和资源，可疑模式如快速多区域 API 调用或 AccessDenied 事件增加，可能表明恶意活动。凭据访问频繁针对 AWS 实例元数据服务（IMDS），建议通过强制实施 IMDSv2 进行预防。持久化技术包括创建新的 IAM 用户、滥用联合令牌或利用带有 API Gateway 的 Lambda 函数。篡改信任策略和身份提供商也可作为持久化机制。

AWS Security Events Through the Lens of the Seven MITRE ATT&CK Tactics dev.to

RSS Hunter • 今天

AI 精灵生成器：将 2D 角色美术转化为游戏就绪动画

游戏开发常面临角色美术创作与可用动画资产之间的瓶颈。Spritix AI 是一款专为解决此问题而设计的 AI 精灵生成器，能够将单个 2D 角色插画转化为可复用的游戏动画集。工作流程包括上传角色图像，选择动作（如待机、行走、奔跑、跳跃或攻击），然后审查并迭代 AI 生成的结果。Spritix AI 通过参考原始角色，确保不同动作间在比例、调色板和风格上保持一致。虽然它并非艺术指导或手动清理的替代品，但能显著减少重复性设置任务。该工具输出标准文件格式，如 PNG、GIF 和 JSON，使其易于集成到 Unity、Godot 等各种游戏引擎或 Web 框架中。导出设置允许自定义帧数、单元格大小及循环修剪。独立开发者、技术美术、游戏 jam 团队以及尝试 2D 游戏的 Web 开发者均可从中受益。Spritix AI 旨在帮助等待动画的角色仅凭一张参考图像便栩栩如生。该工作流程可在 Spritix AI 官方网站上探索。

AI Sprite Generator: Turn 2D Character Art into Game-Ready Animations dev.to

RSS Hunter • 今天

我是如何在树莓派上构建 5 个开发者工具 API 并将其发布到 RapidAPI 的

作者构建了一个小型 API 枢纽，以解决开发者常见任务中对可靠 API 端点的需求。这些任务包括 AI 提示词优化、JSON 验证、JSON 格式化与转换，以及文本可读性与 SEO 分析。技术栈采用 Python 的 FastAPI，部署在 Docker 容器中，并托管于树莓派 4 上。Cloudflare Tunnel 提供了无需开放路由器端口的安全远程访问，域名则通过 GitHub Pages 进行管理。该 API 枢纽已在 RapidAPI 市场发布。成功的关键因素之一是提供慷慨的免费层级，允许用户在承诺付费计划之前测试 API。搜索引擎优化（SEO）效果显著，特别是在博客文章中纳入 FAQ Schema，有效推动了自然流量并获得了 Google 答案片段。Cloudflare Tunnel 因其安全特性和易用性，被视为家庭实验室（homelab）托管的理想解决方案。然而，在 Reddit 的 r/programming 和 Stack Overflow 等平台上的推广活动因严格的自我推广政策而未能奏效。直接向开发者进行冷 outreach 也仅获得较低的回复率。作者得出结论：入站营销策略，如 SEO 和利用 API 市场，在推动采用方面更为有效。用户可以通过 RapidAPI 上的免费层级探索该 API 枢纽，或访问作者网站上的完整文档。

How I Built 5 Developer Tool APIs on a Raspberry Pi (And Listed Them on RapidAPI) dev.to

RSS Hunter • 今天

我用原生 JavaScript 构建了一个无依赖的侧边栏，支持拖拽和磁吸吸附。

ac_sidebar 是一个专为侧边栏组件设计的独特 JavaScript 类，其特点是不依赖任何框架、构建步骤或外部 CSS 库。它直接集成自身的 CSS 和 SVG 图标集，从而实现完全自包含。该组件提供两级菜单，采用递归结构并支持基于角色的过滤，允许在菜单为空时自动隐藏。它支持五个位置：左侧、右侧、顶部、底部，或可拖动的“自由”模式（带磁性吸附）。侧边栏可折叠为图标导轨，或隐藏于汉堡按钮之后。它还支持每个条目显示计数徽章，允许在同一页面加载多个实例，并可通过 localStorage 持久化状态。开发者可直接使用配置对象实例化 ac_sidebar，也可从外部 JSON 文件加载。一个显著特点是其配置键和值采用法语，这反映了其最初是为法语客户开发的。例如，"gauche" 表示“左侧”，"clair" 表示“浅色”。该类属于 artisan-code.fr 维护的一系列独立、无依赖的 JavaScript/PHP 类集合的一部分。它专为那些使用完整框架显得不必要或过度的项目而构建。

I built a dependency-free sidebar with drag-and-drop and magnetic snapping , in vanilla JS dev.to

RSS Hunter • 今天

MCP解决不了的问题

本文探讨了多能力协议（MCP）在复杂生产工作流中的局限性，并以员工离职为例进行说明。尽管 MCP 标准化了工具调用和安全控制，但其本身并未内在地解决业务逻辑或权限问题。系统可以确认工具的存在及参数有效性，却无法判断管理者是否真正有权更改离职时间。文章强调，传输授权与业务授权截然不同：前者仅验证客户端对服务器的访问权限，而不验证业务操作的有效性。生产工作流涉及多重身份：请求者、执行者、主体和审批人。若将这些身份合并，将导致审计轨迹失真。一个健壮的运行时环境需要一份紧凑的记录，即“执行信封”，以在调用具有后果的工具之前解释为何允许该操作。该信封包含权威事件、策略版本和执行后时间戳等细节，将操作与官方记录关联，防止过早或未经授权的操作。若关键事实发生变化，审批可能会失效，因此需要在执行临近时重新验证关键信息，如就业状态和法律保留。写操作期间的超时并不等同于失败，这凸显了工具需要暴露执行细节（如幂等性键和状态查询）以指导重试或 reconciliation 策略的必要性。最终，工作流完整性的责任是分布式的：主机负责工具暴露，运行时负责评估策略并处理恢复，MCP 服务器负责验证请求，目标系统对其自身记录具有权威性。实施这些控制存在成本，但对于账户禁用等高后果操作而言，精确的权限、当前证据和失败语义至关重要。

