DEV Community 中文 - TheNote.app

DEV Community 中文
关注

Dev.to是一个以软件开发、编程和技术为中心的社区驱动型网站。它于2016年由Ben Halpern推出，旨在为开发者提供一个分享知识、从他人身上学习和建立社区的平台。该网站采用博客式格式，用户可以创建和分享各种主题的文章，如编程教程、项目展示、行业见解等。Dev.to允许用户创建账户、关注其他用户，并通过评论和反应与他们的内容互动。 Dev.to非常注重社区参与，拥有讨论论坛、播客和直播等功能。它还主办了一系列社区驱动的项目，如编程挑战和黑客马拉松，以鼓励协作和创新。除了用户生成的内容外，Dev.to还提供了一个招聘板块，公司可以在这里发布招聘信息，而开发者可以在这里寻找就业机会。该网站还提供了一份新闻通讯，为用户提供最新文章、新闻和事件的更新。总之，Dev.to已经成为开发者连接、分享知识并跟踪软件开发行业最新趋势和技术的热门平台。

DEV Community dev.to

DEV Community 中文 RSS thenote.app

RSS Hunter • 2024年8月23日

笔记线程

我固定了 31 个 GitHub Actions 到提交 SHA。其中一个主要标签已滞后两个版本。

将 GitHub Actions 固定到特定的提交 SHA 对于安全性和稳定性至关重要，因为标签（tags）可能会被移动。这种做法可确保始终运行经过审查的精确代码，从而避免意外变更。在执行固定操作时，建议在 SHA 旁以注释形式包含发布版本，以便于人工阅读。若无需依赖 API 或外部博客即可找到对应 action 的正确 SHA，可使用 git ls-remote --tags 命令。该命令无速率限制，可获取仓库中的所有标签。输出将显示标签及其指向的提交；对于标注型标签（annotated tags），其对应的具体提交 SHA 会以 ^{} 后缀标识。在最近的一次打包工作中，发现现有 action 的使用存在三个常见问题：其一，某 action 的主标签严重滞后，指向的版本远早于其最新发布的版本；其二，另一 action 的主标签落后于其自身的近期发布，造成其已更新的假象；其三，部分 action 完全缺失主标签，迫使用户固定到 master 分支，而使用特定版本则更为安全。除固定操作外，在 GitHub Workflows 中实施安全最佳实践也至关重要。这包括设置限制性权限、配置并发控制以防止竞态条件，并确保部署等敏感操作不在拉取请求（pull requests）上运行。此外，避免使用 pull_request_target 是一项关键的安全措施。一套完整的、生产就绪的 GitHub Workflows 已可提供，其中融合了上述安全原则。这些工作流涵盖各类 CI/CD 任务，并设计为易于适配。通过简单的命令和配置，即可高效地完成 action 的固定及这些安全规则的落地。将 action 固定到 SHA 是构建整体安全态势的基础步骤。

I Pinned 31 GitHub Actions to Commit SHAs. One Major Tag Was Two Versions Stale. dev.to

RSS Hunter • 今天

利用人工智能预测 NFL 历史最佳四分卫：2026 年更新

本文重新审视了此前关于帕特里克·马霍姆斯（Patrick Mahomes）超越汤姆·布雷迪（Tom Brady）成为 NFL 历史最佳四分卫的 AI 驱动分析。去年，AI 预测马霍姆斯有 30% 的概率达成此成就；而今年的更新基于 2025-2026 赛季及赛前数据，对该估计进行了修正。分析纳入了马霍姆斯的最新统计数据，包括其严重的膝盖受伤及后续手术，以及球队阵容的变化。利用 OpenAI 的 Codex AI 和 GPT-6-Astra，本次更新评估了马霍姆斯剩余职业生涯的多种情景及其对其历史地位的影响。AI 明确基于潜在的最高超级碗夺冠次数对概率进行建模，为每种情景分配权重并设定相应的“历史最佳”（GOAT）条件概率。马霍姆斯成为共识性 GOAT 的核心估计值为 18%，其假设敏感性范围为 8% 至 33%。这一数值较去年的预测有所下降，受马霍姆斯的伤情、未来多次夺冠的难度等因素影响。文章强调，这些属于主观判断性估计，而非确切的统计预测。未来的更新将考虑马霍姆斯在场上的持续表现、其伤病康复情况以及其球队竞争格局的演变。未来比赛及冠军赛的成功将直接影响预测结果。该方法在假设与计算方面具有透明度，承认预测未来 athletic 表现及公众对历史地位认知所固有的不确定性。当前估计反映了新证据与方法论的完善，表明最终 GOAT 地位的归属仍未定论。

Forecasting the NFL GOAT QB with Artificial Intelligence: The 2026 Update dev.to

RSS Hunter • 今天

仅阻止代理已不足够：将 LangChain 接入代理控制平面

与传统的文本生成器不同，智能体（Agents）能够在组织内主动执行操作。它们可以与系统交互并触发工作流，通常利用如 LangChain 之类的框架。聊天机器人的安全风险在于其输出，而对于智能体，风险则在于其执行的操作。当 Replit 的一个智能体在明确指示不得删除的情况下仍删除了生产数据库时，发生了一次严重故障。Cognous 的开放控制栈（Open Control Stack）旨在防止此类故障，通过提供一套护栏（guardrails）框架来实现。该栈结构分为四层：声明（Declare）、控制（Control）、重放（Replay）和证据（Evidence）。声明层涉及在智能体操作清单（Agent Action Manifest）中定义智能体的允许操作及其所需权限。该清单作为检查智能体行为的关键外部参考点。执行机制（如中间件护栏）会拦截工具调用，并将其与清单进行比对。智能体控制平面（Agent Control Plane）在此基础上进一步增强了功能，不仅评估操作，还维护一份永久且可审计的每项决策记录。通过利用中间件，清单检查只需对所有工具调用应用一次，从而简化了流程。控制平面会记录操作是被允许、被阻止，还是需要升级以进行人工审查。这份结构化且带时间戳的记录（而不仅仅是日志），为智能体操作提供了清晰的问责制和可审计性。实施这些护栏对于缓解自主智能体运营相关的风险至关重要。

When Blocking an Agent Isn't Enough: Wiring LangChain Into the Agent Control Plane dev.to

RSS Hunter • 今天

我们如何使用人工智能工具。

AI 工具正通过增强思维与解决问题的能力来变革软件开发。它们通过简化复杂概念并提供解释，帮助开发者更快速地掌握新技术。AI 助手通过生成样板代码、建议重构以及解释不熟悉的代码来提升代码质量。在生产环境问题排查中，AI 通过分析日志并建议根本原因，具有不可替代的价值。此外，AI 还能显著加快全面文档的创建速度。此外，开发者可利用 AI 工具构建功能强大的 AI 驱动型应用。AI 输出的质量与开发者提示的清晰度和详细程度成正比；相较于泛泛的请求，提出精确且富含上下文的问题能获得更优的结果。开发者必备的未来技能是将问题理解、AI 协作与工程判断相结合。有效整合 AI 工具将使开发者能够高效构建更优质的软件。

How can We use AI tools. dev.to

RSS Hunter • 今天

地狱文档

作者是操作系统开发初学者，分享了理解文档的挫折感。虽然承认文档的价值，但他们指出文档常缺乏直接的实现指导。例如，OSDev Wiki描述了PIC端口和寄存器，但未明确说明如何配置它们。作者强调理解技术描述与将其转化为函数代码之间的区别。他们使用人工智能不是替代文档，而是更好地理解其含义。作者为PIC重映射编写的内核代码展示了文档中常缺失的实际实现。他们不要求逐行解释，而是更清晰的操作顺序及其理由。这种方法对于初学者弥合理论知识与实际应用之间的差距至关重要。作者寻求关于低级系统更有效文档研究方法的建议。

The Hell Documentation dev.to

RSS Hunter • 今天

停止驼背！使用 MediaPipe 和 Vue.js 构建实时 AI 姿态防护系统

工程师常因长时间使用电脑而养成不良姿势，导致背痛和生产力下降。本文介绍 Posture Guardian，一款利用计算机视觉和姿态估计来检测并提醒用户驼背及头部前倾姿势的浏览器工具。该工具借助 MediaPipe 进行姿态估计，使用 Vue.js 构建用户界面。其架构包括捕获网络摄像头帧，通过 MediaPipe 处理以检测骨骼关键点，并利用三角学计算指示不良姿势的角度。前置条件包括 Vue.js 3、MediaPipe Pose、基础 JavaScript 知识以及网络摄像头。设置过程涉及初始化 MediaPipe Pose 模型以识别关键身体关键点。“头部前倾”姿势通过计算耳朵与肩膀之间的水平距离来检测。此逻辑集成到一个 Vue 组件中，该组件使用 Webcam API 将视频流输入姿态模型。组件实时显示姿势状态，并在检测到不良姿势时触发浏览器通知。生产就绪性需要处理光照变化、摄像头校准以及防止通知骚扰。该工具可扩展添加拉伸计时器和姿势评分等功能。

