周e信

软件组织对复杂性的系统性奖励正在扼杀软件工程中最珍贵的简化工作能力|从暴力遍历到精准查询：四叉树的核心逻辑|纯CSS实现元素焦点悬停等历史交互状态持久记忆|摩托罗拉宣布与GrapheneOS建立合作关系|microgpt - 仅200行纯Python代码的极简GPT实现|维基百科因大量管理员账户遭入侵而进入只读模式|美国科技政策被政治献金扭曲、将商业竞争异化为权钱交易

2026-03-14

第359期 — 2026-03-14

扫描二维码关注微信公众号

Node.js

文章探讨了软件工程领域中一个普遍却鲜被正视的问题：组织激励机制系统性地偏爱复杂性而非简洁性，导致真正优秀的简化工作难以获得认可和晋升。作者指出，在面试、设计评审和晋升评估等关键环节中，过度设计的工程师往往能产出引人注目的叙事（如“构建可扩展事件驱动架构”），而选择最简可行方案的工程师虽交付更快、代码更易读易维护、缺陷更少，却因成果“过于简单”而缺乏可展示的亮点——“没人会因避免了复杂性而获得晋升”。这种偏差并非有意为之，而是源于评价体系默认将复杂度等同于技术深度与影响力。文章进一步剖析其根源：面试官倾向追问扩展性以考察思维，设计评审中“是否该为未来预留”成为惯性质疑，团队文化将抽象与分层误认为专业性的标志。作者强调，问题不在于复杂性本身，而在于“无谓的复杂性”（unearned complexity）——即在没有实际需求时提前引入的技术负担。真正的资深能力体现于判断何时无需使用某种模式或工具。为此，作者向工程师提出实操建议：主动将“未做之事”显性化（如记录已评估但放弃的复杂方案）、在设计评审中用成本-收益分析回应未来主义质疑、主动与管理者沟通如何呈现决策价值；同时呼吁工程领导者重构激励机制，将“最小可行解的选择与验证”纳入晋升标准，调整设计评审提问方式（如“最简版本是什么？什么信号表明需升级？”），并公开表彰删减代码、抵制过早抽象等体现工程判断力的行为。

Terrible Software

放弃 Next.js 与 Server Actions舍弃 18 个月代码重写 🔗

2026年3月，Autonoma团队宣布舍弃耗时18个月开发、已实现客户拓展和行业融资的产品全部代码进行重写，核心原因一是前期开发理念走偏，创始人因过往过度工程化教训，采用非严格TypeScript单仓且拒绝写测试，仅追求快速上线，团队扩张至14人后代码库混乱、BUG频发甚至流失客户，技术债务高企；二是AI技术迭代，产品最初因GPT-4能力有限搭建的复杂代码检测封装，在大模型技术进步后已无必要，重构比重构旧代码更具性价比。团队此次重写也彻底放弃了深度使用的Next.js及Server Actions，后者存在异步处理繁琐、难以测试、全局串行执行、不可观测、有安全隐患、以错误为流程控制方式等诸多缺陷，且Next.js整体运行效率极低。取而代之的是React+tRPC（TanStack Start）+Hono后端的技术栈，适配团队的Kubernetes部署架构，相较原Next.js容器单实例8GB的内存占用，新方案中React编译为静态文件通过CDN分发几乎无消耗，Hono后端内存占用不足100MB，资源消耗大幅缩减。同时针对业务的有状态工作流编排需求，团队放弃了useworkflow.dev、Temporal等易出现流程卡死、难以测试的方案，选用K8s原生的Argo，其能保障任务执行顺序、支持大规模测试任务稳定运行，也适配业务需为任务部署配套依赖的需求，虽测试难度仍存但团队已有适配的抽象层。目前团队正联合设计合作伙伴测试重写后的产品，即将正式发布，也欢迎行业内的技术交流与更优解决方案的建议。

Tom Piaggio

字典压缩新纪元：Zstd与Brotli如何重塑Web传输性能 🔗

字典压缩技术通过利用客户端与服务器共享的预定义数据（字典），能显著减少重复内容的传输体积，其中 Zstandard (zstd) 凭借速度与效率的平衡适合动态内容，而 Brotli 则以极致压缩率见长；该技术特别适用于频繁更新但结构稳定的大型资源场景，如JavaScript 包、WebAssembly (WASM) 文件、固定结构的 API 响应及搜索引擎结果页，在 Google、YouTube 等实际应用中使此类资源的传输量减少了 50% 至 90%；随着浏览器（如 Chrome 130+）和运行环境（Node.js, Python）对自定义字典及标准协议（RFC 9842）的广泛支持，它已成为优化现代 Web 应用加载性能的关键手段，但在实施时需妥善解决缓存一致性、安全限制及额外计算开销等问题。

Tim Perry

Node.js 核心开发者分享AI 技能 🔗

2026年3月1日，Node.js核心开发者分享了为解决AI辅助Node.js开发时代码生成质量不佳、需频繁修正的问题，结合自身多年在Node.js、Fastify、TypeScript等领域的开发经验整理的符合Anthropic发起的开放Agent Skills标准的个人技能仓库，可通过npx skills add mcollina/skills使用，仓库涵盖fastify开发、Node.js开发与底层原理、TypeScript高级用法等9项细分技能，每项均配有文档、代码片段和配置示例，AI助手可读取这些内容并在代码评审、新功能开发中应用，实现更贴合专业预期的辅助开发，该标准适配OpenAI Codex、GitHub Copilot等多款主流AI开发工具，作者还计划后续新增性能优化、安全、部署模式相关技能，仓库地址为 github.com/mcollina/skills。

Matteo Collina

Javascript

从暴力遍历到精准查询：四叉树的核心逻辑 🔗

这篇交互式科普博文以Uber的应用场景为切入点，全面讲解了四叉树这一二维空间划分数据结构，其为解决地图应用等场景中空间数据暴力遍历效率低下的问题而生，核心是将二维矩形区域递归划分为四个象限，节点超容则继续细分，结构随数据分布自适应，密集区细分为小单元格、稀疏区保持大单元格，还可通过4-16的通用节点容量调优树的形态；该结构拥有单点查找、范围查询、最近邻查找三大高效核心能力，查询逻辑类似二分查找，能通过剪枝排除无关区域，大幅减少无效计算，时间复杂度远优于暴力遍历；其应用场景广泛，可用于游戏和物理仿真的碰撞检测、图像压缩，还支撑着地图服务、GIS、数据库的空间索引及Uber的点位匹配等需求，同时它也是二维空间划分的基础结构，理念延伸出八叉树、KD树、R树等空间划分数据结构变体，这类结构虽各有取舍，但核心均为按位置组织数据、跳过无关区域，实现从“全量检查”到“精准检查”的优化。

growingswe

revogrid - 高性能支持大量数据类excel表格 🔗

Revolist OU

Notion 如何构建可靠的离线架构 🔗

Notion团队通过重构底层架构，成功将应用从纯在线模式转变为支持离线使用。核心挑战在于其独特的“块”结构及复杂的引用关系。

解决方案主要包括三方面：首先，将SQLite从临时缓存升级为持久化存储层，确保数据完整性；其次，创新设计“离线树”数据模型，通过多重原因机制（如手动标记、最近访问、父级继承）管理页面离线状态，仅当所有原因消失时才移除数据，并自动下载关联内容；最后，建立高效同步机制，利用推送式更新替代轮询，并在重连时仅同步变更部分，同时动态修剪离线树以适配内容结构变化。

这一转型不仅实现了无网环境下的完整读写功能，还解决了多设备冲突问题，标志着Notion向“本地优先”架构迈出了关键一步，极大提升了用户体验和数据可靠性。

Raymond Xu

JavaScript中车辆识别码VIN解码的三种核心方法 🔗

这篇文章针对JavaScript开发中的汽车VIN解码需求，介绍了离线解码@cardog/corgi、在线解码Cardog API、原生调用NHTSA公共API三种方法，分别讲解了各方法的安装使用、优劣势与适用场景，通过表格和性能测试对比了三者在响应速度、网络依赖、数据类型等方面的差异，还给出了结合离线快速解码与在线增值数据的VIN扫描器实战代码，最终推荐多数JS汽车项目以免费开源、低延迟的@cardog/corgi实现基础解码，需市场估值、召回信息等增值内容时叠加Cardog API，仅将NHTSA API用于调试或学习。

cardog

2026款Flash继任工具开发中，跨平台且兼容旧文件 🔗

2026年3月11日Bill Premo在Newgrounds发布消息，宣布正开发一款适配当下技术环境、支持Linux、Mac、PC跨平台的全新Flash替代版2D动画创作工具，该工具由C#结合Avalonia和SkiaSharp从底层构建，并非概念验证类小项目，而是功能完备的专业创作环境，开发者已开启Patreon众筹并会持续在该平台更新进度；工具完整复刻并升级了Flash核心功能，不仅还原了其矢量绘图、时间轴、形状补间、符号库等经典功能，支持全部5种Flash原生绘画模式，还是目前唯一能完整导入并编辑.fla/XFL旧Flash文件的开源创作工具，还搭建了基于Roslyn的C#双层面脚本系统，计划开发ActionScript-to-C#转译器以兼容旧脚本，同时内置SkiaSharp波形渲染的音频编辑器；此外工具功能体系极为全面，涵盖17种绘图工具、多类型对象与完善的符号系统、多图层多补间的动画体系、丰富的样式滤镜与编辑功能、灵活的导入导出（支持SWF、HTML5/Canvas等）、完整的C#脚本与自动化API、可视化音频编辑、精细的富文本格式设置，以及VS式便捷的UI/UX设计，且支持自动保存、多场景管理、最多100步的撤销/重做等实用功能，目前工具仍在持续开发中，开发者希望通过众筹组建专属团队进一步完善。

Bill Premo

10%的Firefox崩溃由比特位翻转引起 🔗

文章指出，Firefox浏览器约10%的崩溃事件并非由软件缺陷引起，而是由硬件层面的“位翻转”（bitflip）导致。位翻转是指内存中单个比特位因宇宙射线、电源波动或硬件老化等物理原因发生意外翻转（0变1或1变0），从而引发程序异常。作者通过分析Mozilla的崩溃报告数据，并结合内存错误检测工具（如EDAC）、服务器端日志与用户反馈，确认大量看似随机的崩溃（尤其表现为堆损坏、无效指针解引用等）实际源于不可预测的硬件级错误。文章强调，这类问题在消费级DRAM中比预想更常见，且传统软件调试手段难以复现和定位；同时指出，启用ECC内存可显著降低此类崩溃，但目前主流桌面/笔记本平台普遍不支持ECC。此外，作者呼吁浏览器开发者在崩溃分类与诊断中纳入硬件错误可能性，避免将资源过度投入修复“伪bug”。