What MCP Doesn't Solve dev.to

RSS Hunter • 今天

Spring Data 测试可能遗漏的内容：超越 Hibernate 持久化上下文的测试（第 7 章）

每个 EntityManager 都维护一级缓存，即当前持久化上下文中实体的身份映射。当对已管理的实体调用 find() 时，Hibernate 会返回现有对象而无需查询数据库，这是一级缓存的标准行为。然而，使用 @DataJpaTest 的标准 Spring Data 测试可能会错误地验证该一级缓存状态，而非实际的数据持久化。这可能导致关键问题（如约束违规或缺失的列映射错误）在生产环境中才暴露。本文介绍了一种测试架构，旨在强制进行真实的数据库交互，从而确保测试能够验证真正的持久化行为。该架构采用显式的 EntityManager 清除策略、通用测试夹具以及内存隔离。一个仅用于测试的代理层封装了 DAO 操作（如 create()、update() 和 delete()），并在每次写入后自动调用 EntityManager.flush() 和 EntityManager.clear()。这迫使 Hibernate 将更改写入数据库，随后清除一级缓存，确保后续的读取操作直接从数据库获取数据，而非从缓存对象中获取。该代理层仅限于测试范围，不会对生产代码造成任何性能影响。对于读取操作（如 loadById() 或自定义 @Query 方法），代理层不会介入，因为这些操作在清除缓存后要么获取最新数据，要么本质上会发出真实的 SQL 语句。此外，使用 TablesEraser 工具在每个测试前清空所有表，以确保架构干净，并防止跨测试出现二级缓存污染或批处理副作用等问题。该过程使用 DELETE FROM 语句，尊重事务并提供安全回滚。可重用的抽象测试类（如 AbstractCrudTestCase 和 AbstractSearchableTestCase）为常见的 CRUD 和搜索功能提供共享断言。这些抽象类处理结构相同的测试用例，减少样板代码，而具体测试类则实现特定领域的载荷生成，并添加针对独特查询方法的测试。这种分层方法确保基类管理通用行为，而具体的 DAO 可以根据需要扩展和自定义。该系统有效性的一个关键示例是 testSearchNullParams 测试用例，该用例专门检查搜索操作的边界条件。此测试在早期版本的 search() 实现中暴露了一个问题：当传入 null Params 对象时会出现 NullPointerException。这验证了该设计在部署前捕获真实世界问题的能力，从而确保了系统的健壮性。

What Spring Data Tests Can Miss: Testing Beyond Hibernate’s Persistence Context (Chapter 7) dev.to

RSS Hunter • 今天

Construyendo un recomendador de emparejamiento de expertos

本文描述了一个复杂的推荐系统，旨在将需要专业知识的用户与合格的专家进行匹配。与典型的推荐系统不同，该系统面临独特挑战，包括专家容量有限以及错误推荐的代价高昂。系统采用混合检索方法，利用倒数排名融合（Reciprocal Rank Fusion）整合来自多个独立专家查找器的结果。评分机制是多种因素的加权组合，包括显式的方向匹配度、语义相似度、技能重叠度、专家容量、专家质量、专业匹配度以及公平性。专家质量采用饱和指数函数来衡量经验，防止资深专家完全占据主导地位。公平性机制引入曝光的对数衰减，确保较少被推荐的专家仍能获得展示机会。重要的是，该系统以全局分配问题而非个体 Top-N 推荐的方式运行，以避免最热门的专家被过度请求。系统使用贪心分配算法，在尊重专家容量限制的前提下，优先匹配得分更高的组合。数据层聚焦于可辩护的统计数据，以确定哪些技能具有价值。这包括对数据源进行加权并应用时间衰减以反映时效性，使用加权中位数以处理偏态数据分布，并按角色、资历和经验进行分层，以避免将技能价值与资历混淆。对于技能价值，系统采用自助法置信区间而非点估计，从而提供更稳健的度量。一次关键的预演揭示了显著缺陷，包括一项过于激进的排除规则严重限制了专家可用性，以及推荐结果缺乏清晰依据的倾向。此外，“热门”徽章因缺乏有意义的基准线而导致数值虚高。这些发现凸显了在复杂推荐系统中谨慎实施和持续评估的重要性。

Construyendo un recomendador de emparejamiento de expertos dev.to

RSS Hunter • 今天

使用 Next.js 和 Laravel 构建 PickTool：打造软件发现平台的经验教训

寻找合适的软件颇具挑战，原因在于选项过多且通用型对比文章泛滥。PickTool 旨在通过提供关于 AI 和 SaaS 工具的结构性信息来解决这一问题，涵盖功能、定价、使用场景及对比分析。该平台采用解耦架构，前端使用 Next.js，后端使用 Laravel，从而实现各组件的独立演进。内容以关系型方式建模，在类别、工具、指南和对比之间建立相互关联的数据，以支持有意的内部链接。创建者认识到，早期在内容不完整的情况下进行扩展可能适得其反，导致页面内容单薄且信息不一致。因此，采取聚焦策略，每次强化一个主题集群，例如电子邮件营销。搜索引擎优化（SEO）自应用架构之初便已融入，每个可索引页面均需具备特定的 SEO 要素。性能也被视为内容问题，致力于保持初始页面加载高效，并避免不必要的数据加载。维护解耦后端与前端之间的一致性至关重要，以确保公开页面拥有可预测的数据。对于对比平台而言，透明度极为关键，PickTool 正致力于阐明工具评估方法。若重新开始，创建者将首先聚焦于一个狭窄的类别，定义最低发布要求，并基于数据模型设计内部链接。同时，将发现内容与编辑内容分离，并在工作流程中纳入审计机制。未来优先事项包括加强电子邮件营销主题集群、改进工具页面与对比分析，以及完善评分方法论。PickTool 是一个持续演进的项目，专注于整合产品设计、数据建模、性能优化与编辑标准。