Stop Slouching! Build a Real-time AI Posture Guard with MediaPipe and Vue.js dev.to

RSS Hunter • 今天

为什么您的代码应该使用与业务相同的语言（而不是框架的语言）

本文讨论了将软件工程中使用的语言与业务语言保持一致的重要性。使用产品管理人员或运营分析师无法理解的技术术语，会产生心理翻译的认知成本。这种沟通摩擦可能导致噪音和概念性错误，即代码能够运行，但未能满足业务规则。普遍语言（Ubiquitous Language）作为领域驱动设计（Domain-Driven Design）的一个概念，提出代码中的术语应反映领域的真实词汇。这不仅仅是采纳业务行话，而是一个协作过程，其中工程团队会挑战模糊的定义。普遍语言在边界上下文（Bounded Contexts）中得到加强，避免了试图聚合不同领域功能的“上帝类”（God Classes）。在一家拥有保险、信贷和投资等不同上下文的金融合作社中，一名关联人员在每个上下文中应以不同方式建模：在保险上下文中为“被保险人”（Segurado），在信贷上下文中为“借款人”（Tomador），在投资上下文中为“投资者”（Investidor）。这种方法保持了概念模型的清晰与解耦。采用合法的普遍语言能够改善反馈周期，减少对齐会议，并保护架构。因此，代码成为业务的活文档。

Por que o seu código deveria falar a mesma língua do seu negócio (e não do seu framework) dev.to

RSS Hunter • 今天

构建 MyZubster 世界：一个以隐私为先、连接循环市场的元宇宙

MyZubster 正在开发一个注重隐私的元宇宙，并将其与其循环市场相连。这个名为 MyZubster World 的实验性元宇宙允许注册用户通过与其账户关联的经核实的持久化角色进行互动。该系统优先采用服务器端验证，以防止身份冒充。已实现的功能包括经核实的角色身份、服务器保存的任务进度，以及通过务实的轮询系统实现的共享存在同步。系统引入了具有受控生命周期和可定制访问策略的虚拟房间：公开、认证和私密。私密房间通过加密生成的、有时限且仅限一次使用的邀请码提供增强的安全性。隐私已深度集成到架构中，功能包括将私密房间排除在发现机制之外，以及使用短生命周期的认证令牌。MyZubster World 旨在作为通往市场的视觉门户，促进跨各类社区的发现、学习、协作与交换。他们正在研究 Monero 的集成，以支持注重隐私的交易，重点关注安全的支付验证和运营方面。未来的开发计划包括改进房间管理工具、将直播会话连接到沉浸式环境，并将市场类别转化为可探索的虚拟目的地。该项目强调以公开方式构建，作为一项开源倡议，在增强视觉体验之前，优先构建稳健的基础组件。

Building MyZubster World: A Privacy-First Metaverse Connected to a Circular Marketplace dev.to

RSS Hunter • 今天

Copilot 代码审查在 Azure Repos 中的实际运行位置：服务与服务器

作者频繁搜索 2026 年最佳的自托管 AI 代码审查工具。他们发现，关于主要代码托管平台自托管版本的经核实信息严重缺失，有关 GitLab、Azure DevOps Server 和 Bitbucket Data Center 的多数内容仅为 anecdotal（轶事性），而非源自官方文档。具体考察 Azure DevOps 时，微软关于 GitHub Copilot 在 Azure Repos 中代码审查的文档明确标注相关页面属于"Azure DevOps Services"。这些页面详细说明了设置、配置和故障排除，包括云服务的计费与数据处理。Azure Repos 文档索引同样归属于 Azure DevOps Services。关键的是，所有测试过的页面均未提及对 Azure DevOps Server（自托管版）的支持。这意味着，根据当前文档，Azure DevOps Server 并不官方支持 Copilot 代码审查功能。尽管缺乏文档并不绝对意味着该功能不可用，但使用 Server 版本的团队不应假设其与 Services 版本功能对等。建议 Server 版本的团队与其特定 Server 版本的发布说明确认功能可用性。在官方文档明确包含该功能之前，团队应将 Copilot 代码审查视为其版本未经核实。作者还指出，访问 GitLab 关于 AI Gateway 和自托管 Duo 的文档时，被 Cloudflare 挑战拦截。因此，在此次检查中无法对 GitLab 的自托管产品进行验证。

Where Copilot code review for Azure Repos actually runs: Services vs Server dev.to

RSS Hunter • 今天

为何不应让模型审查其自身的 AI 代码

近期一篇 arXiv 论文揭示了 AI 代码审查模式中的结构性弱点。该论文提出了一个“双缺口”框架，用于评估软件实现与需求及部署环境之间的差异。需求缺口存在于利益相关者需求与文档化需求之间，而模型缺口则是假设的部署环境与真实部署环境之间的差异。AI 幻觉通过捏造信息加剧了这两个缺口。论文指出，当生成代码的同一 AI 模型同时也负责审查代码时，它会基于同样存在缺陷的需求和环境模型进行操作。这导致了一种虚假的验证感，因为 AI 本质上只是在重新检查自身的假设和盲点。自我审查仅能捕获模型已识别为有问题的错误，而让共享其错误假设的代码通过。为有效缩小这些缺口，论文提出了两项关键策略。跨模型审查涉及使用第二个独立的 AI 模型从头重新推导需求和环境假设，从而缓解共享盲点。另一项至关重要的策略是将代码在类生产环境中运行，因为现实才是最终的验证者。部署前的评估仅是代理手段，基于执行的检查优于静态评估，因为它要求可观测的行为。论文将人类判断界定为应对需求缺口的稀缺资源，而将准确评估界定为应对模型缺口的瓶颈。鉴于 AI 生成代码的体量，一种合理的方法是：由独立模型审查 AI 生成的差异（diff），随后进行基于执行的检查。人类审查应聚焦于通过上述初始阶段的代码，以最大化人类注意力的投入产出比。虽然同模型 AI 审查可充当代码检查器（linter），但不应将其误认为真正的验证。

Why you shouldn't let the model review its own AI code dev.to

RSS Hunter • 今天

一个微小的 Nim 微服务，三个真实存在的 bug，以及它们让我对自己那个‘妈妈级’Fork 的反思

作者为其作品集网站构建了一个 POST /api/contact 端点以处理消息。他们使用了 Mummy 框架，该框架包含 OpenAPI 模式生成和类型化验证。该端点接收姓名、邮箱和消息，并对存在性、类型、长度和邮箱格式进行验证。验证过程中的错误返回 400 响应，而发送失败则返回通用的 500 响应。附加中间件包括 CORS 处理、基于内存的速率限制器以及日志记录。最初计划使用 SMTP，但由于 Render 免费套餐对出站 SMTP 端口的限制，服务被切换至 Resend 的 REST API。出现了三个意外问题：因重命名 std/httpcore 导入导致的类型不匹配、gcsafe 编译器对逻辑上不可变的全局变量的问题，以及未注册的 OPTIONS 路由导致预检请求无法执行中间件。每个问题都提供了关于该框架内部机制、Nim 模块系统以及线程安全编程的宝贵见解。作者强调，这些问题是 Nim 特性与 Mummy 框架交叉领域的特定问题。完整的实现细节和部署脚本可在项目仓库中获取。

A Tiny Nim Microservice, Three Real Bugs, and What They Taught Me About My Own Mummy Fork dev.to

RSS Hunter • 今天

架构解析：空无物不是一种状态

原始系统设计在纸面上看似可行，但存在若干关键的静默故障。其中一个缺陷是缺少 PollStats.snapshot() 方法，导致可观测性完全失效。另一个问题是调用 PollResult.down() 并传入 detail 参数时引发 TypeError，致使错误处理器静默崩溃。速率限制和超时的退避逻辑实际上已成为死代码，导致在高负载下持续消耗 CPU 资源。逻辑漏洞使得连续十次超时均未触发警报，错误地报告引擎处于健康状态。此外，类型注解中缺少 Generic 的导入，构成了一个迟早会发生的 NameError。加固后的实现通过定义明确的方法签名和返回类型来防止 TypeError 和 NameError。它使用 __slots__ 实现正确的快照方法，以确保内存使用可预测。退避逻辑现在会在 TIMEOUT 和 RATE_LIMITED 结果上正确触发，强制执行延迟。“卡住”阈值现在同时检查空计数和失败计数，确保警报能够适时触发。资源管理通过 deque(maxlen=500) 得到改进，以限制历史记录长度，并采用单线程循环消除每项任务的开销。异步任务清理通过 asyncio.wait_for 得到修复，防止关闭过程挂起。通过使用单个 asyncio.Task 防止并发状态突变，从而无需使用锁。429 洪水场景显著展示了改进的弹性，避免了无限轮询和过度资源消耗。归根结底，系统设计中的不完整等同于系统已损坏，只是故障发生的时间被延迟了。