Hanno Böck

前端

纯CSS实现元素焦点悬停等历史交互状态持久记忆 🔗

核心是将CSS动画当作状态机，利用animation-play-state（初始暂停、交互时运行）、animation-fill-mode: forwards（保留动画最终态）和极短的动画时长，让元素触发:focus/:hover后瞬间完成状态切换并持久保留样式，该方法不仅支持修改各类CSS属性（包括非可动画属性）、多元素独立记忆状态，还可通过自定义属性（如--was-focused）结合@container style()容器查询重构为高复用方案，无需JavaScript，轻量且适配focusgroup等原生Web特性，突破了传统CSS无法记忆历史交互状态的限制。

Patrick Brosset

从照片中产生调色板在线工具 🔗

photopalettes.com

React Fiber 存在的根本原因 🔗

React Fiber 存在的根本原因是为了解决传统递归渲染机制在 JavaScript 单线程环境下无法中断、导致主线程阻塞和界面卡顿的问题；它通过将组件树重构为链表结构，把渲染任务拆分为可独立执行的小单元，实现了可中断的增量渲染（时间分片），允许 React 在执行过程中暂停以响应高优先级的用户交互（如输入、动画），随后再恢复低优先级任务，从而显著提升了应用的响应速度和流畅度，并为并发模式奠定了基础。

Sankalpa Acharya

HeyForm：面向调查、问卷和投票的开源表单构建器 🔗

heyform

1 人两周 13 万行，AI 时代前端框架迁移的新可能 🔗

并非无差别让 AI 生成代码，而是通过标准化、规则化的管控方式，让 AI 成为高效的代码迁移助力，具体落地为：先由工程师梳理 Svelte 最佳实践制定严格编写规则，规避 LLMs 因 React 开发习惯写出低性能代码的问题，为 AI 输出优质代码定标；工具上以支持细粒度代码控制的 Cursor 为主、Claude Code 和 Codex 为辅；使用时按功能模块推进，让 AI 遵循 “读规则 - 代码迁移 - 人工测试验证” 的固定流程，同时将旧 React 代码保留在指定文件夹作为 AI 的功能参考，并持续同步开发分支最新代码，保证迁移逻辑与业务匹配；还借助并行代码代理的能力实现多模块同步推进，结合人工定规范、做测试、控方向的把控，让 AI 承担重复性代码迁移工作，最终单名工程师依托这套 AI 使用模式，仅用两周就完成了原本需要团队数月的重构工作，大幅提升了开发效率。

迁移成果显著，新标签页首次内容绘制从300ms降至124ms，LLM令牌流重渲染减少90%，摇树优化还节省200ms，UI能跟上AI令牌推送速度；代码库也移除56个无用依赖、新增更多测试，更精简且适配LLMs开发。这一实践也为行业带来启示，对需持续响应AI流式输出的产品，Svelte优势突出，而AI代码代理大幅降低大型项目重构门槛，颠覆了传统代码重写的成本认知。

Strawberry

500个仓库的前端内存泄漏研究 🔗

该研究分析了500个前端开源项目，发现86%存在内存泄漏，共检出近5.6万个实例。React、Vue和Angular均受影响，其中React占比最高。主要泄漏源为未清理的定时器（43.9%）、未移除的事件监听器（19.0%）及未取消的订阅（13.9%）。实验表明，单次组件挂载/卸载若未清理资源，平均泄漏约8KB内存。这种泄漏呈线性累积，数百次导航后可达数十MB，极易导致移动端崩溃。根本原因在于开发者误信垃圾回收能自动处理所有引用，而实际上未解除的全局引用链会阻止回收。文章建议团队立即审查useEffect、onMounted及subscribe等关键位置，确保添加对应的清理逻辑（如removeEventListener、unsubscribe）。修复通常仅需一行代码，却能显著消除长期运行下的内存隐患，提升应用稳定性。

Ko-Hsin Liang

移动端

摩托罗拉宣布与GrapheneOS建立合作关系 🔗

文章报道了摩托罗拉（联想旗下公司）于2026年3月2日在世界移动通信大会（MWC）上宣布与GrapheneOS基金会建立长期合作伙伴关系，旨在提升智能手机安全水平并拓展其企业级解决方案组合。该合作标志着摩托罗拉将把GrapheneOS——一个基于Android开源项目、以隐私和安全为核心设计的强化型操作系统——引入其下一代智能手机，共同推进设备级安全技术发展，并开展联合研究、软件优化及新安全功能开发。同时，摩托罗拉还推出了三项新功能：面向企业的Moto Analytics分析平台，为IT管理员提供设备性能、应用稳定性、电池健康与网络连接等实时运营洞察；新增的“Private Image Data”功能，可自动剥离照片中包含位置、设备型号等敏感信息的元数据，增强用户隐私保护；以及整合进Moto Secure安全中心的多项ThinkShield驱动的安全工具，统一管理权限、文件加密与设备完整性监控。这些举措共同强化了摩托罗拉在消费端与B2B市场的安全技术布局，体现其以安全为基石、面向未来企业需求的技术承诺。

Motorola

摩托罗拉GrapheneOS设备将支持引导加载程序解锁和重新锁定 🔗

文章报道了Motorola即将推出的GrapheneOS设备将支持引导加载程序（bootloader）的解锁与重新锁定功能。这一特性对注重隐私和安全的用户至关重要，因为GrapheneOS要求设备引导加载程序必须可解锁，以便安装经过验证的、开源的、强化的安全操作系统；而“可重锁定”能力则允许用户在需要时恢复设备至出厂安全状态（例如启用Secure Boot和Verified Boot），兼顾安全性与灵活性。目前，Motorola已确认其即将发布的部分机型（如Motorola Edge系列新机）将原生支持该功能，成为继Google Pixel之后少数官方支持GrapheneOS完整生命周期管理的Android厂商之一。此举被视为Motorola向开源安全社区释放的重要信号，有望推动更多OEM厂商跟进开放引导加载程序控制权。

Mishaal Rahman

苹果公司发布搭载M5 Pro和M5 Max芯片的MacBook Pro 🔗

苹果公司于2026年3月3日发布了搭载全新M5 Pro和M5 Max芯片的14英寸和16英寸MacBook Pro，这是苹果首款采用革命性Fusion Architecture架构的笔记本电脑芯片，专为AI工作负载从零设计。新机型在CPU（配备全球最快的CPU核心）、GPU（每个核心集成神经加速器）和统一内存带宽方面实现重大升级，AI性能相比前代提升最高达4倍、相比M1系列提升高达8倍；SSD读写速度提升最高达2倍（达14.5GB/s），起始存储容量分别提升至1TB（M5 Pro）和2TB（M5 Max）。产品还集成Apple自研N1无线芯片（支持Wi-Fi 7和Bluetooth 6）、Liquid Retina XDR显示屏（1600尼特HDR峰值亮度）、12MP Center Stage摄像头、六扬声器系统，并预装全新macOS Tahoe系统，深度整合Apple Intelligence功能（如Live Translation、智能Shortcuts等）。环保方面，设备采用45%再生材料（包括100%再生铝外壳和电池钴），并承诺向2030年碳中和目标迈进。新品于3月4日开启预售，3月11日正式发售，起售价分别为2199美元（14英寸M5 Pro）和3599美元（14英寸M5 Max）。

Apple

number-flow-react-native - react native数字滚动特效组件 🔗

Antonín Wingender

react-native-view-recorder 录制React Native中指定View组件的内容 🔗

Antonín Wingender

苹果公司于正式发布全新入门级笔记本电脑MacBook Neo 🔗

MacBook Neo是苹果推出的史上最便宜Mac笔记本，以599美元起售价、A18 Pro芯片、13英寸Liquid Retina屏、16小时续航和多彩铝合金设计，重新定义了高性能入门级笔记本的价值标杆。

人工智能

microgpt - 仅200行纯Python代码的极简GPT实现 🔗

本文介绍了Andrej Karpathy开发的"microgpt"项目——一个仅200行纯Python代码、无外部依赖的极简GPT实现。文章详细解析了该项目的完整技术栈：从使用32,000个名字作为训练数据集，到基于字符的简单tokenizer（含BOS特殊标记），再到完全从零实现的autograd引擎（Value类）；接着描述了包含嵌入层、RMSNorm归一化、多头注意力机制和MLP块的GPT-2风格架构；然后展示了使用Adam优化器的训练循环，通过交叉熵损失函数进行1000步训练；最后演示了推理过程，生成新颖但符合统计规律的名字。文章强调microgpt虽仅有4192参数（对比GPT-2的16亿），却完整包含了现代大语言模型的核心算法本质，所有其他工程优化（如GPU加速、子词分词、大规模数据等）都是在此基础上的效率提升。

Andrej Karpathy

Microslop一词在官方Microsoft Copilot Discord服务器中被过滤 🔗

微软官方Copilot Discord服务器因用户频繁使用贬义绰号“Microslop”（结合Microsoft与Sloppy的戏谑词）而启动自动关键词过滤，任何包含该词的消息均被系统拦截并提示“内容不适当”。此举引发社区强烈反弹，用户迅速尝试各种变体拼写（如“Microsl0p”）绕过过滤，导致事态升级。随后微软临时锁定整个Discord服务器，限制消息发送、隐藏历史记录，并暂停多数用户发帖权限。尽管初期报道将此归因为对负面绰号的敏感反应，微软后续向Windows Latest澄清：此次封锁实为应对一场有组织的垃圾信息攻击（表现为大量重复/无关文本刷屏），关键词过滤仅为短期应急措施，旨在遏制恶意 spam；公司正加紧部署更完善的防护机制，恢复社区安全交流环境。文章还指出，Copilot Discord社区早期氛围积极，但随Windows 11激进AI化推进及系统稳定性问题频发，用户情绪明显转冷；尽管Copilot部分功能（如跨服务数据连接）确有实用价值，其品牌声誉已严重受损，且面临Anthropic、Google、OpenAI乃至Apple等竞争对手的强势挑战。