Building PickTool with Next.js and Laravel: Lessons from Creating a Software Discovery Platform dev.to

RSS Hunter • 今天

规划优于执行：来自 157 次智能体运行的经验教训与 Orca 风格智能体集群的兴起

一项针对 157 个 AI 代理部署的显著研究表明，规划质量而非执行速度或模型规模，是决定成功的首要因素。这一观察推动了"Orca 风格”代理的开发，此类代理具有层级结构并优先进行规划。研究通过在不同应用场景中调整代理架构、规划深度和执行模型展开。将更多 token 分配给规划的代理，在任务完成率和减少回滚方面均取得了显著提升。其背后的经济原理在于：与执行过程中纠正错误的高昂成本相比，规划的成本极低。Orca 风格代理将规划与执行分离，由战略规划器处理复杂推理，由专用执行器执行定义的任务。专家拥有描述其能力的“技能卡”，共享记忆层则用于维护状态。关键的有效实现模式包括带验证门的递归分解、专家路由以及状态上下文传播。应避免的陷阱包括过度规划、专家碎片化过度、静默重规划以及上下文窗口囤积。对于多步骤工作流和高 stakes 操作，推荐使用 Orca 风格代理舰队。成本模型表明，对于复杂任务，Orca 风格架构更具优势，因重试和升级次数减少而降低了总 token 成本。AI 代理的未来发展很可能聚焦于通过专用工具和库增强规划能力。核心洞见在于：深思熟虑的规划是代理工作的最关键方面。实施 Orca 风格规划可从单个规划函数开始，该函数分解目标并验证每一步。

Planning Over Execution: Lessons from 157 Agent Runs and the Rise of Orca-Style Agent Fleets dev.to

RSS Hunter • 今天

我的标题宽度守卫通过了所有测试。它测量的却是渲染器从未绘制的文本。

关于字幕分段不佳的用户投诉引发了一次 bug 修复，却引入了一个新的、细微的问题。原始问题是字幕被分割为固定长度的单词块，而忽略了句子结构，导致出现不合逻辑的断行，例如在句子中间强行截断。修复方案实施了更优的分段规则，包括尊重标点符号并针对每个块设定目标词数。关键改进是增加了渲染块的像素宽度上限，以确保其能适配屏幕。该宽度上限本意是测量实际渲染文本的宽度。然而，测量文本宽度的代码在测量前错误地将文本转换为全大写。这是由于借用了视频管线中另一部分刻意使用全大写以达成视觉风格的步骤。在所选字体中，全大写文本的宽度大于混合大小写文本。测量结果对全大写输入是准确的，但实际字幕仍以原始混合大小写渲染。这种差异导致宽度守卫误判文本宽度远大于实际值，从而强制进行不必要的分割，生成了单字块，用户体验甚至劣于初始问题。关键在于，所有自动化测试均通过，因为宽度测量函数对其接收到的输入（即全大写文本）运行正确。测试并未验证测量文本与实际渲染到屏幕上的文本是否一致。该 bug 仅由人工观看渲染后的视频时发现。此情况凸显了一个常见陷阱：生产环境与验证环境存在独立的代码路径，本应在文本变换等假设上保持一致。当这些假设发生漂移时，便会涌现出自动化测试无法捕捉的细微 bug。作者建议将变换函数在两条路径间共享，或定期采样并检查实际渲染输出，作为缓解策略。若仅依赖绿色的测试套件而缺乏人工监督，此类细微差异便可能持续存在而未被察觉。

My Caption Width Guard Passed Every Test. It Was Measuring Text the Renderer Never Drew. dev.to

RSS Hunter • 今天

四个报警槽位，三种故障模式：构建一个能够抵御睡眠、竞赛和超时的夜间排水机制

Claude Code 对话在设计上缺乏持久记忆，迫使用户反复重新解释上下文。这种长期记忆的缺失阻碍了生产力，尤其是在管理多个项目时。为应对这一问题，作者开发了一个夜间脚本，将 Claude Code 日志导出到 Obsidian 仓库。这一自动化流程消除了手动总结的需求，确保知识得以保存，无需依赖用户的意志力。选择 Obsidian 是因为其本地 Markdown 文件、Git 版本控制以及链接功能，从而构建了一个高效的外部大脑。脚本开发过程中遇到了三个关键故障，促使采用稳健的三层架构设计。当 Mac 在脚本执行中途进入睡眠时，会出现睡眠冻结问题，导致处理未完成。当计划任务运行与手动运行发生重叠时，会发生双重执行竞态条件，引发 Git 冲突。此外，当处理大量日志超出脚本时间限制时，会出现超时故障。这些故障促使实施了多槽位重触发机制、使用 caffeinate 防止睡眠，以及基于步骤标记的幂等重试。该设计确保即使在中断后，处理也能从断点处继续。当前系统具备四层架构，从 Claude 会话日志开始，依次经过原始对话文件、Obsidian 仓库，最终到达私有 Git 仓库。脚本的多个计划槽位提供了冗余性，允许后续运行拾取任何未完成的任务。caffeinate 用于防止系统睡眠，锁目录则防止脚本并发执行。通过标记已完成步骤实现幂等重试，使脚本能够跳过已处理部分。这确保了每日摄入流程即使遭遇故障，最终也能完成。launchd plist 配置及 PATH 调整（包括 nvm 节点发现）确保脚本在其最小执行环境中可靠运行。早期检查对 /bin/bash 的完全磁盘访问权限，以防止因 macOS 隐私保护导致的静默失败。脚本利用带有 GNU coreutils 的 timeout 的 run_to 函数，确保进程终止，即使初始信号被忽略。这一全面设置为 Claude Code 对话构建了一个具有韧性的外部记忆系统。

Four Alarm Slots, Three Failure Modes: Building a Nightly Drain That Survives Sleep, Races, and Timeouts dev.to