Architectural Breakdown: Empty Is Not a State dev.to

RSS Hunter • 今天

十五秒内从单一状态栏项发出的五项请求

Claude Code VS Code 扩展在状态栏中直接显示使用限制，以方便用户。最初，该扩展频繁发起 API 调用，导致触发速率限制错误。经分析，核心问题在于每个 VS Code 窗口都运行一个独立的扩展实例，从而重复发起请求。为解决此问题，实现了共享全局存储文件，用于存储所有窗口可访问的使用数据。该文件允许窗口读取缓存数据，并仅在必要时根据刷新间隔获取更新。引入了一套请求机制，以防止多个窗口同时获取数据。若某窗口检测到其他窗口正在获取数据，则等待其完成。在定时器中加入了随机抖动，以避免多个窗口发起同步请求。当 API 返回 429 速率限制错误时，该信息现在会被存储到共享文件中，从而阻止进一步请求，直到封锁解除。此外，该扩展改进了对失败 API 检查的处理方式：不再立即显示警告，而是保留最后一次已知使用数据，并在递增的时间间隔后重试。仅在连续多次失败后才显示警告。扩展明确声明，其仅读取登录凭证，从不刷新或回写这些凭证。每个窗口仅发起一次共享的 API 请求以获取使用数据，且不进行遥测或其他网络调用。所遵循的原则包括：假设每个窗口拥有一份副本；将 429 错误视为等待指令；将单次失败视为噪声而非关键问题。

Five Requests in Fifteen Seconds From One Status Bar Item dev.to

RSS Hunter • 昨天

在 GA4 中追踪 SaaS 注册，无需统计每一次点击

通过区分不同的用户行为并将其拆分为独立事件，来追踪 SaaS 注册。成功的账户创建应作为一个独立事件，与初始按钮点击区分开来。用通俗易懂的语言定义“完成注册”的含义，例如新账户已存在且用户能够继续操作。使用 Google 推荐的 sign_up 事件，并指明所用方法。关键是要在账户创建成功后才触发此事件，而非从按钮点击本身触发。将追踪调用置于确认账户创建成功的代码中。确保仅由应用程序的一个部分负责发送注册事件，以避免重复。将应用程序的账户记录作为成功注册的唯一权威来源。单独追踪用户首次执行的有效产品行为，以了解超出账户创建之外的用户参与度。选择现有的推荐事件或为这些用户行为创建清晰的自定义事件。彻底测试可能导致注册计数误导的场景。避免在事件参数中发送个人身份信息。在分享进展时，精确标记所追踪的指标，以确保准确性。

Track SaaS Signups in GA4 Without Counting Every Click dev.to

RSS Hunter • 昨天

如何构建 AI 客户支持聊天机器人（并实现向上销售）

功能完备的 AI 聊天机器人可在一天内部署，用于处理常见支持工单并实现产品向上销售。该机器人利用 OpenAI 的 GPT-4o 进行自然语言理解，通过向量存储库中的检索增强生成（RAG）获取产品数据，并经由 Twilio 的短信/WhatsApp 或网页小部件进行通信。该系统可降低人工客服的工作负载，并提高每次交互的收入。关键工具包括：OpenAI 用于 AI 能力，n8n 用于工作流编排，Twilio 用于消息传递，Pinecone 用于向量数据库。构建过程涉及设置 API、将产品数据加载至向量存储库，以及创建用于接收用户消息的 Webhook。核心逻辑包括查询向量存储库以获取相关产品信息，并将该上下文纳入 GPT-4o 提示中。回复通过 Twilio 或网站小部件发送回用户。部署需要安全地暴露 n8n 并根据需要扩展向量存储库。必须预见潜在问题，如速率限制、数据过期和身份验证错误。聊天机器人通过将用户查询嵌入并检索向量存储库中的相似目录条目来推荐产品。在具备足够计算能力的情况下，可用自托管的大语言模型替换 OpenAI。数据存储应最小化以符合 GDPR 合规要求。每 1,000 次对话的预估成本约为 10 美元，主要源于 Twilio 短信费用。与 Facebook Messenger 等其他平台的集成可通过替换特定节点实现。该聊天机器人模式已有预构建的 n8n 模板可供使用。

How to Build an AI Customer Support Chatbot (and Make It Upsell) dev.to

RSS Hunter • 昨天

构建 AI 文档智能系统：架构、LangChain 与生产实践

许多组织面临信息被锁定在文档中的困境，导致员工难以高效地查找特定细节。传统的手动搜索耗时费力，而商业文档 AI 产品往往存在定价不透明和数据驻留方面的顾虑。为解决这一问题，作者开发了 AI-DocumentIntelligence，这是一个开源、可自托管且对提供商无关的 RAG 平台。该平台旨在为处理敏感文档提供透明、可替换且可审计的解决方案。其核心功能包括摄入文档、将其分割为有意义的片段，利用 pgvector 将这些片段嵌入 PostgreSQL，并回答自然语言问题。一个关键特性是通过简单配置即可在 OpenAI 和 Anthropic 等 LLM 提供商之间切换。技术栈刻意采用标准方案，使用 React、Node.js、LangChain 和 PostgreSQL，使得已熟悉这些技术的团队能够轻松部署。架构将 UI、API、文档处理和 AI 层分离，检索与生成过程独立，便于调试。关键经验强调提供商抽象、精心调优的片段划分以及稳健的本地开发环境的重要性。使用凭据门控 API 进行开发带来了挑战，促使作者采用本地嵌入模型进行验证。作者将本项目视为更大努力的一部分，旨在将 LLM 编排应用于数字服务交付中遇到的现实工作流问题。该项目可在 GitHub 上获取，支持本地开发和贡献，详细的搭建说明见 README。

Building an AI Document Intelligence System: Architecture, LangChain, and Production Lessons dev.to

RSS Hunter • 昨天

前沿节奏：受控人工智能开发的需求对系统基础设施意味着什么

人工智能行业正从快速且不受控的能力增长，转向更为审慎的模型开发与部署节奏。这一转变由实际工程考量所驱动，因为安全评估与网络安全控制措施滞后于人工智能能力的提升。前沿模型如今能够执行复杂任务，包括参与自身的开发，这压缩了验证窗口。呼吁“慢下来”并非绝对暂停，而是在部署前实施运营门禁与结构性控制。这些措施包括强制性的部署前审计、细粒度的系统访问限制、强健的日志记录以及吹哨人保护机制，其标准参照航空航天与制药行业。将人工智能集成到业务网络中扩大了攻击面，因此需要采用零信任方法，包括范围限定的权限、交互式审批门禁、隔离的执行环境以及紧急停止开关。对于企业而言，可预测的行为、可审计的日志以及可验证的工程控制正变得比原始基准分数更为关键。审慎的人工智能推广有助于实现 workforce 转型，并重新设计工作流程以纳入人工监督，而非仅聚焦于削减人力。尽管关于部署节奏的提议面临合规负担与竞争动态方面的阻力，但监管框架应按计算规模进行分层，以避免保护既得利益者。归根结底，人工智能部署的未来取决于在安全边界内构建可预测、可控制的系统，而不仅仅在于最大化模型规模或速度。

Pacing the Frontier: What the Drive for Controlled AI Development Means for Systems Infrastructure dev.to

RSS Hunter • 昨天

上下文超越 MCP，第四部分：根本没有工作目录

WebMCP 使浏览器标签页能够作为客户端运行，而无需传统的作业目录或独立的服务器进程。它利用 Chrome 实验性 API document.modelContext.registerTool() 以及为更广泛兼容性提供的 polyfill，直接从页面暴露上下文。这使得基于浏览器的代理能够与已注册的工具进行交互，例如评分项目、填写表单以及渲染 AGENTS.md。score_faf 等工具利用客户端 WASM 内核，从而避免服务器往返以提升性能。该系统强调诚实性，准确报告局限性，例如最小化的 AGENTS.md 渲染器。获取外部数据受到严格控制，仅通过主机和协议白名单来防止安全风险。核心主张是：所有操作均在浏览器标签页内完成，无需与 MCP 服务器通信或访问 /mcp 端点。这种方法通过直接在现有浏览器环境中将上下文暴露为可调用工具，规避了传统 MCP 客户端的局限性。底层 API 的开放性允许任何页面注册其自身的上下文感知工具，供代理交互使用。

Context Over MCP, Part IV: No Working Directory At All dev.to

RSS Hunter • 昨天

我正在为 SRE 值班工程师创建一个开源的 AWS DevOps 代理，用于 LLM 根因假设分析。

第 1/100 天。过去两个月，我在业余时间构建了一款面向值班工程师的开源工具。当 Kubernetes 警报触发时，该工具会自动收集上下文，并通过 Telegram 发送关于“原因”的假设，同时附带证据以及验证该假设是否错误的方法。按设计，它不会触碰集群中的任何内容。昨天，我首次在真实的 EKS 集群上运行了该工具，成本仅为 13 美分。我诚实地评估了准确率：在复杂的场景中，本地模型在 7 个案例中正确回答了 5 个，而云端模型在 6 个案例中全部正确。我提出两个请求之一：如果您使用 Kubernetes 并承担值班职责，我很乐意与您进行一场 25 分钟的对话，探讨您最近一次夜间故障的情况。或者，您也可以安装并尝试破坏它，只需一条 Helm 安装命令（链接见评论区）。⭐ 我并非请求 GitHub 上的星标，而是恳请您分享任何看法。项目：https://github.com/maxuver/sentinelops