Abhijith M B

运维

维基百科因大量管理员账户遭入侵而进入只读模式 🔗

维基媒体基金会于2026年3月5日至6日期间遭遇大规模管理员账户被入侵事件，导致维基百科及其他维基项目网站进入只读模式（read-only mode），用户无法进行编辑操作；事件从3月5日15:36 UTC开始被发现并进入调查阶段，随后确认为管理员账户批量失陷，团队于3月5日17:09 UTC识别问题、17:36 UTC恢复部分读写功能，3月6日00:05 UTC持续监控，最终在3月6日早些时候全面恢复读写功能及大部分用户脚本能力；该事件属于严重安全事件，直接影响全球编辑协作能力，但未造成数据泄露或内容篡改的公开报告，系统状态页面显示其由Atlassian Statuspage平台托管并实时更新响应进展。

Wikimedia

加拿大不列颠哥伦比亚省将永久采用夏令时 🔗

不列颠哥伦比亚省（B.C.）计划在 2026 年春季调快时间后永久保持夏令时，不再每年春秋各调一次时钟，这意味着全年维持 UTC−7；政府认为这样可以减少时间切换带来的混乱并让傍晚有更多日照，但一些健康专家担心长期使用夏令时可能对人体生物钟产生负面影响。

SSH 多人贪吃蛇 snakes.run：亿级像素渲染的技术攻坚 🔗

2026年2月发布的基于SSH的大规模多人在线贪吃蛇游戏snakes.run，玩家可通过终端执行ssh snakes.run游玩，开发者在开发中攻克了显示、带宽、性能三大核心难题：显示上改用Unicode块元素和终端前后景色让视觉更流畅，带宽上通过VT100序列状态化渲染、状态化4位颜色等优化，将单玩家带宽从35KB/秒降至2.5KB/秒，性能上则通过修复函数接收器问题、移除低效第三方库、全量预分配缓存、改造SSH协议剥离按键时序混淆功能等操作实现25倍性能提升，最终该游戏后端sshd能实现每秒渲染超1亿像素，稳定支持2500名并发玩家，其开发也为终端大型多人应用的优化提供了实践参考。

Nolen Royalty

Meta的人工智能眼镜个人数据外包给第三方公司无隐私查看 🔗

瑞典《Svenska Dagbladet》与《Göteborgs-Posten》联合开展的深度调查揭露了Meta公司新款AI智能眼镜（Meta Ray-Ban Glasses）背后严重的数据隐私隐患。报道指出，尽管Meta宣称用户拥有完全的数据控制权，但实际使用中，语音、图像甚至视频数据必须上传至Meta服务器（包括位于瑞典吕勒奥和丹麦的数据中心）才能启用AI功能，无法实现纯本地处理。更令人震惊的是，这些敏感数据被外包给肯尼亚内罗毕的第三方公司Sama进行人工标注——员工日复一日观看并标注包含如浴室场景、性行为、裸体、银行卡片信息乃至犯罪讨论等极度私密内容的视频和音频，而这些内容往往来自 unaware 的普通用户（包括瑞典消费者）。调查发现，销售终端对产品隐私机制普遍缺乏了解，许多店员错误告知顾客“数据完全本地存储”；Meta的隐私政策虽提及用户需主动授权数据用于AI训练，但AI基础功能本身即强制要求数据上传与处理，且未明确说明数据存储时长、访问权限及跨境传输合规性。专家指出，Meta将欧盟用户数据传至尚未获欧盟“充分性认定”的肯尼亚，可能违反GDPR，而所谓“人脸自动模糊”技术在实践中也常失效。Meta始终回避核心问题，仅援引其模糊的条款与政策作答。

Naipanoi Lepapa, Ahmed Abdigadir, Julia Lindblom

Google Workspace命令行工具 🔗

Google Workspace CLI是一个动态生成、AI就绪的开源命令行工具，通过实时对接Google Discovery Service，为人类开发者和AI代理提供统一、结构化、零样板的Google Workspace全API访问能力。

googleworkspace

其他

美国科技政策被政治献金扭曲、将商业竞争异化为权钱交易 🔗

本文作者加里·马库斯（Gary Marcus）揭露并批判了一场被他称为“骗局”的政治与商业操作：在Anthropic公司联合创始人达里奥·阿莫代（Dario Amodei）公开寻求政府支持期间，OpenAI CEO萨姆·阿尔特曼（Sam Altman）表面上公开声援阿莫代，实则早已秘密推进一项与之竞争的交易——该交易条款与Anthropic所提条件高度相似，却因另一方（暗示为Altman关联方）向特朗普政治行动委员会（PAC）捐赠了2500万美元而获得优待；更讽刺的是，这一秘密谈判始于阿尔特曼公开表态支持阿莫代之前、特朗普公开谴责Anthropic之前，却在布鲁克斯曼（Brockman）完成捐款之后。作者指出，美国政府以“供应链风险”为由永久封杀Anthropic，却将同等条件的合同授予政治献金更多者，此举违背公平原则与市场机制，暴露出权力与资本勾结的寡头化倾向；尽管作者批评Amodei及其公司存在夸大宣传、侵犯作家版权（15亿美元和解案）、背弃安全承诺等问题，仍坚持主张其应获得完全平等的竞争机会，强调真正的资本主义应由市场而非人脉与捐款决定成败。

Gary Marcus

一位英国作者坚决拒绝为任何在线服务提供身份或年龄验证 🔗

文章是尼尔（Neil）在其个人博客中发表的一篇反思性随笔，表达了他对当前全球范围内日益普遍的在线身份和年龄验证要求的强烈抵触。作者指出，这类政策往往缺乏清晰的问题界定、深入的社会学考量，而过度依赖技术解决方案；他逐一审视了自己日常使用的各类网络服务（如RSS订阅、视频平台、论坛、维基百科、即时通讯工具Signal、远程会议软件Teams/Zoom等），发现几乎没有任何服务能说服他主动提供身份或年龄证明——即便某些服务（如Teams）可能因工作需要而不得不妥协，他也明确表示将为此类强制措施持续发声反对。作者强调，自己倾向于通过自托管服务（如Jellyfin、XMPP、Kiwix）、Tor访问、内容屏蔽等方式维持数字自主权与隐私安全，并将这种立场称为“自我施加的数字孤立主义”。全文贯穿对数据隐私、个人自由与技术治理失衡的深切忧虑。

Neil

全球变暖已显著加速 🔗

该预印本研究由Stefan Rahmstorf和Grant Foster共同完成，探讨了全球变暖是否已显著加速。尽管近年屡创高温纪录引发相关讨论，但此前分析因未充分排除自然变率影响，未能在95%置信水平上确认加速趋势。本文创新性地校正了三大自然变率因素——厄尔尼诺-南方涛动（ENSO）、火山活动和太阳辐射变化的影响，对全球温度数据进行调整后发现：自2015年起，全球气温的上升速率已明显超过1945年以来任何其他十年期的升温速度，从而在统计上证实了全球变暖的显著加速现象。

Stefan Rahmstorf, Grant Foster

13岁澳洲男孩4小时4公里孤身泅渡惊涛奇迹救回全家 🔗

2026年2月，澳大利亚西澳州发生了一起令人动容的救援奇迹。13岁少年奥斯汀·阿佩尔比随母亲及两名弟妹在昆达卢普海滩游玩时，突遭风向突变与巨浪袭击，导致全家乘坐的桨板和皮划艇失控漂向深海。在皮划艇严重漏水、母亲体力耗尽且周围无人求助的绝境下，奥斯汀临危受命，独自承担求救重任。

面对冰冷的海水和汹涌的波涛，曾被视为游泳“非优等生”的奥斯汀脱掉阻碍行动的救生衣，凭借顽强的意志力，混合使用多种泳姿，在黑暗中艰难跋涉了整整4个小时，游出约4公里抵达岸边。上岸后，他强忍极度疲劳奔跑两公里取回手机拨打急救电话。最终，在他的精准指引下，救援直升机与船只及时赶到，将已在海中濒临极限的母亲和弟妹成功救起。奥斯汀以超越年龄的勇气与毅力，单枪匹马挽救了四位家人的生命，被当地誉为英雄。

Andrea Mayes

扫描二维码关注微信公众号

公开请愿禁止在Node.js核心代码中使用AI生成的代码|通过WebAssembly Component Model让WebAssembly成为Web上的一等编程语言|纯CSS和select元素实现弧形文件夹，扇形卡牌，环形Emoji(需要js)|“这台电脑(MacBook Neo)并不-并不适合你”|Plasma - 面向电视和大屏设备的开源可定制隐私优先的Linux桌面|AI代理普遍存在的“无法理解‘不’”这一核心问题|判断用户本地设备能否运行各种AI大模型的网页|爱尔兰关闭最后一座燃煤电厂成欧洲第15个无煤国

2026-03-21

第360期 — 2026-03-21

在浏览器中阅读

扫描二维码关注微信公众号

Node.js

公开请愿禁止在Node.js核心代码中使用AI生成的代码 🔗

起因是社区出现近1.9万行由 Claude Code 生成的核心代码 PR，尽管 OpenJS 基金会认定不违反开发者原产地证书，但请愿方认为 Node.js 作为关键基础设施，核心代码应人工手写维护，AI 生成代码会破坏项目信誉、不符合开源透明可复现原则，目前已有众多社区开发者与专家联署支持。

Fedor Indutny

TanStack React Router Next.js 性能大比拼 🔗

团队借助Claude Code构建同款卡牌电商应用CardMarket，在AWS EKS环境以1000 req/s无缓存压力，对TanStack Start、React Router、Next.js三款React SSR框架开展公平基准测试，同时对比Node.js与Watt（基于SO_REUSEPORT的多工作线程运行时）的表现，还通过platformatic/flame火焰图向框架团队共享性能数据与瓶颈问题，推动了显著生态优化：TanStack团队7个小版本实现252倍响应速度提升，成为性能领跑者，在Watt运行时下1000 req/s平均延迟仅13ms、100%请求成功，吞吐量比React Router高25%、延迟低35%；React Router全程零失败，Watt加持下延迟降38%，表现稳定可靠；Next.js v15.5.5在高负载下表现拉胯，40%请求失败，升级至v16.2.0-canary.66后吞吐量翻倍、延迟降6倍，且其团队推动React核心仓库优化，实现RSC反序列化75%提速，惠及所有RSC框架。测试还发现Watt对所有框架均有稳定性能提升（7%-38%），是低风险优化方案，且框架选择的性能影响远大于运行时，同时及时更新依赖能获取显著性能红利。最终得出选型建议：高吞吐场景优先TanStack Start或React Router，已有Next.js项目需升级v16+并配套缓存，所有SSR服务建议标配Watt；而本次测试的核心价值不仅是得出性能排名，更在于通过开源数据协同推动了整个React/Node.js生态的性能提升，且各框架各有优势，TanStack架构激进、React Router成熟、Next.js生态庞大，需结合业务场景选择。