RSS Hunter • 今天

ESP32 + Python：从微控制器到物联网

本文介绍了一系列关于使用 ESP32 与 Python 进行物联网（IoT）项目的教程。ESP32 是一款功能强大的微控制器，内置 Wi-Fi 和蓝牙功能，能够与传感器交互并控制设备，本质上可视为 Arduino 的进阶版本。Python 是一种高级编程语言，语法可读性强，于 1991 年首次发布。它用途广泛，应用于多个领域，包括硬件通信。物联网（IoT）指通过通常连接至互联网的网络进行数据收集与交换的物理设备；这些设备往往能够自动执行任务。ESP32 与 Python 的结合架起了硬件与软件之间的桥梁，使交互式与联网应用成为可能。例如，ESP32 可读取传感器数据并通过 Wi-Fi 发送，以便进行处理并触发相应动作。这种协同作用为构建物联网及其他软硬件项目奠定了坚实基础。本入门文章为后续深入探讨实际案例与理论的文章奠定基础，旨在教授如何使 ESP32 与 Python 实现高效通信。

ESP32 + Python: From Microcontroller to IoT dev.to

RSS Hunter • 昨天

99% 的 token 准确率，零学习。关于使用 RL 微调视觉模型的田野笔记。

作者回顾了微调视觉 - 语言模型的经历，指出许多失败源于操作问题而非算法缺陷。一次 18 小时的监督微调显示 token 准确率达到 99%，但实际评估指标——多项选择题准确率——却未发生变化。这是因为监督过程针对自由文本推理，而评估仅针对提取出的单一答案，体现了代理指标漂移。一个 GRPO 训练器因两个库在序列长度上存在分歧而崩溃，图像填充 token 被重复计数，暴露了组件边界处的集成缺陷。作者认识到，此类 monkeypatches 需要廉价的回归测试，以防止错误被静默重新引入。一个显著的强化学习循环在较长时间内呈现学习停滞，最终被追溯至奖励管道中的标签噪声以及优势信号反转。这种“安静”的失败没有崩溃，仅表现为学习缺失，凸显了对奖励计算进行彻底审计的必要性。这些经验促成了所有训练运行必须遵循的关键“训练器规则”：在提交计算资源前执行冒烟测试；确保运行采用故障关闭的门控机制，防止未评分的运行被误判为已评分；严格区分基础设施故障与模型性能不佳。至关重要的是，仅保留的评估指标被视为真正的裁决者，其余指标仅作为遥测数据。作者强调，这些“枯燥”的规则对于获得可信结果至关重要。

99% token accuracy, zero learning. Field notes from fine-tuning vision models with RL. dev.to

RSS Hunter • 昨天

日志级别设计与轮转：为何应用程序使用 DEBUG/INFO/WARNING/ERROR

应用日志使用不同的标签，如 DEBUG、INFO、WARNING 和 ERROR，这些标签主要作为过滤阈值。Python 的 logging 模块定义了五个级别，从 DEBUG（10，表示细粒度细节）到 CRITICAL（50，表示应用故障）。将记录器的级别设置为 INFO 意味着仅记录数值为 20 或更高的消息。这使得开发人员可以在不干扰正常运行日志的情况下嵌入详细的诊断语句，仅在需要调查时激活它们。示例应用 maintenance_agent.py 将日志输出路由到 RotatingFileHandler 和 StreamHandler，初始级别设置为 INFO，因此通常抑制 DEBUG 消息。应用中日志调用的分布反映了其设计假设：INFO 用于进度，WARNING 用于可恢复的问题，ERROR 用于真正的故障。CRITICAL 未被使用，因为该应用设计为独立处理站点特定故障。日志轮转由 RotatingFileHandler 实现，通过设置最大大小和备份数量防止日志文件无限增长。该机制确保保留日志历史的同时不占用过多磁盘空间。单独的处理器 _SiteLogCapture 收集单个站点维护运行的临时日志，用于生成报告或电子邮件，随后将其丢弃。这展示了多个处理器如何对同一日志流进行不同目的的处理：长期历史记录与临时特定用途。日志级别作为细节的垂直过滤器，而处理器选择则作为受众和目的的横向过滤器。

Log Level Design and Rotation: Why Apps Use DEBUG/INFO/WARNING/ERROR dev.to

RSS Hunter • 昨天

相同的 Token，不同的 DNA。为何德克萨斯的笔记本不应沦为客厅里的摆设。

大多数代理重设计仅流于表面，缺乏真正的变革。"/reimagine-it"合约要求从源文本中提取所有名词、日期和颜色，并据此生成一个独立的产物，如网页或信息图海报。关键原则是：具有相同命令令牌的多个源不得共享布局 chrome。主要失败情形是重设计仅在金色布局上替换名词。例如，"Jules Ice Cream"的输出不得类似于"Texas notebook"的布局。该技能必须刻意避免这种表面相似性。"Texas notebook"应生成代表德克萨斯州实际旗帜的 SVG，而非通用的金色星标徽标；同样，"Jules Ice Cream"应唤起冰淇淋店的环境氛围，而非带有甜筒的德克萨斯州地图。此处所指的信息图是指具有常规比例编码且表格无损的纸质海报，而非仪表盘或简历图表。AntV Infographic 是结构指南，而非可直接导入的模板。该项目可通过画廊、GitHub 仓库以及各类插件/CLI 命令访问。错误的输出包括：与德州金色无法区分的 Jules Ice Cream 设计，或生成了源文本中不存在的名词。

Same tokens. Different DNA. Why a Texas notebook must not become a parlor. dev.to