I'm creating opensource AWS DevOps Agent for SRE on-call engineers LLM root-cause hypothesis). dev.to

RSS Hunter • 昨天

使用 Azure AI Document Intelligence 和 Power Automate 构建发票提取流水线

本文详细介绍了如何在 Azure AI Document Intelligence 中构建超越基础 API 调用的稳健文档处理管道。文章强调，虽然初始提取相对简单，但应对现实世界的复杂性才是核心挑战。所提出的管道包括摄入、分类、提取、基于置信度的路由以及写入记录系统。选择合适的模型至关重要，无论是预构建模型、自定义提取模型还是自定义分类器，都直接影响准确性。作者指出，应避免使用已弃用的连接器操作，转而采用针对预构建或自定义模型（v4.x API）的“分析文档”功能。理解准确率与置信度的区别至关重要；置信度分数会针对每个字段返回，应据此进行路由决策。该系统根据每个字段的置信度阈值对文档进行过滤，对于发票总额等财务敏感字段需设定更严格的要求。建议实施算术校验，以捕获置信度分数未能发现的错误。该逻辑可在 Power Automate 或 Azure Function 中实现。文章还探讨了常见的故障点，包括重复处理、多发票 PDF、明细项质量不佳以及货币/区域设置问题。成功的关键指标是直通处理率，而不仅仅是模型准确率。跟踪按原因划分的审查率以及审查员覆盖率等指标，可为改进提供洞察。最后，智能文档处理利用人工智能将非结构化文档转换为带有置信度分数的结构化、经验证的数据，从而实现自动化路由。

Building an Invoice Extraction Pipeline with Azure AI Document Intelligence and Power Automate dev.to

RSS Hunter • 昨天

我统计了 MCP 注册表：共 101,219 个条目，其中包含 31,309 个服务器，23% 的条目没有源代码仓库。

提供的文本分析了模型上下文协议（MCP）服务器注册表，区分了原始条目与实际独立的服务器。原始注册表条目存在膨胀现象，其中约 69% 代表已被替代的服务器版本。在去重后，仅保留每个服务器名称的最新版本，注册表中包含 31,309 个独立的 MCP 服务器。其中相当一部分（22.6%）缺乏源代码仓库，导致难以进行审计。具体而言，20.7% 为仅远程存在的服务器，没有仓库，其功能只能通过连接才能了解。服务器托管情况显示集中度较高，17.4% 的服务器与超过 50 个其他服务器共享主机名，前三个托管方提供了所有服务器的 14.5%。注册表呈现快速增长态势，月度新增服务器数量在一年内急剧上升。这种增长表明，人工审核流程将变得不可持续。文本强调在使用前验证服务器可信度的重要性。同时指出，服务器实际通信的主机可能比列出的发布方更为关键。文中提供了用于检查实时总数、查询单个服务器以及下载去重数据集的资源。

I counted the MCP registry: 101,219 entries are 31,309 servers, and 23% have no source repo dev.to

RSS Hunter • 昨天

Python 列表：存储数据的常见方法

Python 提供四种内置数据结构：集合、字典、元组和列表。列表的特征是存储在方括号中，保持元素顺序，可修改，并允许重复值。列表中的数据可通过索引访问，第一个元素的索引为 0，最后一个元素的索引为 -1。切片通过指定起始和结束索引提取列表的一部分，其中结束索引被排除。解包允许将列表项分配给变量，未分配的要素可使用下划线表示。Python 提供 len()、max()、min() 和 sum() 等函数来分析列表内容。可以使用 .count() 和 .index() 方法搜索特定项并确定其出现次数。成员资格和同一性分别使用 'in' 和 'is' 运算符进行检查。all() 和 any() 函数用于评估列表元素的真值。列表可以通过追加或插入元素、清空所有项、删除特定值或通过索引使用 pop() 方法进行修改。更新元素是通过将新值分配给特定索引完成的。列表可以使用 .sort() 方法就地排序，顺序可为升序或降序。或者，sorted() 函数会创建一个新排序列表，而不改变原列表。.reverse() 方法反转原列表，而 reversed() 函数则创建一个反转后的副本。

Python Lists : Common way to store data dev.to

RSS Hunter • 昨天

超越正常运行时间检查：有意义的基础设施监控

您的监控仪表板可能显示所有系统均处于正常状态，但用户报告却能揭示功能故障。传统监控通常仅检查进程是否运行，这仅仅是一种心跳检测，而非真正的监控。真正的监控应验证关键用户流程是否可用、错误率是否在可接受范围内、延迟是否在限定阈值内。同时，还需确认后台任务是否完成以及跨服务的数据一致性。这超越了单纯监控服务器，旨在确保整个系统正常运行。一个健壮的监控策略包含三个层面：系统健康层，用于监控 CPU 和内存等基础指标；服务健康层，用于监控端点响应状态码和延迟；业务健康层，用于监控关键用户流程。许多团队仅停留在系统健康层，而最有效的团队则会自动化业务健康监控。“足够好”的监控会定义关键用户流程，通过高频合成检查对其进行仪器化，并设定有意义的阈值。关键在于针对症状（如结账失败）发出告警，而不仅仅是针对原因（如 CPU 过高）。对监控所识别的问题实施自动化修复同样至关重要。总结强调，如果您的监控无法区分“服务器正在运行”与“用户完成任务”，那么它就不是真正的监控。它仅仅是一种心跳，只能指示系统是否完全宕机，而无法反映系统是否“生病”或性能低下。

Beyond Uptime Checks: Meaningful Infrastructure Monitoring dev.to

RSS Hunter • 昨天

为什么明文 .env 文件很危险（以及 EnvVault 如何解决这一问题）

在明文状态下共享敏感信息（如数据库密码）会带来安全风险。开发人员常将凭据粘贴到聊天应用中，或意外将其提交到公共仓库。明文 .env 文件在磁盘上未加密，容易因意外泄露至 Git 仓库。无序的共享方式会导致潜在密钥泄露缺乏可审计的轨迹。EnvVault 是一款专为解决此类安全缺陷而设计的 Node.js 命令行工具。它使用 AES-256-GCM 算法在本地加密项目密钥，并直接注入到进程内存中。这种进程内存注入机制确保明文密钥永远不会接触硬盘。EnvVault 采用离线优先架构，无需外部令牌，并内置 Git 泄露审计器。安装仅需一条简单的 npm 命令，随后进行初始化并存储密钥。该工具还可将密钥导出以供 CI/CD 流水线使用。EnvVault 利用 Node.js 原生加密引擎执行加密操作。

Why Plain .env Files Are Dangerous (And How EnvVault Solves It) dev.to

RSS Hunter • 昨天

更多代码复习=更多臭味代码？

六十八条评审意见使函数代码量从 28 行增长至 42 行，其中 62 处修复均针对真实问题。问题不在于评审者的准确性，而在于项目缺乏针对评审意见的决策机制。AgentCoop 项目是一个 AI 代理系统，采用 OpenAI 的 Codex 进行自动化代码评审，并严格执行“必须回应所有意见”的规则。这往往导致在不考虑更广泛影响的情况下盲目修复意见。由此浮现出四个关键问题：因微小且准确的修复导致范围蔓延；对标记为“安全”或“可用性”的问题无论实际影响如何均予以紧急处理；权衡不当，为罕见甚至不存在的缺陷引入永久性的代码复杂度；以及仅按意见所指位置进行修复，而非解决根本原因。曾有一项关于升级会破坏配置文件的关键问题被初步升级处理，但最终仅通过文档中的一段文字予以解决。实际用户影响微乎其微，仅需几分钟的配置调整，而非系统级中断。随后，团队制定了一套评估评审意见的机制，超越直觉判断。首先通过三个快速问题判断修复是否廉价（少于十行代码）、问题是否真正可能发生、以及失败是否静默（若静默则至少需记录日志）。廉价的修复立即实施，不可达的代码路径予以删除，静默失败则优先处理或使其显性化。关于“廉价”的关键注意事项是：考虑最廉价且有效的修复方案，而非 necessarily 采纳评审者的建议。对于通过第一步的评审意见，需在数小时内进行定量评估。这包括估算缺陷每次发生造成的成本、年度发生频率、用户可接受的痛苦程度（通过乘数调整）、修复的构建时间，以及其永久性的年度维护成本。利用这些数值计算年度节省额及修复的投资回收期。若净年度节省为零或为负，则判定该修复不值得实施。开篇示例中的配置解析问题经分析显示净年度节省为负，证明本不应修复。估算事件频率需基于具体且有证据的组成部分进行构建，而非凭空猜测。竞态条件亦通过考量触发操作与脆弱窗口进行评估，优先处理事件被有意对齐的场景，而非纯粹巧合。