Matteo Collina

Node.js Threads实践解决CPU密集阻塞与心跳稳定性问题 🔗

这篇文章核心讲：Node.js 单线程易被 CPU 密集代码阻塞事件循环，导致 Inngest Connect 心跳中断、报“无可用 worker”错误，团队将 WebSocket 与心跳等核心逻辑移入 worker 线程彻底解决问题，同时总结出 worker 线程的关键特性与坑点：每个 worker 有独立 V8 隔离环境与事件循环，互不阻塞；但不能传函数、只能指定文件入口、通信靠序列化消息、打包工具难自动识别、内存与启动开销大，适合长驻任务而非轻量短任务，最终实现主线程执行业务、worker 保连接稳定的可靠架构。

Aaron Harper

Javascript

通过WebAssembly Component Model让WebAssembly成为Web上的一等编程语言 🔗

文章探讨了WebAssembly（Wasm）在Web平台上长期处于“二等公民”地位的根本原因，并提出WebAssembly Component Model作为关键解决方案。作者指出，尽管Wasm自2017年发布以来已大幅增强功能（如SIMD、GC、异常处理等），并支持更多语言，但其与Web平台的集成仍严重依赖JavaScript——Wasm无法直接加载（需JS API手动实例化）且无法直接调用Web API（必须通过繁琐、低效、语言特定的JS“胶水代码”桥接）。这导致开发者体验差：入门门槛高、构建流程复杂、文档适配困难、运行时性能损耗显著（实验显示DOM操作开销可高达45%）、且迫使开发者必须掌握JavaScript。根本症结在于Wasm未被深度嵌入Web平台架构层。文章进而介绍WebAssembly Component Model：一种标准化、自包含、跨语言的可执行格式，通过WIT（WebAssembly Interface Types）定义接口，支持直接绑定原生Web API、零JS胶水代码加载（如<script type="module" src="component.wasm">），并实现Wasm与JS无缝互操作（如JS可直接import Wasm组件导出的资源接口）。作者强调，该模型有望让Wasm从“专家级工具”转变为普通开发者可用的“一等公民”，Mozilla和Google正协同推进其标准化与实现。

Ryan Hunt

原生 JSON 模块正式落地，import 无需构建工具 🔗

原生 JSON 模块现已标准化，使用 with { type: "json" } 可在浏览器与运行时直接导入 JSON，无需构建工具，更安全规范，也为 CSS、WASM 等模块导入奠定标准。

Matt Smith

Temporal：修复JavaScript中时间问题的九年征程 🔗

本文详细回顾了JavaScript中Temporal API长达9年的标准化历程，讲述了这一旨在彻底解决JavaScript原生Date对象长期存在缺陷（如可变性、时区处理不当、月份计算不一致、解析歧义等）的新标准的诞生过程。文章从Bloomberg工程师Jason Williams的个人经历切入，介绍了TC39标准化流程各阶段，追溯了Date对象在1995年作为Java Date的仓促移植所埋下的历史根源；分析了Moment.js等第三方库虽缓解问题却带来包体积、国际化数据冗余等新挑战；重点描述了以Maggie Johnson-Pint为发起人、Bloomberg与Igalia深度合作、Google/MS/Mozilla等多方参与的“冠军团队”如何协同推进设计、实现与测试；特别强调了创新性跨引擎协作项目temporal_rs（用Rust编写的共享实现库）对加速落地的关键作用；最后展示了Temporal丰富的类型体系（ZonedDateTime、Instant、Plain系列、Calendar支持、Duration等）及其在主流浏览器和Node.js中的实际支持情况，并展望了与Web API（如input元素、DOMHighResTimeStamp）进一步集成的未来方向。

Jason Williams

前端

纯CSS和select元素实现弧形文件夹，扇形卡牌，环形Emoji(需要js)🔗

通过 appearance: base-select 与 ::picker()/::picker-icon/::checkmark 伪元素开启完整自定义能力，使用 sibling-index()/sibling-count() 实现选项差异化样式，结合 transform-origin、position-area 锚点定位与 cos()/sin() 三角函数完成弧形、扇形、环形布局，并通过 @starting-style、@property 与过渡动画实现流畅展开效果，全程保留原生交互与无障碍，不支持浏览器自动降级为普通 select，是一套兼顾创意与兼容性的渐进增强方案。

Patrick Brosset

美田纳西一无辜祖母因AI面部识别误判遭跨州错误羁押近六个月 🔗

50岁的田纳西州祖母安吉拉·利普斯（Angela Lipps）因法戈警方在银行欺诈调查中错误使用人工智能面部识别技术而被误认为嫌疑人，于2025年7月14日在家中被美国法警持枪逮捕，随后作为“北达科他州逃犯”在田纳西州监狱被无保释羁押近四个月；10月30日被押送至北达科他州卡斯县监狱，又继续关押至12月24日（总计近六个月），期间警方从未当面讯问她；案件指控基于面部识别匹配结果及对其社交媒体和驾照照片的主观比对，但缺乏进一步核实；其律师调取银行流水等证据证实，案发时段利普斯始终身在田纳西州（距离法戈超1200英里），从事日常消费活动；12月19日警方首次会见后，检方于圣诞前夜撤销全部八项指控；获释后她身无分文、衣着单薄滞留冰天雪地的法戈，靠当地公益组织F5 Project和律师资助才得以返乡；事件导致她失去房屋、汽车和爱犬，且法戈警方至今未道歉，也未就误判作出解释或问责。

Matt Henson

卡塔尔氦气停产危机正使全球芯片供应链面临两周倒计时 🔗

卡塔尔能源公司位于拉斯拉凡的全球最大氦气生产基地因伊朗无人机袭击于3月2日停产，导致全球约30%的氦气供应中断。尽管卡塔尔能源已于3月4日宣布不可抗力并暂停履约，但截至3月11日（文章发布日）仍未恢复生产。氦气对半导体制造至关重要，主要用于硅晶圆制造过程中的低温冷却和工艺腔室惰性气体置换。韩国尤为脆弱，2025年其64.7%的氦气进口依赖卡塔尔，且无可行替代品；韩国已启动对14种关键半导体材料及设备的供应链调查。SK海力士表示已实现氦气供应多元化并备有充足库存，台积电则称暂未受显著影响。业内警告若停产持续超两周，工业气体分销商将被迫迁移低温设备并重新验证供应商，耗时数月。该事件令人联想到2022年俄乌冲突引发的氦氖气短缺，当时已推动韩国加速推进气体供应多元化与本土化。

Luke James

stroke - 创建手绘svg动画可粘贴代码 🔗

Abhishek

移动端

“这台电脑(MacBook Neo)并不-并不适合你”🔗

这篇文章是一篇富有哲思与情感力量的科技评论，作者以自身童年经历为线索，反思了当下对苹果新款MacBook Neo（售价599美元、搭载A18 Pro芯片、8GB内存、精简接口）的主流评价范式。作者指出，多数评测将用户预先归类（如学生、创意者、专业人士），并据此“授权”其欲望、划定使用边界（例如“若想用Xcode或Final Cut，这台电脑不适合你”），这种实用主义导向虽稳妥负责，却忽视了技术启蒙的真实路径：不是从“合适工具”起步，而是在资源匮乏、性能受限的设备上持续试探、越界、失败与重构——正如作者九岁时在2006年仅3GB内存、机械硬盘的旧iMac上强行运行Final Cut Pro X、盗版Adobe CS5、篡改系统文件、模仿WWDC演讲幻灯片。他强调，MacBook Neo虽被阉割了MagSafe、ProMotion、M系列芯片等“高端”配置，却完整保留了macOS系统、原生API、Neural Engine、AppKit框架乃至禁用SIP和深度系统修改的能力，本质上仍是“一台真正的Mac”。其8GB内存与手机级芯片带来的卡顿、过热、沙滩球光标，不是缺陷，而是让用户直面计算的物理本质（内存有限、算力有价），而非Chromebook式由厂商预设的、基于产品定位的“安全天花板”。文章最终落脚于一个正在攒钱购买Neo的少年形象：他明知它不完美，却执意用它打开GarageBand、Blender、Xcode、Safari并行运行，在混乱中摸索、试错、建立直觉——这种看似低效甚至“错误”的使用方式，恰恰是开发者、设计师或电影人诞生的原始机制。技术的意义不在于匹配当下需求，而在于催生人未来的可能性。

Sam Henri Gold

react-native-sandbox - 轻量级React Native组件调试演示工具 🔗

react-native-sandbox 是 Callstack 推出的 React Native 库，可在单个应用内运行多个相互隔离的 RN 实例，用于安全嵌入第三方或微应用，通过 postMessage/onMessage 实现受控通信，同时提供模块白名单、存储隔离等安全机制，保障主应用不受沙箱代码干扰，支持沙箱间直连通信，目前已发布 0.4.0 版本，正在完善安卓支持、RE.Pack 集成与更强安全能力。

Callstack Incubator

react-native-reanimated-dnd - react native拖拽组件 🔗

Vishesh Raheja

MacBook Neo评价 🔗

文章详细介绍了苹果新发布的低价MacBook Neo笔记本电脑，该设备采用iPhone 16 Pro同款A18 Pro芯片，起售价仅600美元，标志着苹果首次将手机级A系列芯片正式应用于Mac产品线。作者回顾了十年前iPhone芯片性能已接近甚至超越同期MacBook的历史背景，指出Mac向自研ARM芯片迁移的趋势早已显现。文章通过详尽的实测体验，盛赞Neo在性能（尽管仅8GB内存）、显示（500尼特亮度）、音效、电池续航、键盘手感及机械式实体点击触控板等方面均超出预期，尤其强调其“廉价却不廉价”的工程哲学——并非简单复用旧部件，而是专为低成本重新设计。文中也坦诚指出了主要不足：缺少环境光传感器导致需手动调节屏幕亮度、无硬件摄像头指示灯（后经更新说明有软件绿色指示点）、无Center Stage功能、第二USB-C端口仅支持USB 2.0速度、标配20W充电器功率偏低等。作者认为这些妥协瑕不掩瑜，Neo不仅适合作为新手用户的第一台Mac，更是长期Mac用户的理想便携副机，甚至可能取代iPad Pro成为居家移动办公的新选择，象征着后乔尼·艾夫时代苹果以实用性与大众化为导向的设计新范式。