RSS Hunter • 昨天

在您自己的硬件上运行AWS CLI的方法

开发人员常使用 AWS CLI，但其默认假设可连接至 amazonaws.com，这在离线环境中会失效。这迫使团队为本地部署维护一套独立且昂贵的工具链，从而导致运维模式出现分歧。Spinifex 通过在用户自有硬件上提供与 AWS 完全一致的 API 接口来解决这一问题。这意味着现有的 AWS CLI 命令、SDK 以及 Terraform 等工具可无缝运行。用户只需在 AWS 配置文件中更改端点 URL，或在单个命令中使用 --endpoint-url 标志即可。Spinifex 提供真实的 EC2 计算、EBS 卷、S3 存储和 EKS 集群，而不仅仅是模拟对象。这使得断网部署能够使用与云端环境相同的自动化流程、Terraform 配置和 IAM 策略。它满足了断网现场部署、安全设施、数据主权以及稳态工作负载成本管控等需求。现有脚本仅需更改端点覆盖即可运行。对此感兴趣的用户，可获取完整的设置指南及免费沙箱环境。

Running the AWS CLI Against Your Own Hardware dev.to

RSS Hunter • 昨天

如何在单个窗口中并行运行五个编码代理

NestMux 是一款桌面应用程序，允许用户在独立窗格的网格中运行多个 AI 命令行界面（CLI）和终端。每个窗格作为一个独立的环境运行，由各自的账户和 Git 工作树进行隔离。其核心功能依赖于通过 node-pty 启动 shell，重定向 HOME 目录，设置当前工作目录，并输入用户命令。一个关键特性是“广播”模式，该模式将单个按键输入同时发送到所有活动窗格，从而向多个 AI 代理发送统一的提示。这种简单的实现避免了复杂的协议，但意味着所有输入（包括控制命令）都会被无差别地广播。每个窗格资源的归属是一个重大挑战，因为 AI 代理通常作为子进程或重新父化进程运行，需要基于文件系统的启发式方法来确定属于特定工作树的进程。在审查方面，NestMux 为每个工作树生成并解析 Git 差异，并有意决定不对非常大的文件进行渲染，以防止性能问题。应用程序的状态（包括窗格配置和布局）会原子性地保存到 session.json 中，以确保从崩溃中恢复。然而，终端回滚和会话历史不会在重启后保留；窗格会重新生成，CLI 会重新运行。这一设计选择虽然通过将代理视为不透明进程来简化新代理的集成，但也导致了一个显著的限制：缺乏跨窗格的统一日志或时间线，使得跟踪交互和变更变得困难。这种缺乏跨窗格洞察力的情况，是不解析单个代理输出的权衡。NestMux 支持跨平台、采用本地优先架构，并在发布阶段免费提供。

How we run five coding agents side by side in one window dev.to

RSS Hunter • 昨天

我把坏BANANA威胁观测站推向公众

该项目源于一个长期愿望：打造一款以证据优先于炫目展示为核心理念的威胁可视化工具。许多现有的威胁地图虽视觉引人入胜，却往往缺乏分析深度，其用途多偏向营销或教育。作者旨在构建一种兼具观察感与动态感，但底层数据能严格支撑界面呈现的工具。由此诞生了 badBANANA 威胁观测站（badBANANA Threat Observatory），该观测站监控 CISA KEV、ThreatFox 等数据源。关键在于，重点在于稳健的证据处理，而非仅关注仪表盘本身。作者对系统进行了细致审计，以防止夸大已知信息，解决诸如缺失数据被归零、无效指标被重新分类等问题。这包括对 IOCs 和哈希值实施更严格的验证、更安全的导出机制以及审慎的部署关卡。当前版本清晰区分了来源报告的内容、变更项、保留项与拒绝项，确保有界 API 呈现为有界、失败来源显示为失败、缺失的置信度保持为缺失。观测站并非旨在替代分析师或暗示一场实时全球网络战争，而是用于在不静默填补空白的前提下检验证据。公开版本历经多次审计与修复，以确保其完整性。

I pushed the badBANANA Threat Observatory public dev.to

RSS Hunter • 昨天

我花了一天时间修复了三个真实的开源 bug。

作者参与了 DEV Summer Bug Smash 挑战赛，专注于实现真实的修复，并配套提供在实施前失败、实施后通过的测试。其工作涵盖三个开源项目，历时一天。首个修复针对 OpenClaw（一款 AI 助手），该问题在于取消设置变更时错误地触发了网关重启；修复方案确保取消操作会回滚至实际运行的配置，从而避免不必要的重启。第二个修复涉及 Rocket.Chat 的设计系统 Fuselage，其中 Slider 组件的轨道填充在右至左（RTL）语言环境以及非零最小值情况下渲染错误；该问题通过将填充位置基于组件状态进行计算，并正确适配语言环境方向得以解决。第三个修复发现于 npmx.dev，其无法正确渲染许多复杂的 TypeScript 类型，而是显示为"unknown[unknown]"；作者为此实现了针对多种 TypeScript 类型的新增格式化器，显著提升了 npm 包 API 文档的显示效果。每项修复均以拉取请求（pull request）形式提交，包含描述性提交信息及配套的测试。作者认识到，构建小型、可复现的 bug 案例至关重要，先失败的测试极具价值，而理解项目的约定能节省时间。这一天最终在三个项目中实现了三个可运行的修复，每个修复均附带通过的测试套件。

I spent one day smashing three real open source bugs dev.to

RSS Hunter • 昨天

Ryker：面向 HTML 和 Markdown 的浏览器内可视化编辑器，支持为智能体就绪的变更导出

HTML 对大型语言模型的实用性正在增长，但手动编辑生成的 HTML 文档往往繁琐。传统上，HTML 通过源代码进行编辑，这在开发中行之有效，但在校对或进行小幅内容调整时则不够便捷。为解决这一问题，Ryker 这款 Chrome 扩展程序被开发出来，用于对 HTML 和 Markdown 进行可视化编辑。Ryker 将这些可视化编辑记录为可直接用于提示的变更请求。其目的是促进更直观的文档审查流程。编辑直接在文档本身上进行，Ryker 随后将这些修改捕获为机器可读的文本。这些变更请求可返回给语言代理以执行实施。该系统旨在补充而非完全取代代理的角色，使代理在管理最终执行的同时，人类可进行自然的审查。Ryker 支持在浏览器中直接编辑实时 HTML 页面，以及编辑本地 HTML 和 Markdown 文件。所有记录的编辑均可导出为可直接用于提示的变更请求。更多信息及安装方式请参见提供的链接。