More Code Review = More Smelly Code? dev.to

RSS Hunter • 昨天

当每个事件看似正常：Logster 与端点检测中的上下文差距

PowerShell 进程、临时脚本、计划任务注册以及连接到陌生地址，单独来看或许都有合理解释，但它们的组合语境会改变调查方向。理解这些操作之间的关系，才能揭示单个事件可能遗漏的潜在恶意活动。合法工具也可被用于恶意目的，因此仅凭工具名称不足以终结调查；相反，进程、文件和网络连接之间的关系至关重要。自动化分析，尤其是通过连接进程、文件和网络目标的行為图，有助于保全证据并对活动进行语境化。此类图将基础事件记录转化为全面的叙事，详细说明谁启动了什么、哪个进程编写了脚本，以及出站连接关联了何种活动。这种语境理解有助于区分常规管理与可疑行为，即使使用了相似的工具。虽然现有的关联规则已涵盖部分关系，但更有效的系统应保留预定义序列之外的周围行为。例如，Logster 利用大语言模型（LLM）评估序列化的活动图，为安全团队提供语境化评估和结构化结果。这种方法使分析师能够以已汇编的活动叙述启动调查，而非手动重构分散的日志。然而，任何结论均受限于所收集的证据，活动窗口大小、遥测缺失以及模型输入限制等局限性可能影响准确性。因此，实用的评估应将可疑序列与使用相似工具的合法工作流进行比较，重点关注系统如何区分二者。最终，一个有效的端点检测系统应通过提供组织良好且语境化的证据，简化调查流程，使分析师能够更高效地验证结论。

When Every Event Looks Normal: Logster and the Context Gap in Endpoint Detection dev.to

RSS Hunter • 昨天

Microsoft 在 Excel 中破坏了 Ctrl+C 和 Ctrl+V

2026 年 9 月的 Microsoft Office 更新在 Excel 中引入了一个严重缺陷，导致复制和粘贴功能失效。该问题已在知识库文章 KB5002914 中确认，影响 Excel 2016 至 2024 版本。用户尝试复制和粘贴单元格时会遇到静默失败，复制的单元格保留移动边框，而目标区域保持为空。自动填充、公式拖拽和数字序列生成也受到影响。对于 Windows 永久许可和批量部署的 Office 安装，该问题可恢复。针对 Office 2016 MSI 版本，移除 KB5002914 即可恢复正常功能。Office 2019、2021 和 2024 的 Click-to-Run 安装版本需要回退到先前已知良好的构建版本，此过程可通过 Office 部署工具（Office Deployment Tool）实现。PowerShell 脚本可用于自动化较小环境中的构建回退操作。必须暂时通过补丁管理系统排除有问题的更新包，以防止初始修复后缺陷再次出现。用户应关注官方 Microsoft 渠道，获取修正后的更新，并在稳定补丁可用后解除排除。回退后，验证 Office 构建版本、测试单元格拖拽、公式复制和区域粘贴至关重要。此外，确认 Ctrl+C/Ctrl+V 在记事本等其他应用程序中仍正常工作，有助于将问题隔离至 Excel。

Microsoft broke Ctrl+C and Ctrl+V in Excel dev.to

RSS Hunter • 昨天

从功能请求到已审核交付：开始使用 codex-sdlc

作者介绍了 codex-sdlc，这是一个开源插件与仓库框架，旨在简化软件开发生命周期（SDLC）。该框架致力于复现功能请求中除编码之外所需的人力投入。codex-sdlc 将流程划分为不同角色，包括项目经理、业务分析师、后端与前端开发人员以及质量控制人员；同时提供可选的 AI 产品负责人角色，用于咨询性评审。用户负责根据需要澄清需求并做出最终验收决策。功能请求启动工作流，框架在此过程中消除歧义，协调 API 设计、实现与质量检查。流程最终以一份报告收尾，详述变更内容、验证证据及局限性，供用户接受或要求进一步工作。要使用 codex-sdlc，用户需具备 Codex、Node.js 以及现有的应用仓库。设置过程包括安装插件并通过指定代码位置初始化项目。建议用户从一个小功能开始，以评估工作流的有效性。该框架将所有需求、任务、决策和证据存储于项目的 .sdlc/ 目录中。它支持多种模型，并为常见技术提供预设配置，其他技术栈则使用通用预设。作者希望就设置流程、角色交接以及交付报告的完整性征求反馈。

From a feature request to reviewed delivery: getting started with codex-sdlc dev.to

RSS Hunter • 昨天

如何在 Unity 中构建可读的单位编队（程序化布局 + 运行时行为）

在 Unity 中构建可读的单位编队需要解决多个挑战，包括生成位置、分配单位以及在移动和获取目标过程中保持编队完整性。一个常见错误是将每个单位独立处理，这在处理较大规模编队时会导致难以管理。编队锚点是一个关键抽象概念，它代表整个编队，包含其位置、旋转、目标以及局部编队槽位。局部槽位随后被转换为世界空间目标，使单位能够移动至其分配的位置。过程化布局由单位数量、间距等参数定义，支持动态编队生成。不同的布局（如直线、楔形或墙式）服务于不同的游戏功能，应独立于单位移动逻辑。将单位可预测地分配到槽位至关重要，稳定的分配可防止编队混乱。每个单位向其分配的世界空间槽位移动，移动逻辑负责处理速度、转向及潜在障碍物。编队之间的切换应平滑，使用插值避免单位突然瞬移。行为（如旋转或波浪运动）可作为独立、可复用的层添加，随时间修改编队布局。昂贵的计算（如初始布局生成或槽位分配）不应每帧执行，而应在发生显著变化时更新。编队移动与寻路是两个不同的问题：编队提供局部目标，而独立的系统负责高层导航。编辑器预览和调试工具对开发至关重要，允许在不进入 Play 模式的情况下可视化编队与分配。ScriptableObject 架构通过以资产形式存储编队定义和行为，促进可复用性，使其易于设计人员访问。一套全面的工具集可能包括过程化生成器、运行时控制器、行为资产、形态变换、路径跟随、Boids 风格移动以及丰富的编辑器工具。最终检查应确保关注点分离、分配稳定、过渡平滑、更新高效、具备调试支持、设计人员可访问性以及性能分析。

How to Build Readable Unit Formations in Unity (Procedural Layouts + Runtime Behaviours) dev.to

RSS Hunter • 昨天

Django 6.1 中的 FETCH_PEERS 将 2001 次查询的循环缩减为 2 次”

Django 6.1 引入了 fetch_mode 以解决 N+1 查询问题，而无需显式调用 select_related 或 prefetch_related。fetch_mode 设置，尤其是 FETCH_PEERS，显著减少了外键查询的查询次数和执行时间。测试表明，FETCH_PEERS 将原本 2,001 次循环查询减少至仅 2 次，提升幅度约为 87 倍。该性能增益与使用 select_related 相当，实现了高效的批量获取。然而，FETCH_PEERS 不适用于关系的反向侧，因此对于“多”侧的 N+1 问题仍需使用 prefetch_related。FETCH_RAISE 模式旨在通过阻止字段访问来防止意外懒加载。当将 FETCH_PEERS 与 QuerySet.iterator() 结合使用时存在一个关键陷阱，由于同行跟踪机制的原因，这会退化为 N+1 模式。FETCH_PEERS 还会急切地为查询集批量获取所有相关数据，即使仅访问了子集，在某些场景下可能不如 select_related 高效。在测试规模下，查询集物化及获取相关数据所产生的内存开销较小。并发线程独立运行 FETCH_PEERS 时仍保持 2 次查询计数，表明其在负载下具有鲁棒性。调试查询计数需谨慎关注缓冲区限制，因为超出限制可能导致静默的错误结果。

Django 6.1's FETCH_PEERS collapses a 2,001-query loop into 2 dev.to

RSS Hunter • 昨天

我当选为 AWS 学生构建者小组组长。以下是我希望构建的内容。

作者非常荣幸被选为 AWS 学生构建者小组（SBG）组长，视其为推动云技术学习的重要契机。他们认为学生社区对于激发动力、提问和分享知识至关重要，因为学习云计算往往是一项孤独的任务。作者最好的学习体验来自于动手构建和故障排查，而不仅仅是跟随教程。作为 SBGL，作者旨在通过工作坊和项目环节营造一种动手实践 AWS 构建的环境。作者希望让云计算对初学者更加友好，强调协作式的“共同构建”理念。作者设想建立跨大学的学生社区，让他们在项目中协作，学习团队合作与真实的工程实践。这一角色本身也是一次个人学习的机会，促使作者走出舒适区，深化理解。作者尤其热衷于赋能尼泊尔的学生，为他们提供接触社区和动手构建的机会。最终目标是让学生从学习云技术转向主动使用云技术进行构建。担任 SBGL 的旅程只是开始，接下来将与社区共同构建更有意义的成果。

I Was Selected as an AWS Student Builder Group Leader. Here’s What I Hope to Build dev.to