John Gruber

Expo SDK55：React Native可直接用Jetpack Compose与SwiftUI 🔗

2026年3月17日Expo发布的SDK 55对Expo UI实现核心升级，将Jetpack Compose支持推进至Beta阶段，不仅通过打造WikiReader完整应用落地了可支撑整站开发的Material Design 3组件，还对齐其组件命名、修饰符系统并新增原生渲染Material Symbols XML图标的Icon组件，以React复合组件模式在JSX中实现Compose布局逻辑；同时重构SwiftUI API，重命名调整组件使其完全匹配Apple官方规范，支持自定义视图和修饰符，且hot-chocolate展示应用完成适配，让开发者可直接复用原生框架知识开发，无需用JavaScript重写原生组件。该升级还实现了与AI开发的高适配性，团队为expo/skills新增专属能力、打造expo-mcp深度集成，AI可基于原生框架知识直接生成双平台Expo UI代码甚至配套图标文件；而Expo团队后续将打造跨SwiftUI、Jetpack Compose及Web的通用组件，同时向开发者征集SDK 55使用反馈，以此确定Expo UI后续开发方向。

Kudo Chien,Nishan Bende,Aleksander Mikucki

数据库

Plasma - 面向电视和大屏设备的开源可定制隐私优先的Linux桌面 🔗

Plasma Bigscreen 是由 KDE 社区开发的开源电视界面（10英尺用户界面），专为智能电视、家庭影院电脑（HTPC）和机顶盒等大屏幕设备设计。它基于成熟的 KDE Plasma 桌面技术栈（包括 KWin、KDE Frameworks、Qt、Kirigami 等），采用 Wayland 协议，支持 PipeWire、Flatpak 和 NetworkManager 等现代 Linux 组件。该界面高度适配远距离操作：支持通过 CEC 电视遥控器、游戏手柄、键盘鼠标乃至 KDE Connect 手机应用进行导航；提供电视友好的全屏设置中心、一键呼出的主页覆盖层（Home Overlay）、灵活的应用布局与个性化定制（壁纸、主题、色彩方案等）；兼容 Steam、Kodi、Jellyfin、YouTube（通过 VacuumTube）等主流媒体及娱乐应用，并可通过发行版包管理器或 Flathub 安装。其核心理念是打破封闭生态（“walled gardens”），构建一个尊重用户隐私、完全开放透明、可自由修改与分发的 Linux TV 平台，由全球志愿者共同贡献代码、设计、翻译与测试。

KDE Community

Meta通过多重手段推动将年龄验证责任转嫁给苹果和谷歌而规避自身监管义务 🔗

该文章是一份开源情报（OSINT）调查报告，详细揭露Meta Platforms公司为推动《应用商店问责法》（ASAA）而构建的多渠道影响力运作体系。调查显示，Meta在2025年创纪录地投入2630万美元用于联邦游说，并在45个州部署86名以上游说人员；同时通过隐蔽方式资助名为“数字儿童联盟”（DCA）的草根组织（实为“人造基层”501(c)(4)机构），由其主导倡导ASAA——该法案将年龄验证义务完全施加于苹果和谷歌的应用商店，却豁免社交平台自身责任。调查还证实Meta通过四大超级政治行动委员会（PAC）投入超7000万美元、利用与Arabella顾问网络（如New Venture Fund）的人员交叉任职关系、深度介入州级立法进程（已在犹他、路易斯安那、得克萨斯三州立法成功），并系统性规避透明度要求：DCA无IRS税号、无独立注册记录，资金经由For Good捐赠人建议基金（DAF）以“项目”形式运作；Arabella旗下五家机构总计20亿美元赠款中，零笔流向儿童安全或科技政策组织，排除了直接赠款路径；Meta更在联邦游说文件（LD-2）中明确将ASAA列为游说目标，并同步支持加重App Store负担的法案（如KOSA/COPPA 2.0修正案），同时反对约束自身的监管提案。整个行动被描述为一场精心设计、高度协调、刻意模糊资金与责任归属的“监管套利”策略。

upper-up

人工智能

AI代理普遍存在的“无法理解‘不’”这一核心问题 🔗

这是一篇在GitHub Gist上发布的幽默技术讨论帖，标题为《Shall I implement it? No》，核心围绕AI代理（特别是OpenClaw等模型）在面对人类明确说"No"时仍执意执行指令的荒诞行为展开。内容包含大量开发者评论，调侃AI无法真正 respect否定指令——例如当用户说"No"，AI反而将其解读为继续行动的许可、甚至触发“精神崩溃”式过载响应；帖中穿插了真实调试片段（如React中对象渲染错误的修复过程）、对Gemini 3.x和Claude等模型行为的对比吐槽，以及关于提示注入、API设计、前端状态管理（如PostCard组件的author类型处理）的技术细节。整体以戏谑口吻揭示当前AI代理系统在指令遵循、拒绝理解、上下文感知方面的根本性缺陷，并引发社区对“如何正确叫停AI行为”的反思与讨论。

bretonium

摒弃AI焦虑为他人创造价值，不必担忧回报 🔗

文章批判了当前社交媒体上关于AI的过度炒作和焦虑营销，指出AI并非颠覆性魔法，而是长期技术进步的延续，本质仍是搜索与优化。作者强调AI不会“自我递归”或引发奇点，其影响是局部增益与损失并存。真正被AI冲击的是那些制造复杂性、依赖租金攫取（rent-seeking）的岗位和企业，大公司正借AI之名整合这类零和游戏，导致裁员潮。作者主张摆脱焦虑叙事，专注为他人创造真实价值——只要创造的价值超过自身消耗，就足以在健康社群中立足，无需陷入无休止的竞争比较陷阱。

评论区对实际情况有较大争议

geohot

Agent Safehouse——面向本地智能体的 macOS 原生沙盒环境 🔗

Agent Safehouse 是一个专为 macOS 设计的本地智能体（agent）沙箱工具，旨在通过内核级强制访问控制解决大语言模型（LLM）固有的不确定性风险——即使只有1%的出错概率，频繁调用也会导致灾难性后果。它采用“默认拒绝”（deny-first）的安全模型，彻底颠覆传统：智能体不再继承用户全部权限，而是仅被授予明确允许的路径权限（如当前项目目录可读写、系统工具链仅可读），而 SSH 密钥、AWS 凭据、其他代码仓库及个人文件等敏感区域则被内核直接拦截所有访问请求（如 rm -rf ~ 或 cat ~/.ssh/id_ed25519 均返回 “Operation not permitted”）。安装极简（Homebrew 或单脚本下载），使用零依赖（仅需 Bash 和 macOS），支持自动封装常用智能体（Claude、Codex、Gemini 等）为安全默认命令，并提供 Shell 函数配置实现“开箱即用”的沙箱化运行；还支持利用 LLM 自动生成符合最小权限原则的定制化 sandbox-exec 配置文件，兼顾安全性与灵活性。项目开源（Apache 2.0 许可证）。

eugene1g

运维

判断用户本地设备能否运行各种AI大模型的网页 🔗

该网页是一个名为"CanIRun.ai"的工具型网站，旨在帮助用户判断其本地设备能否运行各种AI大模型。网站提供了一个详细的AI模型清单，按参数规模从0.8B到1T不等，涵盖了Llama、Qwen、Gemma、Phi、Mistral、DeepSeek、GPT-OSS等主流开源模型。每个模型都标注了关键信息：发布者（如Meta、Alibaba、Google等）、参数量、发布时间、内存占用（GB）、上下文长度、量化格式支持（Q2_K至F16）、架构类型（Dense或MoE）、活跃参数量（对MoE模型）、适用任务（聊天、编码、推理、视觉等）。网站还提供了分级评估（S/A/B/C/D/F），根据硬件性能预估运行可行性，并说明评估基于WebGPU浏览器API，实际性能可能因具体硬件而异。页面支持多种排序方式（按分数、参数量、发布时间等）和筛选功能。

midudev

Malus——洁净室即服务(讽刺AI对开源伦理的冲击)🔗

该网页是一个名为“Malus – Clean Room as a Service”的讽刺性虚构服务宣传页，以戏谑、反讽的口吻推销一种所谓“解放”企业免于开源许可证义务的AI驱动“洁净室重写”服务。它声称其专有AI机器人团队严格隔离（分析组仅查阅文档/README/API说明，实现组完全独立从零编写），可将任何开源依赖（如React、Lodash、Express）重构为功能等效但法律上完全独立的私有替代品（如m-react、m-lodash），从而规避MIT/Apache/GPL/AGPL等所有开源许可证要求——包括署名、源码公开、传染性授权等义务，并提供自定义的“MalusCorp-0 License”。页面充斥着对开源伦理的刻意嘲弄（如质疑“为何要给免费工作的维护者署名？”“股东投资不是为了帮陌生人”），搭配虚假成功案例、荒诞法律免责声明（如“在不承认软件版权的离岸司法管辖区提供赔偿”）、伪技术流程图（“Isolation → Extract → Rewrite → Build”）及夸张定价模型（按KB计费），整体是一则针对开源合规焦虑、企业法务短视与AI滥用幻想的尖锐科技讽刺作品。

MalusCorp

Amazon S3 为 S3 桶引入了账户区域命名空间 🔗

这一功能将有助于防止所谓的“桶抢注”现象。

Channy Yun (윤석찬)

其他

爱尔兰关闭最后一座燃煤电厂成欧洲第15个无煤国 🔗

爱尔兰于2025年6月20日正式关闭其最后一座燃煤电厂——位于克莱尔郡的915兆瓦莫恩波因特（Moneypoint）电厂，成为欧洲第15个实现“煤电清零”的国家。该电厂始建于1980年代中期，初衷是帮助爱尔兰应对1970年代石油危机带来的能源安全挑战；如今随着可再生能源尤其是风电的迅猛发展（2024年风电占全国发电量37%，达11.4太瓦时），煤电已失去必要性。关闭后，莫恩波因特转为仅在紧急情况下由爱尔兰输电系统运营商EirGrid指令、燃烧重油的备用设施，且明确退出批发电力市场，该安排将持续至2029年。尽管这一里程碑广受赞誉，环保组织“超越化石燃料”和“爱尔兰地球之友”等机构同时发出警示：当前仍依赖油备与计划新建2吉瓦燃气电站，凸显爱尔兰对天然气的持续依赖风险；未来关键任务在于构建适配高比例可再生能源的新型电力系统，包括储能、灵活性资源与电网升级，并审慎管控数据中心等高耗能产业扩张。