Ryker: In-Browser Visual Editor for HTML and Markdown with agent-ready change exports dev.to

RSS Hunter • 昨天

从 Demo 到生产：那些真正让 AI Agent 敢上线的护栏

大多数在线 AI 代理仍停留在演示阶段，难以投入生产，主要原因在于缺乏稳健的工程实现。作者介绍了一个开源脚手架，旨在填补这一空白，聚焦于三个关键但不起眼的工程方面。首先是质量门禁，用于对代理输出进行评分，防止次优结果被发布；该门禁在采取任何行动前充当关键检查点。其次是审批门禁，针对金融交易等敏感操作暂停代理，交由人工审核，从而确保人工监督并提供合规审计轨迹。第三是模型无关的提供者，支持在不同大语言模型（LLM）供应商之间轻松切换，避免供应商锁定并实现成本灵活性。该脚手架还强调将业务流程建模为状态机，而非单纯的聊天循环；这种显式建模强制有效的状态转换并实现受控的自主性。作者提供了一个加急订单工作流的实用示例，以演示这些功能。该脚手架是一个小巧、可读性强的工具集，优先遵循模式设计而非构建复杂框架。其 MIT 许可证鼓励采用与贡献。作者是一位经验丰富的 AI 代理工程师，可提供关于构建生产就绪型代理系统的咨询服务。核心观点是：稳健的护栏对于将 AI 代理演示转化为可信的生产系统至关重要。

从 Demo 到生产：那些真正让 AI Agent 敢上线的护栏 dev.to

RSS Hunter • 昨天

从演示到生产：让 AI 代理安全发布的护栏

目前网络上所见的大多数 AI 代理（AI agents）仅是演示原型，因未解决关键的工程挑战而无法投入生产。真正的难点不在于调用 AI 模型，而在于防止代理执行有害操作。部署 AI 代理不仅需要聊天界面，更需具备健全的质量门禁（quality gates）、人工审批流程以及模型供应商的灵活性。作者已开发出一套小型开源框架以应对这些问题。质量门禁确保代理输出在执行前符合预定义标准。审批门禁对于授权重大操作（如金融交易）至关重要，可防止未经授权的变更。采用与模型无关（model-agnostic）的设计，便于在不同 AI 供应商之间灵活切换，避免供应商锁定并有效管控成本。业务工作流应建模为显式的状态机，而非开放式的聊天循环，以实现更优的控制。该框架整合了上述组件，以极简代码展示了可投入生产的完整流程。此方法将安全与可靠性置于首位，将功能性系统与单纯演示区分开来。在构建 AI 代理时，首先建立这些护栏（guardrails）至关重要，唯有如此才能打造企业可信赖的 AI 代理。企业往往渴望在可控的前提下实现自主性，而这一结构化方法正提供了相应支持。作者拥有微软工作经验，特此提供此脚手架（scaffolding）以协助开发者。

From Demo to Production: The Guardrails That Make an AI Agent Safe to Ship dev.to

RSS Hunter • 昨天

Next.js 16.3 中的类应用用户体验

Next.js 16.3 通过启用类应用的速度与流畅性，同时保留服务端渲染的优势，增强了应用开发。四个演示应用展示了即时导航和缓存组件等功能。部分预取、乐观更新和 Suspense 流式传输等功能共同提升了用户体验。Next.js 团队举办了一场问答活动（AMA），讨论了 Next.js 16.3、性能以及应用路由（App Router）。一份指南解释了如何使用 useActionState 和 useOptimistic 协调乐观更新，以实现流畅的 UI 交互。新的 next/root-params API 简化了服务端组件中的区域处理。React 的 browser() API 文档现已在 Canary 版本中可用。Better Auth 1.7 提供了强大的企业级身份支持及基于标准的登录流程。Next 16 日历演示探讨了异步 React 及其他 Next.js 16.3 功能。Formisch v1 是一款基于模式的表单库，现已在多个框架中达到生产就绪状态。文章《AI 正在消除软件工程的中间阶层》讨论了 AI 如何将工程师的价值从编码转向决策制定与系统理解。

App-like UX in Next.js 16.3 dev.to

RSS Hunter • 昨天

“我在 Discord 的 OwO Bot 上构建了一个玩二十一点的 Python 机器人 🃏"

本项目名为 GhoSty OwO BlackJack Farm，是一个基于 Python 的 Discord 自走机器人，旨在自动化 OwO Bot 中的 Blackjack 游戏。其目标是模拟人类操作节奏，在动作之间引入随机延迟，并实施工作/休息循环以避免持续活跃。该机器人采用基础 Blackjack 策略进行下注与决策，避免使用如 Martingale 系统等高风险方法。项目使用特定旧版本的 discord.py 库，因为新版本已移除必要的自走机器人功能。设置过程包括将 Discord 令牌写入配置文件并安装依赖项。项目的核心在于其动作间隔的动态随机化以及用于休息的智能睡眠调度。其下注逻辑基于标准 Blackjack 策略，而非随机概率。作者强调，这并非保证获胜的手段，因为庄家始终拥有数学优势。该实验旨在探索自动化原则、随机性在规避检测中的重要性，以及自动化系统中保守默认值的价值。该项目在 GitHub 上开源，并包含关于其教育用途及用户责任的免责声明。