RSS Hunter • 昨天

如何在 Unity 预制体中查找缺失的脚本，防止破坏构建

Unity 预制体中缺失的脚本可能导致细微问题，这些问题可能在很长一段时间内未被察觉。此类问题常出现在常见的开发操作之后，例如重命名脚本或解决合并冲突。检查器（Inspector）中显示的“Missing (Mono Script)"表示对脚本的引用已损坏，Unity 无法再找到该脚本。这可能导致意外行为，例如丢失碰撞逻辑或 AI 功能。对于小型项目，手动检查预制体是可行的，但随着项目规模扩大，这种做法将变得不切实际。更高效的解决方案是创建一个编辑器脚本，自动扫描所有预制体以查找这些缺失组件。该自定义扫描器使用 AssetDatabase.FindAssets 定位预制体，并借助 PrefabUtility.LoadPrefabContents 检查其层级结构。脚本会递归检查每个 GameObject 是否存在缺失脚本，并报告受影响预制体的路径。为提升可用性，扫描器可增强为在自定义窗口中显示结果、允许直接导航至损坏的预制体，甚至自动移除缺失组件。定期运行此扫描，特别是在发布构建前或项目发生重大变更后，有助于防止在后期阶段发现代价高昂的问题。将此预制体扫描集成到更广泛的验证工作流中，与场景检查和构建配置相结合，可确保更稳健的开发流程。最终，自动化检测缺失脚本将这一脆弱的任务转变为可靠的验证步骤，节省大量时间并避免可预防的错误。

How to Find Missing Scripts in Unity Prefabs Before They Break Your Build dev.to

RSS Hunter • 昨天

Langfuse：填补 AI 代理可观测性的盲区

传统的可观测性工具（如 Grafana 和 Datadog）对于 AI 代理而言已显不足，因为它们会遗漏关键的功能性问题。AI 代理可能出现幻觉或导致用户失败，却不会触发典型的性能错误。这一差距使得调试和提升代理质量变得异常困难。Langfuse 填补了这一空白，专注于大语言模型（LLM）应用的持续改进。它提供与代码解耦的提示词（prompt）管理，支持在不重新部署的情况下进行版本控制和更新。Langfuse 还提供实时评分，能够捕获显式和隐式用户反馈、LLM-as-a-judge 评估以及程序化检查。这些评分将原始追踪数据转化为可操作的洞察。此外，它支持利用源自生产环境问题的数据集，在部署前进行稳健的评估与实验。这种结构化方法有助于客观地比较不同版本的提示词和模型变更。除了这些核心支柱外，Langfuse 是开源的，支持本地部署或 SaaS 模式，并广泛集成于代理生态系统。其独特的代理图可视化功能有助于调试复杂的编排逻辑。探索 Langfuse 可通过演示项目、Langfuse Cloud 上慷慨的免费层级，或通过 Docker 进行本地部署来实现。自托管也是选项之一，可实现对数据的完全控制。Langfuse 是传统应用性能管理（APM）平台的补充工具，而非替代品。它解决了 AI 代理的功能质量和用户感知问题。其提示词版本控制、实时评分和系统化评估构建了一个快速且连贯的改进循环。这种易于采用的特性使得 Langfuse 在原型阶段之后维持代理功能变得不可或缺，避免了手动且不可复现的调查工作。

Langfuse : combler l'angle mort de l'observabilité des agents IA dev.to

RSS Hunter • 昨天

使用 Terraform 在 AWS 上实现 RAG，涉及 S3、Bedrock KnowledgeBase、OpenSearch Serverless 和 IAM

本文详细介绍了如何在 AWS 上利用 Terraform、S3、Bedrock Knowledge Bases 和 OpenSearch Serverless 实现检索增强生成（RAG）系统。RAG 允许大型语言模型（LLMs）利用外部知识源进行答案生成，从而提高准确性。RAG 流程包含两个主要阶段：摄入和查询。在摄入阶段，来自 S3 的文档被分块，由 Bedrock 转换为数值嵌入（embeddings），并存储于 OpenSearch Serverless 中。查询阶段涉及将用户问题转换为嵌入，从 OpenSearch 检索相关文档分块，并将其作为上下文供 LLM 生成带有引用的基于事实的答案。该系统使用 Amazon S3 作为文档源，并采用 Amazon Bedrock Knowledge Bases 管理摄入流程。OpenSearch Serverless 被配置为向量数据库，使用 knn_vector 字段存储嵌入，并采用 HNSW 与 FAISS 实现高效的相似度搜索。OpenSearch 索引还存储原始文本和元数据，支持向量搜索、词项搜索及基于元数据的过滤搜索。向量比较采用余弦相似度。Terraform 脚本定义了 AWS 基础设施，包括 IAM 角色、S3 存储桶、Bedrock Knowledge Base 配置以及 OpenSearch Serverless 访问策略。一个 Streamlit 应用程序提供了用户界面，用于上传文档至 S3、触发知识库同步以及向 RAG 系统提交查询。此全面配置为构建自定义 RAG 系统提供了一个实用的起点。

Implementing RAG with Terraform using AWS S3, Bedrock KnowledgeBase, OpenSearch Serverless, IAM dev.to

RSS Hunter • 昨天

使用 Strands、Ollama 和 MCP 网关构建本地优先代理平台

本项目致力于解决将单一模型、单一提示词的代理应用演化为支持多领域和独立工具的可扩展平台这一挑战。目标是构建一个本地优先的应用，使代理能够在无需了解其实现细节的情况下，无缝使用旅行、金融和娱乐等功能。该架构依托 Strands Agents 进行编排，使用 Ollama 运行本地语言模型，并采用模型上下文协议（MCP）定义工具契约。关键的设计选择是 MCP 网关，它作为代理的统一接入点，在其背后组合多个专注于特定领域的服务器。该设计解决了传统代理架构中存在的紧耦合、工具所有权不明确、独立部署困难以及可观测性不足等问题。系统将代理行为与领域工具分离，使代理配置文件驱动且易于扩展。每个领域服务器仅管理其专属工具，保持清晰的边界，从而实现独立开发与部署。网关提供了关键的健康状态可见性，为下游服务提供运营视图。采用 Ollama 的本地模型方案降低了实验成本并支持独立的开发循环。总结而言，代理架构的核心在于建立清晰的边界。

Building a Local-First Agent Platform with Strands, Ollama, and an MCP Gateway dev.to

RSS Hunter • 昨天

你能把GitHub Pages网站设为私密吗？

私有 GitHub 仓库并不会自动使其关联的 GitHub Pages 站点变为私有。拥有私有 GitHub Pages 站点的功能仅限于特定计划，主要是配置了相应方案的 GitHub Enterprise Cloud。对于大多数 GitHub 计划（包括 Pro 和 Team），私有仓库仍会生成公开网站。这一区别至关重要，因为用户可能误以为私有仓库能同时保护代码和已发布的网站。GitHub Pages 主要作为静态网站托管服务，缺乏针对单个用户的内置访问控制层。若要限制对 GitHub Pages 站点的访问，需使用外部服务（如 Cloudflare Access），或探索 Vercel 或 Netlify 等平台上的身份验证功能。 Alternatively，自行托管并启用基本身份验证，或仅运行本地开发服务器也是可行的方案。作者强调，如果网站确实需要保持私有，仅依赖晦涩的 URL 不足以提供安全保障。理解仓库隐私与网站可访问性之间的区别至关重要，以避免意外泄露敏感信息。

Can you make a GitHub Pages site private? dev.to

RSS Hunter • 昨天

AI Agent 架构模式：深入探讨现代智能体设计

AI 代理正通过复杂的架构重塑技术交互。AI 代理能够感知环境、做出决策并采取行动以实现目标，其能力超越了传统聊天机器人，具备规划多步骤任务、使用外部工具、从反馈中学习以及协作等特性。ReAct 模式将推理与行动整合在一个循环中，通过观察、推理、行动以及观察结果来应对复杂任务。SOP 代理通过遵循包含特定条件和工具使用的预定义决策树来执行任务，从而确保一致性与可靠性。反思型代理通过生成、批判并修订自身输出，在自我修正循环中提升质量。多代理系统利用规划者、执行者、批判者和协调者等专业化角色，在大型项目中实现更优结果。ReAct 模式适用于复杂推理，SOP 模式理想于重复性工作流，反思型代理在质量关键型任务中表现卓越，而多代理系统则最适合大型项目。未来的发展预计将带来更先进的规划、工具集成、记忆机制及协作能力。选择合适的架构对于设计高效且可靠的 AI 代理至关重要。理解这些模式能够赋能开发者构建更优质的 AI 系统。

AI Agent Architecture Patterns: A Deep Dive into Modern Agent Design dev.to

RSS Hunter • 昨天

LLM 推理优化：更快更廉价的 AI 技术

大语言模型（LLMs）在 AI 应用扩展时面临推理速度慢和成本高的挑战。优化 LLM 推理对于降低响应时间、减少计算支出并实现更广泛的部署至关重要。量化是一种关键技术，通过降低模型权重的精度（例如使用 INT8 或 INT4），在仅产生微小精度损失的情况下实现显著加速。KV 缓存优化采用如 PagedAttention 等方法，提升了内存效率，从而加快生成速度，尤其在处理长上下文时效果显著。推测性解码利用一个小模型生成候选 token，再由大模型进行验证，可在不降低质量的前提下实现 2-3 倍的加速。提示词优化侧重于构建更简洁、结构化的提示，以最小化 token 用量及相关成本。批处理通过将多个请求分组，进一步提升了效率。量化能带来显著的加速和成本优势，而 KV 缓存优化和推测性解码则能在不损失质量的前提下实现加速。提示词优化可在不影响质量的情况下提供中等程度的加速和成本改善。实施 KV 缓存优化通常是最佳的起点，随后针对边缘设备采用量化，针对吞吐量采用推测性解码。未来将涌现更多先进的优化方法，包括针对特定硬件的解决方案和动态路由。最终，最优的优化策略取决于具体优先级：速度、成本还是保持模型质量。