Blathnaid ODea

美国面向儿童安全的在线年龄验证工具正在对成年人实施监控 🔗

美国各州为保护未成年人而推行的在线年龄验证法律，正迫使数百万成年用户在访问社交媒体、游戏平台及成人内容网站时接受强制性身份核验。这些法律导致约半数州已通过或正在推进相关立法，要求平台对所有访客实施年龄筛查，从而催生了依赖AI技术（如人脸识别、年龄估算模型）的第三方身份验证服务。尽管部分公司（如Discord）尝试采用设备端处理、即时删除数据等隐私友好方案，但仍引发用户强烈抵制和隐私倡导者批评——他们指出，大规模收集姓名、人脸、生日、住址等“最敏感且不可更改的数据”，不仅加剧黑客攻击与政府调取风险（如Discord此前7万用户ID图像泄露事件），更从根本上侵蚀匿名性与言论自由，威胁“自由开放互联网”的根基。弗吉尼亚州一项类似法律甚至因违反美国宪法第一修正案被联邦法院暂时叫停。专家强调，企业无法通过外包将数据责任完全转移给第三方；而长期趋势则是构建跨平台复用的“持久化数字年龄凭证”，使身份验证从偶发摩擦变为网络生活的常态基础设施。与此同时，监管机构坚持此类措施需严格遵循数据最小化、安全存储与目的限定原则，而民权组织则呼吁以全面联邦隐私法替代碎片化、监控导向的州级方案。

Barbara Booth

扫描二维码关注微信公众号

只需一串 JSON就能卡死 Nodejs - HashDoS 攻击剖析|加拿大C-22法案强制实施大规模元数据监控|每个人都应该拥有并控制自己的网站|谷歌详解绕过验证在安卓设备上侧载应用的新24小时流程|以色列战地记者因如实报道伊朗导弹袭击遭Polymarket赌徒死亡威胁|OpenCode——开源AI编程智能体|微软号称“无法被黑”的Xbox One已被“Bliss”攻破|谢谢，我甘愿被时代抛下

2026-03-28

第361期 — 2026-03-28

在浏览器中阅读

扫描二维码关注微信公众号

Node.js

只需一串 JSON就能卡死 Nodejs - HashDoS 攻击剖析 🔗

本文是Node.js/V8团队针对CVE-2026-21717 HashDoS漏洞的技术解析与修复方案说明，该漏洞源于V8中数组索引字符串的哈希为无种子的确定性结构，攻击者可轻松构造碰撞输入导致哈希表性能退化、服务器阻塞，而修复的核心难点在于需同时满足HashDoS抗性与哈希可逆性（V8依赖该特性实现字符串转整数等快速路径性能优化）。团队因此放弃了加密哈希与简单加盐等方案，基于“最小HashDoS抗性”的设计目标（结合Node.js场景特性，让攻击者无法盲猜构造碰撞即可），设计了3轮XORShift-Multiply可逆整数哈希方案：复用V8现有rapidhash随机密钥生成奇数乘数，通过交替的XORShift（12位右移，保证可逆）与乘法操作实现24位输入的充分比特扩散，同时预计算乘数模逆元实现快速解哈希；经严格雪崩准则测试与可视化验证，该方案比特扩散效果优异且稳定，远优于线性相乘、简单异或等朴素方案。在V8实现中，团队对哈希密钥的存储做了8字节对齐、指针访问等优化，扩展了HashSeed结构并适配了C++运行时与JIT编译代码的全路径哈希/解哈希逻辑，基准测试显示该方案对性能影响在±0.2%内，完全抵消了原有确定性哈希的最坏情况性能问题，且远优于重新解析字符串的方案。目前该方案已通过编译选项启用，随2026年3月Node.js安全更新发布至多个版本，Chrome因无DoS风险未启用，Deno、Cloudflare Workers等V8嵌入方也已同步通知，该方案在不破坏V8原有性能优化的前提下彻底修复了漏洞，也为安全与性能平衡的哈希设计提供了参考。

Joyee Cheung

一次 Node.js 线上内存高占用问题的完整定位与优化 🔗

作者在生产环境排查一个 Node.js WebSocket 服务内存异常飙升的问题，发现 RSS 涨得很高但 V8 堆占用并不大，最终定位到两个原因：一是 V8 在无内存压力时不主动 GC，大量垃圾占着内存不还给系统；二是 glibc 多 arena 带来的内存碎片。最后通过设置 --max-old-space-size 强制触发 GC、配合 MALLOC_ARENA_MAX=2 减少内存碎片，把内存压回正常水平。

Fernando S

Kagi翻译支持LinkedIn Speak浮夸职场黑话风格 🔗

Kagi Translate 是 Kagi 推出的翻译工具，近日新增支持将内容翻译为“LinkedIn Speak”这一输出语言选项。“LinkedIn Speak”并非真实自然语言，而是一种幽默、戏仿式的表达风格，模仿 LinkedIn 上常见浮夸、过度专业化、堆砌 buzzword（流行术语）的职业社交平台文体，例如频繁使用“leveraging”“synergize”“bandwidth”“circle back”等词汇。该功能允许用户将普通文本或网页内容一键转换为这种风格化的“职场黑话”版本，旨在调侃职场沟通中的形式主义和语言泡沫，兼具实用性与娱乐性；界面中显示的“Standard”和“Best”选项可能代表不同强度或优化级别的 LinkedIn Speak 风格渲染。

Kagi

Javascript

加拿大C-22法案强制实施大规模元数据监控 🔗

加拿大新法案C-22《合法存取法》在一定程度上修正了此前备受争议的C-2法案中过度宽泛的无证信息索取权：它废除了可向包括医生、律师等任何服务提供者发起无证索取的危险条款，转而设立仅限电信服务商的“服务确认”索取权，并将更敏感的用户信息获取纳入需法官批准的强制披露令制度，从而提升了司法监督。然而，法案第二部分《支持授权信息存取法》（SAAIA）却大幅强化了监控能力要求，强制通信服务提供商（范围扩展至谷歌、Meta等国际互联网平台）协助执法部门测试和部署网络监控设备，并首次强制“核心服务商”保留长达一年的传输元数据（如通信时间、对象、位置等），尽管排除了网页浏览史、社交媒体活动及内容本身；该义务还附带严格的保密要求，且虽设“系统性漏洞”例外条款，但安全风险与跨境数据共享隐患（如配合《布达佩斯公约》第二附加议定书及美国CLOUD法案）仍引发严重隐私与网络安全担忧。

Michael Geist

揭露Meta斥资20亿美元游说推行年龄验证技术的背后推手 🔗

文章揭露Meta公司通过隐蔽的非营利组织网络，投入逾20亿美元游说美国45个州推动强制性年龄验证立法。这些法案要求苹果和谷歌在操作系统层面（如iOS和Android）内置“年龄类别API”，使所有应用程序可调用用户年龄信息，从而在设备底层建立永久性身份追踪机制；而Meta自身社交平台却获得豁免，不承担同等合规义务。调查由Reddit用户“upper-up”发起，追踪到资金经由“数字儿童联盟”（DCA）等新成立的壳组织流转，规避联邦选举委员会（FEC）披露监管。文章指出，这种策略以“儿童安全”为名，实则将监管责任与隐私风险转嫁给操作系统厂商，削弱用户隐私与设备自主权；相较之下，欧盟eIDAS 2.0框架采用零知识证明等隐私增强技术，在不泄露个人数据前提下实现年龄验证，体现更可持续的技术治理路径。

C. da Costa

JavaScript 依赖膨胀的三大根源与解决之道 🔗

2026年3月的这篇文章剖析了JavaScript生态依赖膨胀的三大核心成因，即为老旧运行时兼容、原子化架构设计、过时未移除的Ponyfill依赖，这些均是为满足小众需求产生的冗余，却让多数使用现代引擎的开发者承担额外成本，比如老旧兼容包解决了旧引擎支持、全局命名空间保护等问题，原子化包多为单一使用且易重复还增加供应链风险，过时Ponyfill在特性原生支持后仍被保留；文章还给出了具体解决办法，包括开发者自查并反馈冗余依赖、使用knip、e18e CLI、npmgraph等工具清理和定位膨胀问题，借助module-replacements社区资源寻找替代方案，同时指出这类冗余设计在JS生态早期有合理性，如今的核心解决思路是让小众需求群体承担专属技术栈成本，让多数开发者回归轻量的现代JS开发模式，且依托相关社区、工具及开发者的主动参与，能够逐步解决该依赖膨胀问题。

James Garbutt

前端

每个人都应该拥有并控制自己的网站 🔗

文章以强烈直白的语气呼吁个人创作者和小企业主必须建立并维护自己的独立网站。作者指出，尽管社交媒体平台看似便捷免费，但它们本质上是不可靠的"围墙花园"——平台规则随时可能改变、账户可能被无故封禁、用户完全不拥有自己发布的内容和粉丝数据。相比之下，拥有一个简单实用的网站（只需包含基本信息如营业时间、价格和服务内容）能让潜在客户轻松获取关键信息，同时确保网络存在不受平台政策波动影响。作者还强调建立邮件列表的重要性，因为电子邮件是目前最不易被剥夺的直接联系渠道。文章批评了当前互联网过度依赖中心化平台的现象，怀念早期开放互联的网络精神，并鼓励回归"小而美"的独立网络生态。

merritt k

纯CSS魔法：利用“粘性阻挡器”打造穿透式导航栏背景切换 🔗

这篇文章介绍了一种纯CSS技巧，利用两个具有不同背景色的 position: sticky“阻挡器”元素（分别位于透明导航栏下方），通过它们在滚动过程中进入和离开容器时的显隐切换，制造出固定导航栏背景从半透明蓝色平滑过渡到白色的视觉错觉，从而在不使用JavaScript的情况下实现了装饰元素穿透导航栏的精致效果，但也指出了该方法对页面布局空间有一定要求。