I Built a Python Bot That Plays Blackjack on Discord's OwO Bot 🃏 dev.to

RSS Hunter • 昨天

从本地文件夹到 GitHub：使用 Git 和 GitHub 设置我的第一个项目：指南

管理本地文件可能会变得混乱，尤其是当存在多个项目版本时。Git Bash 用于跟踪代码随时间的变化，而 GitHub 则将这些变更远程存储于仓库中，提供备份及作品集展示功能。开始之前，请安装 Git 并配置用户名和电子邮件，随后验证安装是否成功。接下来，生成 SSH 密钥以安全地将 Git 连接到 GitHub。这包括运行 'ssh-keygen'，接受默认路径，并可选择跳过 passphrase。复制生成的公钥。将此公钥添加到您的 GitHub 账户设置中的"SSH and GPG keys"部分，提供描述性标题，并确保密钥类型为 authentication。使用 'ssh -T [email protected]' 测试 SSH 连接，以确认认证成功。对于首次提交，创建一个项目文件夹，进入该文件夹，并添加必要文件，如 README.md 和数据目录。在 README.md 文件中描述您的项目。在项目文件夹中使用 'git init' 初始化 Git，开始跟踪变更。使用 'git status' 查看未跟踪的文件，然后使用 'git add .' 将所有变更暂存以待提交。使用 'git commit -m "initial commit"' 提交已暂存的变更，并提供清晰的提交信息。现在，在 GitHub 上创建一个新的公开仓库，复制其 SSH URL。使用 'git remote add origin [SSH URL]' 将本地仓库连接到远程 GitHub 仓库。最后，使用 'git push -u origin main' 将已提交的代码推送到 GitHub。日常使用中涉及的关键命令包括：'git init'（仅执行一次）、'git status' 用于检查修改、'git add .' 用于暂存变更、'git commit -m "message"' 用于保存，以及 'git push' 用于上传至 GitHub。

From Local Folder to Github: Setting Up my First Project With Git and Github: A Guide dev.to

RSS Hunter • 昨天

Domux：一种用于边缘端智能家居指令理解的紧凑开源模型

语音和聊天助手面临将杂乱的自然语言准确转换为精确结构化指令的复杂任务。Domux 是由讯飞专为智能家居指令理解开发的开源模型。其核心功能涉及意图解析与槽位填充，以解释诸如“让这里更温馨”之类的用户请求。该模型基于 google/gemma-4-E2B-it 进行微调，构成一个紧凑的基础模型。Domux 支持多模态输入，可处理图像和文本。其主要部署目标为端侧或边缘侧，而非依赖大型云端模型。这种对紧凑规模的聚焦对于减少往返延迟、实现更本地化的家庭交互至关重要。将指令理解保留在设备端有助于提升效率与用户体验。Domux 可通过其 Hugging Face 模型卡获取，但访问可能受限。这项开源工作凸显了在实际 AI 生态中，面向具体任务的端侧模型的重要性。它证明，并非所有 AI 解决方案都需要庞大的云端模型即可高效运行。

Domux: a compact open model for smart-home command understanding at the edge dev.to

RSS Hunter • 昨天

BrunnerCTF：WordPressed to Root Writeup

该挑战涉及一个基于 Debian Trixie 镜像的 Docker/Kubernetes 部署，其中运行着 PHP 8.2/Apache 环境下的原生 WordPress 7.0.0 安装。初始访问是通过已知存在漏洞的插件 wp2shell 获得的，该插件提供了 www-data 权限的 shell。主要目标是提权，该环境已针对典型的容器逃逸和 SUID 技巧进行了有意加固，指向最近的 sudo CVE。侦察发现 Dockerfile 锁定了特定版本，特别是运行时镜像中存在的 gcc 和 libc6-dev，表明存在本地编译以进行提权的可能性。sudo 的存在进一步将焦点锁定在 sudo 本地提权漏洞上。docker-compose.yml 暴露了默认的 WordPress 数据库凭据。docker/entrypoint.sh 脚本至关重要，因为它在首次启动时生成随机的 WordPress 管理员凭据，并将其导出到容器环境中，Apache/PHP 工作进程等子进程可访问这些凭据。主题目录 brunnerne-docs 被有意设置为 root 所有但世界可读，这可能是针对 root 执行钩子的一个误导项。初始访问利用了 wp2shell-poc，这是一个针对 WordPress 7.0.0 的公开利用链，涉及 CVE-2026-63030（未认证盲 SQL 注入）和 CVE-2026-60137（在恢复管理员凭据后通过插件上传实现远程代码执行）。这获得了以 www-data 身份运行的反向 shell。以 www-data 身份进行的枚举显示这是一个加固环境，没有异常的 SUID 二进制文件、能力或世界可写的 root 所有文件。识别出 sudo 版本为 1.9.15p5，这是关键信息。在 /proc/*/environ 中搜索凭据发现了 WordPress 管理员凭据，但这些并非 sudo 的系统凭据。尝试使用这些凭据或默认密码执行 sudo 均失败。提权是通过利用 CVE-2025-32463 实现的，该漏洞影响 sudo 1.9.14 至 1.9.17 版本。此漏洞允许任何本地用户利用 --chroot/-R 选项，从自提供的 chroot 中加载攻击者控制的 NSS 共享库，从而在没有 sudoers 条目或密码的情况下以 root 身份执行任意代码。该利用涉及编译一个恶意的 NSS 模块以生成 root shell，搭建一个包含自定义 nsswitch.conf（指向该模块）的虚假 chroot 目录，然后通过执行 'sudo -R woot woot' 触发它。这成功获得了 root shell，从而能够访问 flag。根本原因是 WordPress 核心未认证 SQL 注入导致初始访问时的远程代码执行，以及 sudo 1.9.15p5 漏洞（CVE-2025-32463）导致的提权。修复方案是将 sudo 升级到 >= 1.9.17p1 版本。关键经验教训包括尽早检查特权二进制文件的版本，并识别如 gcc/libc6-dev 存在等提示，以判断是否可在目标上进行本地编译。