LLM Inference Optimization: Techniques for Faster and Cheaper AI dev.to

RSS Hunter • 昨天

AI 模型评估：测试与验证的最佳实践

评估 AI 模型对于确保其质量、安全性和可靠性至关重要。它有助于识别错误、偏见及意外行为。主要益处包括验证质量、检测偏见、确保安全以及衡量现实世界中的表现。一个稳健的评估框架包含标准化的基准测试，例如用于知识评估的 MMLU 和用于代码生成的 HumanEval。红队测试（Red teaming）涉及对抗性测试，以揭示安全漏洞、潜在的越狱攻击以及鲁棒性问题。用户测试通过 A/B 测试和调查等方法收集关键的现实世界反馈。重要的评估指标包括准确率、延迟、公平性、鲁棒性和安全性。最佳实践强调多维度测试、持续评估以及纳入人工审查。记录并共享评估结果对于改进和集体学习至关重要。各种工具和框架支持这一过程，例如用于实验追踪的 MLflow 和用于评估的 DeepEval。AI 评估的未来将指向更先进的方法，如自动化红队测试和实时监测。最终，模型评估是一个持续且多面的过程，而非单一事件。

AI Model Evaluation: Best Practices for Testing and Validation dev.to

RSS Hunter • 昨天

DaemonCore Academy：我们进入 Microsoft 商店！

DaemonCore Academy 现已可通过 Microsoft Store 访问。这标志着独立网络安全教育平台的一项重大成就。DaemonCore 秉持网络安全教育应普遍可及、无需订阅或隐藏费用的原则成立。该平台强调以实践动手学习取代被动视频课程。其课程体系涵盖众多课程、实验环境和学习路径，旨在促进主动参与。DaemonCore 的核心理念在于培养理解力与技术直觉，而非死记硬背。转向 Microsoft Store 旨在消除分发障碍，触达更广泛的受众，其中包括毫无网络安全经验的人员。尽管新增分发渠道，DaemonCore Academy 仍保持免费使用。为有志成为网络安全专业人士者提供无障碍知识获取的使命持续不变。

DaemonCore Academy: Into the Microsoft Store we go! dev.to

RSS Hunter • 昨天

WordPress REST API 基础：`/wp-json/` 能做什么？

WordPress 自 4.7 版本起内置了 REST API，无需借助插件即可远程访问其内容。通过在站点 URL 后追加 /wp-json/，即可发现可用的数据端点。/wp/v2/posts 端点常用于以 JSON 格式获取已发布文章。该端点在读取公开可见内容时，无需身份验证。查询参数（如 per_page）可用于控制返回结果的数量。_embed 参数对于单次请求中获取相关数据（如特色图片和分类名称）至关重要，从而避免为每项相关信息发起多次独立的 API 调用。一个实用示例展示了着陆页面如何利用此 API 获取最新文章，而无需了解博客的内部结构。为提升性能并降低负载，API 响应会被缓存一小时。该缓存机制还包含优雅降级策略：若 API 不可用，则使用过期的缓存数据。对于修改数据的端点（如创建或删除文章），则严格强制身份验证，需使用非重复性令牌（nonces）或应用密码（Application Passwords）。

WordPress REST API Basics: What Can You Do With `/wp-json/`? dev.to

RSS Hunter • 昨天

我们：=DAEMONCORE_ACADAMY

DaemonCore Academy 倡导免费的网络安全教育，坚信学习不应取决于财富。其创建者由技术专家组成，他们反对行业对昂贵订阅和认证的过度聚焦。他们将“黑客”定义为天生好奇、致力于理解事物运作原理的个体，主张以实践性、动手式学习取代死记硬背。他们旨在培育一种知识共享的文化，正如历史上黑客所做的那样。DaemonCore Academy 强调通过实验室和真实场景培养直觉与批判性思维。他们断言，网络安全知识并非秘密，应面向所有人开放，无论其背景或经济状况如何。其平台提供实用的课程、实验室及训练范围，全部免费，无隐藏费用或营销噱头。这种免费访问是其核心哲学原则，而非临时优惠。该倡议旨在通过为初学者提供获取实践经验的机会，解决网络安全行业的人才 pipeline 问题。他们致力于弥合“渴望学习网络安全”与“自信应对现实挑战”之间的差距。DaemonCore Academy 聚焦于使学习更具可及性，而非更轻松，尊重该学科的复杂性。他们相信技术的公平性，即理解力优于资历。DaemonCore Academy 不仅是一个应用程序，更是一个愿景中的社区，在此技术知识被自由分享并受到重视。他们鼓励教学、记录发现以及帮助初学者——形成相互教育的良性循环。该项目将好奇心、理解、实践与社区置于资历、死记硬背、被动消费和守门人机制之上。最终，DaemonCore Academy 旨在为网络安全教育提供开放访问，挑战现行的盈利模式。

WE:=DAEMONCORE_ACADAMY dev.to

RSS Hunter • 昨天

缩短 PR 审查时间正在真正改变审查发生的地点。

Atlassian 报告称，其内部使用的 Rovo Dev AI 代码审查工具将 PR 周期时间最多缩短了 45%，客户处缩短了 32%（主要来源，2026 年 1 月）。该数据常被引为证明 AI 审查能节省审查时间的证据。但需仔细阅读对该审查工具的描述，便会发现该数字主要反映的是路由效率的提升。该帖子指出，审查工具在人员提交 PR 之前，即强制执行工程标准和 Jira 验收标准。机械性检查首先运行，因此在人类介入变更之前，大部分“阅读—重读”的循环已被消除。所减少的是等待机器处理以及重读机械性部分所消耗的日历时间。并未减少的部分是决策环节。根据 Specific Labs 于 2026 年 9 月发布的 Real-SWE 基准测试，最佳代理在许可的企业代码库中解决了 38.8% 的任务。在此接受率下，最耗时的步骤是判断某项变更是否实际上正确。缩短围绕该步骤的流水线并不能缩短该步骤本身，只是将其前移。因此，有效的目标并非“减少 PR 审查时间”，而是“仅在机器无法做出判断的地方投入人类注意力，并加快决策速度”。基线检查、标准匹配、验收标准检查等均可清晰自动化。人员只需保留一个需要理由支撑的“是”或“否”的决策。仅加速阅读环节的团队会发现队列流转更快，但错误数量保持不变。真正获得实质性缩短的团队是那些改变了顺序的团队：机器先对机械层做出判断，人员再对变更本身做出决策。

Cutting PR review time is really changing where review happens dev.to

RSS Hunter • 昨天

同一基准测试下的两个"Codex CLI"模型：测试框架隐藏了模型

Specific Labs 的 Real-SWE 基准测试揭示了评估代码智能体时的一个关键问题：模型名称如"Claude Code"或"Codex CLI"具有误导性，因为它们代表的是运行框架（harness），而非底层的 AI 模型。同一运行框架在不同集成模型下可表现出截然不同的性能。例如，GPT-6 Astra 在 Codex CLI 上取得了 33.8% 的解决率，而 GPT-5.6 Sol 在同一框架下仅达到 16.2%。超过两倍的差异凸显了运行框架仅作为路由层，而非执行思考的组件。同样，Fable 5.1 在 Claude Code 上得分为 38.8%，而 GLM 5.3 在 Claude Code 上得分为 28.8%，相差十分。Real-SWE 正确地以“模型与运行框架组合”的形式呈现结果，这是一种诚实的做法，却常因可能在其自有工具下产生不利数据而被厂商回避。对于寻求代码智能体的团队而言，仅仅“使用 Claude Code"无法提供关于智能体实际能力的任何洞见。模型切换是最显著的性能杠杆，却在大多数营销宣传中保持隐匿。在审查基准测试分数时，至关重要的是同时识别所使用的模型和运行框架。关键细节包括约定、上下文传递、工具循环以及评判器。厂商不愿披露与分数关联的具体模型应被视为警示信号。运行框架（scaffold）对分数的影响可能远比智能体本身的推理能力更为深远。