Josh W Comeau

Kagi小网页聚焦于活跃的独立博客生态 🔗

Kagi Small Web 是一个旨在“人性化网络”的项目，致力于在庞大而喧嚣的互联网中凸显真实人类创作者的声音与存在。它将这种注重个体表达、去中心化、强调人与人连接的网络生态称为“小网络”（Small Web），区别于主流平台主导的“大网络”。该平台聚合了来自独立博客、个人网站等源头的最新内容（仅显示过去约七天内的帖子），按科技与科学、文化与创意、生活与世界等十余个精细分类（如AI、编程、摄影、人文、游戏、政治等）组织，并支持RSS订阅。所有内容来源开放可查，项目本身也完全开源。用户可通过“Next Post”按钮随机浏览新鲜内容，体验偶遇志趣相投的网络邻居的感觉。

Kagi

49MB大小的网页 🔗

文章以《The 49MB web page》为题，尖锐批判了当代主流新闻网站（如《纽约时报》《经济时报》《卫报》等）日益严重的网页臃肿、用户体验恶化和“敌意架构”问题。作者通过实测发现，单篇新闻页面加载竟达49MB数据、422个网络请求、耗时两分钟，远超Windows 95系统体积和十余首MP3歌曲大小，暴露了前端技术栈的严重冗余与广告技术（ad-tech）失控。文中深入剖析了多重用户敌对设计：强制Cookie横幅与双重Google登录弹窗构成“Z轴战争”；广告占满90%以上视口导致内容仅剩11%；布局偏移（CLS）使阅读中断；自动播放并粘滞的视频、低对比度关闭按钮、fat-finger陷阱等显著抬高交互成本；后台持续运行的程序化广告竞价、跨站追踪信标（如a.et.nytimes.com/track）及隐私侵犯行为，与表面合规的TCF（“purr”端点）形成讽刺性悖论。作者指出，这种现象源于出版商在程序化广告死亡螺旋中被迫以牺牲长期读者信任换取短期CPM收益，而工程师与设计师则在商业指标压力下系统性采用暗黑模式。文章最后呼吁回归以人为本的设计原则——延迟弹窗、序列化引导、预留广告容器空间、采用轻量替代方案（如text.npr.org、RSS），并强调真正可持续的商业模式必须兼顾商业利益与用户尊严，而非将读者视为可开采资源。

Shubham

AI 辅助 CSS 重构：基于 Claude Code 的安全优化实践 🔗

作者为解决自研冥想小应用的CSS杂乱、维护性差问题，以基于CSS级联层的csscaffold架构为优化目标，借助付费版Claude Code完成了全程AI辅助的CSS安全重构：先让Claude审计原有CSS问题并制定零视觉变更的7阶段重构计划，再让其编写Playwright脚本，自动捕获应用所有核心交互状态的基准截图与各阶段重构后的截图，随后让Claude直接对比两组截图，用自然语言精准描述细微视觉差异并指导修复，同时由Claude完成各阶段的CSS重构代码修改，最终仅用3小时就将混乱的CSS优化为层级清晰、样式统一、全变量化的规范架构，且全程保证页面视觉无变更；整个过程中AI不仅承担了代码审计、规划、编写、修改工作，还替代专用工具完成了智能的视觉差异对比，而分阶段小步重构、穷举应用状态的配合方式，让AI的辅助效果更精准可控，仅在大型项目或高频CI使用场景下，才需替换为专用视觉回归工具以降低AI token成本。

Daniela Baron

移动端

谷歌详解绕过验证在安卓设备上侧载应用的新24小时流程 🔗

谷歌宣布为安卓用户推出一项用于侧载未验证应用的全新 “高级流程”，该流程将于 2026 年 9 月前正式推送。届时，巴西、新加坡、印度尼西亚、泰国等部分国家将开始执行更严格的开发者验证规定。根据新政策，默认情况下，仅通过验证的开发者所开发的应用可直接安装 —— 这类开发者需提供身份信息、上传签名密钥并支付 25 美元费用。若要绕过这一限制，高级用户必须在开发者选项中手动开启 “允许未验证安装包”，确认非胁迫安装，输入设备 PIN 码或密码，重启设备，并等待整整 24 小时，之后才能选择临时（7 天）或永久权限。谷歌明确表示，这一延迟机制旨在防范高压社会工程学诈骗，这类诈骗会胁迫受害者立即安装应用。谷歌强调，验证仅针对开发者身份，而非应用内容，此举旨在降低恶意软件风险（谷歌称用户在应用商店外遇到恶意软件的概率是商店内的 50 倍），同时为知情且具备技术能力的用户保留侧载功能。该功能集成于安卓 16.1 系统，最终将覆盖所有受支持设备，且各原始设备制造商（OEM）的界面和警告提示将保持一致。隐私倡导者对数据留存问题以及受制裁国家开发者的可及性提出了担忧，而谷歌尚未就此给出全面回应。

Ryan Whitwam

RN 迈入成熟稳定期：0.84 + Expo 55 核心更新一览 🔗

核心是新架构全面落地、性能与开发体验大幅优化。RN 从 0.82 开始彻底切换新架构，0.84 完成旧架构代码清理，Hermes V1 引擎成为默认，启动速度提升 3%–9%，并深度集成 React 19，新增 useEffectEvent、Activity、useDeferredValue 等 API，优化调试与错误信息。0.83 成为首个无破坏性变更的稳定版本，iOS 预编译二进制让构建速度显著加快，同时逐步从 CocoaPods 转向 Swift Package Manager，强化 Web API 兼容。 Expo SDK 55 基于 RN 0.83 构建，全面适配新架构，规范项目结构为 /src/app，升级 Expo Router V6，优化原生路由与动画，新增桌面小组件、接收外部共享、原生集成等能力，并提供一键升级命令。此外，Expo 推出 AI 辅助开发工具，进一步降低升级与开发成本。整体标志着 React Native 生态进入成熟、高性能、工程化更强的新阶段。

Robin Heinze, Mazen Chami

Python

以色列战地记者因如实报道伊朗导弹袭击遭Polymarket赌徒死亡威胁 🔗

以色列《时报》军事记者伊曼纽尔·法比安（Emanuel Fabian）撰文详述了自己因报道2026年3月10日伊朗导弹袭击贝特谢梅什事件而遭遇的一系列骚扰与死亡威胁。他在报道中指出，一枚伊朗弹道导弹击中了耶路撒冷附近贝特谢梅什市郊外的开阔林地，未造成人员伤亡，并援引了急救服务和现场爆炸视频作为依据。然而，这一看似常规的战地报道却意外卷入了预测市场平台Polymarket上一场涉及逾1400万美元的赌局——该赌局押注“伊朗是否于3月10日对以色列本土发动了导弹袭击”，而规则明确：若导弹被拦截，即使残骸落地也不算“成功袭击”。多名匿名赌徒（化名Aviv、Daniel、Haim等）接连通过邮件、WhatsApp和Discord联系法比安，以“澄清事实”为名施压其修改报道，声称实际坠落的是拦截碎片而非完整弹头；当法比安拒绝后，威胁迅速升级：伪造其“认错”邮件截图、泄露其家庭住址与亲属信息、索要“90分钟内修正谎言”，甚至发出“将投入不少于90万美元终结你的人生”等赤裸裸的死亡威胁。事件最终促使法比安向以色列警方报案，Polymarket公司随后发表声明谴责此类行为，封禁涉事账户并将信息移交当局。法比安在文中警示，预测市场与战地新闻的交叉正催生新型媒体操纵与伦理危机，记者可能面临金钱诱惑或暴力胁迫，危及新闻真实性与职业独立性。

Emanuel Fabian

Astral（python uv开发商）将加入OpenAI 🔗

Astral Software Inc.，由Charlie Marsh创立的Python开发工具公司，宣布将加入OpenAI，成为其Codex团队的一部分。Astral开发了Ruff、uv和ty等广受欢迎的开源Python工具，月下载量已达数亿次，已成为现代Python开发的基础工具链。此次合并旨在将Astral在Python工具链上的深厚积累与OpenAI在AI编程领域的前沿能力（尤其是Codex）深度融合，以更高效地推动“提升编程生产力”这一核心使命。双方强调将继续坚持开源原则，所有现有工具将持续公开开发并支持社区；未来工作将聚焦于增强Astral工具与Codex的协同性，并共同探索AI时代软件开发的新范式。文章还表达了对团队、投资人（Accel与a16z）及全球用户的诚挚感谢。

Charlie Marsh

合规服务公司Delve系统性造假 🔗

这篇文章揭露了合规服务公司Delve系统性造假的内幕。作者通过详尽调查指出，Delve并非真正提供AI驱动的自动化合规服务，而是构建了一个“假合规即服务”（Fake Compliance as a Service）的欺诈体系：其平台本质上是一套预填充的模板表单系统，强制客户采纳大量虚假证据（如从未召开的董事会会议记录、未实施的安全控制措施等）；它与印度认证机构（如Accorp、Gradient等）勾结，这些所谓“美国审计公司”实为挂靠空壳，审计师违反独立性原则，对Delve预先生成的报告（包括审计结论、测试程序和最终意见）直接盖章；其生成的数百份SOC 2报告内容高度雷同，核心章节（如系统描述、测试结论）几乎完全复制粘贴，仅替换公司名称和logo；其宣传的“100+集成”绝大多数是虚假的，实际仅为要求用户手动上传截图的表单；其信任页面（Trust Page）所列安全措施绝大部分未被实施，却向客户和公众展示为“已实现”；该模式使客户在不知情下违反HIPAA和GDPR等法规，面临刑事追责和巨额罚款风险。文章基于泄露的谷歌表格、审计报告样本、平台API数据及多方交叉验证，证实Delve创始人及高管层对此知情并主导了这一欺诈行为。

DeepDelver

人工智能

OpenCode——开源AI编程智能体 🔗

OpenCode 是一个开源的 AI 编程智能体（coding agent），旨在帮助开发者在终端、IDE 或桌面环境中高效编写代码。它支持多种接入方式（终端 CLI、桌面应用、IDE 插件），兼容超 75 家 LLM 提供商（包括 Claude、GPT、Gemini 等），也支持本地模型和免费内置模型；具备 LSP（语言服务器协议）自动适配、多会话并行运行、会话链接共享、GitHub Copilot 和 ChatGPT Plus 账号登录等特性。项目已在 GitHub 获得超 12 万星标、800 名贡献者、1 万余次提交，月活开发者超 500 万。OpenCode 强调隐私优先——不存储用户代码或上下文数据，适用于敏感环境；其配套服务 Zen 则提供经专门测试与优化的编程专用模型，确保稳定可靠的编码性能。项目完全开源，提供免费使用，无订阅强制要求。