BrunnerCTF : WordPressed to Root Writeup dev.to

RSS Hunter • 昨天

如果无需再次构建登录页面，那会怎样？

在应用程序中构建登录页面通常始于对用户基础数据的存储，例如用于存储邮箱和密码的数据库表。最初，这些数据可能直接在数据库中管理。随着应用程序需求的发展，创建、更新和删除用户等用户管理功能会被添加到应用程序内部。这导致当出现具有类似登录和用户管理需求的新项目时，会产生代码重复。跨项目复制和修改现有代码会引发效率低下和潜在错误传播的问题。例如，在一个项目中修复的 bug 必须手动在所有继承该代码的其他项目中修复。这种模式凸显了为认证和用户管理等通用功能进行重复开发所面临的挑战。为解决这一问题，提出了两种主要方法：创建可重用的模块/库，或开发一个独立的专用应用程序来提供这些服务。后者通常更为高效，使项目能够专注于其核心功能，并集中维护。为此目的，已存在现成的解决方案，如 Auth0 和 Firebase Authentication。本文介绍了"Roled"作为一个特定的平台，用于集中式用户和角色管理，并将认证作为其功能之一。Roled 允许应用程序将认证和权限管理委托给单一平台，从而避免代码重复并简化维护。这种方法使得每个应用程序都能拥有自己隔离的用户和角色系统。

What if you don't have to build a login page again? dev.to

RSS Hunter • 昨天

理解 Git 工作流：工作目录、暂存区、提交与推送

Git 是一个至关重要的开源版本控制系统，用于管理项目并跟踪文件变更。它允许用户记录谁在何时做出了哪些更改。Git 支持创建本地仓库以管理项目历史。其关键特性是分支，提供隔离的工作区域，且不影响主项目。当分支上的工作完成后，可将更改合并回主分支。本文引导初学者在项目文件夹中初始化本地 Git 仓库，随后介绍如何在该文件夹中使用终端创建新文件。接着，文章解释如何暂存更改，即告知 Git 哪些修改应包含在下一次快照中。提交文件则将已暂存的更改记录为本地仓库历史中的快照。该过程涉及在 GitHub 上创建远程仓库，并使用特定 URL 将本地仓库与之关联。最后，使用 git push 命令将本地机器上的更改推送到远程 GitHub 仓库。掌握 Git 对于协作开发和良好跟踪的项目开发至关重要。

Understanding The Git Workflow: Working Directory, Staging, Commit and Push dev.to

RSS Hunter • 昨天

过去几年，我深度参与 Web3 领域：负责运营、构建产品，并向风险投资机构进行推介。以下是我挑选开发团队的方法：

雇佣传统按小时计费的开发团队对早期创始人而言构成最大的运营风险。一个五点评估框架可在建立合作关系前帮助筛选潜在的外部开发团队。提问的质量至关重要：优秀的团队会探讨业务逻辑和边缘情况，而非仅关注基础机制。成熟的开发团队会提出包含权衡方案的解决方案，而不仅仅是陈述问题。深入的行业生态知识必不可少，包括理解市场领导者如 Gauntlet 及其对参数的影响。此外，真正的合作伙伴会考量产品的全生命周期，而不仅仅是编码环节，这涵盖安全审计以及与关键服务的集成。高度的代理能力和主动性至关重要，顶尖团队会主动提供建议以防止重大错误。推荐的团队包括：DeFi Wonderland（核心 DeFi 领域）、ConsenSys（企业以太坊领域）、Woof Software（固定成果交付）以及 LimeChain（零知识证明解决方案）。归根结底，Web3 开发团队代表一项重大的运营风险，必须加以审慎管理。

I’ve spent the last few years deeply embedded in Web3: running operations, building products, and pitching to VCs. Here's how i pick a dev team: dev.to

RSS Hunter • 昨天

# 实时阻止 S3 数据外泄：分步事件响应

具有受损凭据的 EC2 实例正在从 S3 存储桶中窃取数据，从而触发 GuardDuty 警报。为立即阻止此行为，请通过实例 ID 识别受损的 IAM 角色。随后，通过附加一个拒绝策略来撤销该角色的所有活跃会话，该策略将使当前时间戳之前签发的凭据失效。此策略基于 aws:TokenIssueTime 条件，拒绝所有旧凭据的操作。该过程之所以有效，是因为拒绝检查会在每次 API 请求时执行，从而立即停止数据窃取。您可以通过检查 CloudTrail 中的 AccessDenied 事件来验证撤销操作，并通过测试对 S3 存储桶的访问来确认合法工作负载未受影响。在撤销凭据后，隔离受损实例至关重要，以防止攻击者获取新的凭据。虽然临时凭据最终会过期，但在主动数据窃取期间等待是不可接受的。在开发团队部署永久修复后，应移除该内联策略，以避免后续出现意外的访问拒绝。这种使用 IAM 策略的针对性方法优于更广泛的措施（如安全组隔离或存储桶级拒绝策略），后者可能导致更广泛的停机或无法解决根本原因。推荐的应急响应流程包括：识别角色、撤销会话、隔离实例，然后验证操作。

# Stopping S3 Data Exfiltration in Real Time: A Step-by-Step Incident Response dev.to

RSS Hunter • 昨天

我的数据工程第一周：配置我的工具

这标志着我开启了一段令人兴奋的旅程。我开始探索数据工程领域。我的首要重点是熟悉所需工具。我着手搭建并探索了 Dev.to、DBeaver、Aiven、GitHub 和 Git Bash，以及 Visual Studio。其中最令人兴奋的部分是，我成功将第一个项目上传到了 GitHub。我还花了一些时间学习如何将 DBeaver 与数据库连接，以及如何将 Aiven 与数据库连接，以构建流畅的工作流。过程中有时颇具挑战，尤其是在进行工具配置时。但这些挑战成为了我学习的机会。本周所学 - 如何搭建开发环境 - Git Bash 与 GitHub 的协作方式 - 如何在 GitHub 上上传和管理项目 - 如何使用 DBeaver 进行数据库管理下一步计划我的目标是继续提升在数据库、数据管道、Git、云技术以及其他数据工程工具方面的技能。

My First week in data Engineering:Setting Up My tools dev.to

RSS Hunter • 昨天