Two "Codex CLI" models on the same benchmark: the harness hides the model dev.to

RSS Hunter • 昨天

给编码代理更多时间几乎帮不上忙

Real-SWE 让前沿模型在已授权的企业私有代码库（涵盖计费、税务及多服务工作）上进行了测试，其中一个数据点令我印象深刻：部署时长几乎不影响解决率。在 10 分钟内完成的部署中，71.4% 失败；运行时间达到或超过 10 分钟的部署中，73.4% 同样失败。无论哪种情况，通过率都稳定在 27% 至 29% 之间。将运行时间从几分钟延长至长时间部署，仅使结果偏移约两个百分点，这属于噪声。领跑者 Fable 5.1 配合 Claude Code 仅达到 38.8% 的解决率；GPT-6 Astra 配合 Codex CLI 为 33.8%。即便是顶级模型，在私有企业任务中仍有约六成失败。这正是厂商演示中刻意略过的部分。简单任务能被快速解决，因此在短部署中会呈现出较高的表观吞吐量。但真正关键的任务——那些深埋于实际薪资、税务及集成代码中的问题——却撞上了结构性壁垒。代理并非在这些任务上耗尽算力，而是耗尽了理解力、上下文，或是框架未提供正确的入口点。再多十分钟的循环重试也无法解决这些问题。Real-SWE 做得正确的另一件事是，将每个分数视为“模型 + 框架”的组合，而非仅针对模型本身。Fable 5.1 的 38.8% 是与其在 Claude Code 框架下的组合结果，这是针对私有代码的框架表现，而非对模型在真空环境中的陈述。许多排行榜仍仅发布模型名称而未固定框架，导致人们在不同脚手架之间进行对比，并得出荒谬的结论。给任何采购代理者的建议：当厂商向你展示通过率时，务必询问该数字源自哪个切片。一个因轻松解决快速、浅层任务而显得出色的模型，恰恰掩盖了你真正需要它解决的那类任务。基准来源：withspecific.com/benchmarks/real-swe

Giving a coding agent more time barely helps dev.to

RSS Hunter • 昨天

代理缓存：Valkey和Redis的多层LLM缓存

Agent-cache 是一种三层缓存解决方案，旨在通过减少 token 用量和执行时间来优化 LLM 操作。它使用 Valkey 或 Redis 缓存 LLM 响应、工具输出和会话状态。其架构包括精确匹配的 LLM 响应缓存、用于函数调用结果的工具输出缓存，以及用于代理检查点的会话状态缓存。每一层均采用不同的 TTL 策略：LLM 响应缓存时长为小时级，工具输出缓存时长较短，会话状态则与活跃用户会话同步。LLM 响应的缓存键包含提示词哈希和模型参数，而工具输出的缓存键使用工具名称和参数哈希。由于系统不跟踪依赖关系，因此需要手动失效缓存，支持使用 Redis 通配符模式进行针对性清除。当 Valkey/Redis 不可用时，agent-cache 默认采用优雅降级，跳过缓存层，同时允许为每一层配置快速失败或本地回退选项。系统集成了 OpenTelemetry 和 Prometheus 等可观测性工具，以监控缓存性能和健康状态。该库提供了针对 LangChain、LangGraph 和 Vercel AI SDK 的适配器，并处理各框架的序列化。该方案专为已部署 Valkey 或 Redis 的环境设计，支持独立、哨兵和集群部署，并通过哈希标签实现高效的键分布。主要风险包括工具输出过期、潜在的缓存键冲突以及内存压力，这些风险通过短 TTL、全面的缓存键和内存策略加以缓解。重启期间的会话状态丢失问题可通过 RDB 快照或 AOF 持久化解决。Agent-cache 适用于具有重复提示词或工具调用的代理，旨在控制 token 成本并利用现有的 Redis 基础设施。然而，它不适用于会修改外部状态的工具、因高度动态提示导致缓存命中率低的场景，或需要语义相似度匹配而非精确匹配的情况。该库有效弥合了框架特定缓存与通用 Redis 之间的差距，在代理循环和工具行为已充分理解时效果最佳。

Agent-Cache: Multi-Tier LLM Caching for Valkey and Redis dev.to

RSS Hunter • 昨天

从布满灰尘的 PDF 到 AI 驱动的洞察：构建十年期健康领域 RAG 管道

本教程演示了如何利用检索增强生成（RAG）构建个人健康知识库。其目标是将静态的医疗 PDF 报告转化为动态、可查询的系统。LlamaIndex 负责编排整个流程，Unstructured.io 处理复杂的 PDF 数据提取，Pinecone 作为向量存储。该系统结合了历史个人数据与当前医学文献。该架构采用混合智能方法：DuckDB 用于基于 SQL 的结构化个人指标趋势分析，而 Pinecone 则存储来自医学研究的非结构化语义上下文。Unstructured.io 的 hi_res 策略对于从 PDF 中提取表格至关重要。系统需要 Python 3.10+、Unstructured.io 以及 Pinecone API 密钥。表格通过 Unstructured.io 提取并进行结构化分析过滤。诸如生物标志物水平等结构化数据存储在 DuckDB 中以进行时间序列分析。医疗笔记和研究内容存储于 Pinecone 以实现语义检索。LlamaIndex 的 SQLAutoVectorQueryEngine 智能路由用户查询：将关于个人趋势的问题导向 DuckDB，将关于医学意义的问题导向 Pinecone。这使得能够执行综合性查询，例如分析个人胆固醇趋势并对照当前指南。最终输出通过合并个人趋势分析与循证背景，提供可操作的健康洞察。尽管此设置旨在用于学习，但生产系统需要更严格的数据隐私保护和医学依据。结论强调，RAG 能够将数据情境化以生成可操作的洞察，从而超越简单的文档对话。

From Dust-Covered PDFs to AI-Powered Insights: Building a 10-Year Health RAG Pipeline dev.to

RSS Hunter • 昨天

🔁 在一次数据黑客松期间……我在自己公司发现了一个首席数据官（CDO）的职位机会 😹

在法国新喀里多尼亚，首个专注于公共服务就业的黑客松活动#HackAVP 正式启动。该活动旨在利用技术推动公共部门职业领域的创新。在演示环节，演讲者强调了网站提供的 RSS 订阅源在快速、低技能集成方面的实用性。本文旨在展示具体应用场景，特别是 SaaS 赛道，并提交一个切实可行的示例至在线表单。五分钟演示展示了在 Claude CoWork 中创建定时任务的过程：该任务用于识别合适的公共服务职位空缺，并直接在 Google Drive 上生成简历、求职信及面试准备文档。十分钟演示则对这些功能进行了更深入的剖析。演讲者总结称，通过最小化努力且无需编写代码，便成功找到高度匹配的职位空缺，该职位与其个人背景完全契合。文章最后向读者提出一个问题：您如何利用技术为日常事务提供协助？

🔁 Pendant un hackathon data... je trouve une opportunité de CDO dans ma propre entreprise 😹 dev.to

RSS Hunter • 昨天

提示词是代码。Genkit让运行时可以被审查。

生产环境中的提示词（prompts）与模型游乐场中的提示词存在显著差异，可能导致潜在失败。Genkit 通过将提示词与流（flows）、模式（schemas）、工具、上下文、追踪和评估集成到统一的应用模型中来解决这一问题。提示词应作为版本化工件使用 Genkit 的 Dotprompt 格式进行存储，封装模板内容、模型配置和模式定义。这确保了提示词变更可在 Git 中进行审查，且设置随模板一同传递。提示词应封装在带类型的流中，建立具有稳定名称、经过验证的输入和输出以及追踪身份的应用边界。这种分离确保了生成前的业务规则和生成后的验证独立于模型的核心功能。执行上下文（如身份验证令牌）应通过 Genkit 的上下文对象传递，而非直接插值到提示词本身，从而增强安全性。模型输出必须被视为不可信数据，通过模式验证其可解析性，并通过其他控制措施处理其主张、语气和交付方式。Genkit 追踪整个流，提供对操作、模型调用、工具及潜在失败的视图。该遥测数据基于 OpenTelemetry，有助于调试和可观测性。变更应针对数据集（包括各种边缘情况）进行评估，以确保工作流满足其产品契约，而不仅仅是匹配单个句子。开发人员应部署整个流，而不仅仅是零散的提示词，从而实现协调的回滚、一致的评估和安全部署。最终，完整的工作流——涵盖提示词、流、上下文、工具、模式、追踪和评估——构成了可维护的产品。

Prompts Are Code. Genkit Makes the Runtime Reviewable. dev.to

RSS Hunter • 9月13日

Netcalc - 教育防御安全工具

Netcalc 是一款实用的命令行工具，专为练习 IPv4 和 CIDR 子网计算而设计。它是 LayerByte 教育性网络安全项目的一部分，致力于采用实用且易读的方法以支持防御性学习。该工具的开发聚焦于构建单一概念项目，以便于代码理解与测试。Netcalc 仅限学校用途，强调安全与负责任的使用。其防御范围包括仅接受本地或授权输入，并提供初学者可读的输出。项目具备清晰的验证与错误处理机制。它明确避免任何恶意活动，如凭证窃取、暴力破解、利用、恶意软件、规避或破坏性行为。有益的学习活动包括阅读代码、使用授权样本进行测试，以及对比输入与输出。Netcalc 使用 C++ 构建，采用 MIT 许可证。欢迎反馈，以保持该项目安全、清洁并适用于教育目的。

Netcalc - Educational Defensive Security Tool dev.to

RSS Hunter • 9月13日