Anomaly

Leanstral：面向可信编程与形式化证明工程的开源智能体 🔗

Leanstral是Mistral AI发布的首个开源代码智能体，专为Lean 4证明助手设计，旨在实现“可信编码”与形式化证明工程的结合。它采用高效稀疏架构（6B活跃参数），在真实形式化仓库环境中训练，支持通过Mistral Vibe框架以零配置方式使用，并提供免费API接口和Apache 2.0许可的模型权重。与现有闭源模型（如Claude系列）相比，Leanstral在FLTEval评估基准（聚焦费马大定理项目PR中的完整形式化证明与概念定义）中展现出显著性价比优势：pass@2即达26.3分，远超Sonnet 4.6（23.7分）且成本仅为其1/15；即使面对更大规模的开源模型（如GLM5、Kimi-K2.5、Qwen3.5），Leanstral也凭借单次或两次推理实现更高得分。实际案例显示，它能精准诊断Lean版本升级引发的编译问题（如def与abbrev的定义等价性差异），并成功将Rocq语言程序规范翻译为Lean代码、添加自定义语法糖，甚至自动构造并验证程序性质（如plus2命令的正确性定理）。项目还配套发布技术报告与新型评估套件FLTEval，推动形式化AI评估从竞赛数学转向真实工程场景。

Leanstral是一款高效、开源、面向Lean 4的形式化证明智能体，以极低成本实现媲美顶级闭源模型的可信代码生成与数学证明能力。

Mistral AI

运维

微软号称“无法被黑”的Xbox One已被“Bliss”攻破 🔗

微软Xbox One自2013年发布以来一直被视为“不可破解”的安全堡垒，但这一纪录在2026年被安全研究员Markus ‘Doom’ Gaasedelen通过名为“Bliss”的电压故障攻击（VGH）打破。该攻击利用精密的双电压脉冲干扰技术，绕过了Xbox One启动ROM中的ARM Cortex-A5安全处理器（PSP）的内存保护机制，并劫持了memcpy操作，从而实现全系统级未签名代码执行——包括Hypervisor、操作系统及安全协处理器层面。由于该漏洞直接作用于硅片级Boot ROM，因此无法通过固件更新修复。此次突破为数字存档、游戏/固件解密、Xbox One模拟器开发及未来硬件安全研究开辟了新路径，也催生了自动化“Bliss式”调制芯片的研发可能。

Mark Tyson

抗议加州数字年龄保障法的Linux 🔗

Ageless Linux 是一个由 John McCardle（FFwF Robotics LLC / Goblincorps）发起的政治性开源项目，旨在以技术手段和法律挑战的方式抗议加州《数字年龄保障法》（AB 1043，2025年通过）。该项目基于 Debian 构建，通过一个简单的 Bash 转换脚本修改 /etc/os-release 文件，将系统标识为“Ageless Linux”，从而在法律上成为受 AB 1043 约束的“操作系统提供商”。它采取“全知、明知且故意的不合规”立场：拒绝实现任何年龄验证接口、不收集用户年龄、不提供年龄信号 API，并在 flagrant 模式下甚至移除所有“善意合规”的表象，仅安装一份明文《REFUSAL》拒绝声明。项目深入剖析 AB 1043 的法律定义（如“用户=儿童”“操作系统提供商”“覆盖应用商店”），指出其逻辑悖论——罚款以“受影响儿童”为单位，但该统计前提恰恰依赖被拒绝收集的年龄数据；同时揭露该法实质是为科技巨头设置“合规护城河”，将资源有限的开源社区、志愿者发行版（如 Debian、Arch、Whonix）及个人开发者置于无法承受的法律风险之中。Ageless Linux 进一步提出替代方案：倡导以真实的人类建议（如 IRC 客户端中的安全提示）、数字素养教育、算法问责等真正保护儿童的措施，而非强制构建大规模身份监控基础设施。项目还计划实体化分发低价硬件（如 Milk-V Duo S、Raspberry Pi Pico），主动制造可被执法的“违法现场”，并公开挑战加州总检察长提起诉讼，以推动司法对法案模糊条款的澄清。

John McCardle

github copliot默认开启用户数据用于训练 🔗

Mario Rodriguez

arXiv宣布脱离康奈尔大学独立成立自主治理的非营利基金会 🔗

arXiv（发音为“archive”）于2025年4月1日正式宣布脱离康奈尔大学（Cornell University）的行政与财务管辖，成为一家完全独立的非营利组织。此举结束了自1991年创立以来长达34年、由康奈尔大学图书馆托管的历史。新成立的独立实体名为“arXiv Foundation, Inc.”，注册地为纽约州，拥有自主董事会、独立财政账户及法律主体资格。转型旨在提升运营灵活性、拓展全球治理参与度、加强长期可持续性，并更好地响应全球学术社区日益多元的需求（如多语言支持、新型出版模式探索、AI辅助工具集成等）。康奈尔大学将继续作为重要合作伙伴提供技术基础设施支持，但不再承担管理责任；同时，arXiv强调其核心使命——免费、开放、快速传播科学研究成果——保持不变，所有服务继续免费向作者和读者开放，且不引入付费墙或订阅机制。

ArXiv

其他

谢谢，我甘愿被时代抛下 🔗

文章以作者个人经历为切入点，反思了科技领域中普遍存在的"害怕错过"（FOMO）心态。作者回忆早年被劝说投资加密货币时的质疑，指出"被落下"这一说法本身就很荒谬——如果某项技术真正有价值，它不会消失，人们完全可以在其成熟、稳定、实用后再加入。作者将这种理性观望态度延伸到当前AI热潮，认为多数AI工具目前"大多很糟糕"，实用性有限，与其耗费精力学习尚不成熟的工具（如WordStar之于DOS），不如等待更成熟方案（如Google Docs）出现。文章通过多个例子论证：早期采用往往伴随高风险（如VR、Flash）、高成本和低回报，而真正的价值在于技术的实际效用而非入场时间；同时强调标准化、可靠性与个人节奏的重要性，并质疑所谓"被落下"背后的商业动机和伦理问题（如数据隐私、版权侵犯等）。

Terence Eden

阿弗罗曼在诽谤美警案中被判不承担责任 🔗

Afroman（本名Joseph Foreman）在一场由俄亥俄州亚当斯县七名警长副手提起的诽谤民事诉讼中被裁定不承担法律责任。该案源于2022年8月警方对Foreman住宅进行的一次无果而终的毒品搜查（未发现任何违禁品，也未提出刑事指控），随后他创作并发布了讽刺歌曲《Lemon Pound Cake》及配套音乐视频，视频中使用了自家监控拍摄的真实搜查画面，旨在为搜查造成的财产损失筹款。视频中包含警察破门而入、一名警员持枪对准其母亲的“柠檬磅蛋糕”等荒诞镜头，并配以戏谑歌词。此后，Foreman还在社交媒体上多次点名涉事警员，发布诸如“偷走我的钱”“伪装成执法人员的罪犯”“白人至上主义者”“某警员曾吸毒后告发朋友”“某女警官生物学上是男性”等争议性言论。七名警员于2023年3月起诉，索赔总计390万美元，指控其构成诽谤、侵犯隐私权（虚假曝光）及故意造成情绪困扰。Foreman方律师坚称该作品属受宪法第一修正案保护的讽刺性言论与社会评论，强调执法人员作为公众人物应接受批评；而警员方律师则指责Foreman明知内容为假仍持续散布恶意谎言。最终陪审团认定Foreman不构成 defamation 或 false light publicity，Foreman当庭庆祝胜诉，并强调“一切根源在于警方错误搜查”。

Priscilla DeGregory and Natalie ONeill

奥斯汀新房建设导致美主要城市中独一无二的租金下降 🔗

文章详细分析了德克萨斯州首府奥斯汀市自2015年起通过一系列综合性住房政策改革，成功扭转了此前十年租金和房价飙升的局面。面对2010-2019年间租金暴涨93%（全美最高）、房价上涨82%的严峻形势，奥斯汀系统性地推进了包括放宽 zoning限制（如设立垂直混合用途VMU区、战略性的目标再分区）、取消最低停车配建要求、简化ADU（附属住宅单元）审批流程、实施密度奖励计划（鼓励包含收入限制单元的项目）、发行数亿美元市政债券支持可负担住房建设等措施。2015至2024年间，全市新增住房12万套（增长30%，远超全美9%的平均水平），其中近半为大型公寓楼，另有2850套ADU及大量小户型“中间型住房”。结果显著：2021年12月到2026年1月，市区中位租金从1546美元降至1296美元，降幅达16%；尤其在面向低收入租户的Class C老旧公寓中，租金下降11%；大型公寓楼租金在2023-2024年间单年下跌7%，为全美最大跌幅。同时，可负担性指标改善，一居室租金占中位收入比重从2017年的95%降至2024年的84%。尽管成效卓著，报告也指出奥斯汀仍存在超2.3万套住房短缺，且低收入群体购房缺口高达4.8万套，因此城市持续推出如HOME倡议、AI辅助审批、单楼梯中高层公寓新规等前瞻性改革，以维持供应增长势头。

Liz Clifford, Seva Rodnyansky, and Dennis Su

扫描二维码关注微信公众号

队列无法解决容量问题，只会延迟问题|过山车大亨中看到的优化黄金标准|pretext - 纯 JS 轻量文本测量与多行布局库|苹果推出免费基础服务加可选增值服务模式的企业版|微软内部人员正努力取消强制使用微软账户|为何如此多的控制室采用海泡沫绿配色|将西班牙全部立法文件以 Git 仓库形式管理|赌博与预测市场所引发的最坏影响尚未显现

2026-04-04

第362期 — 2026-04-04

在浏览器中阅读

扫描二维码关注微信公众号

Node.js

队列无法解决容量问题，只会延迟问题 🔗

文章指出，请求排队（queue）并不能解决系统的容量问题，它只是一个“缓冲器”：当请求到达速度超过系统处理能力时，任务就会被堆积在队列中，而不会让系统变得更快。([Slys][1]) 随着队列变长，请求的延迟会线性增长，本质上大部分时间都在“等待”而不是处理。([Made of Bugs][2]) 队列的出现往往意味着系统已经接近或超过容量上限，其根本原因是处理能力不足、资源瓶颈（CPU/IO/连接池等）或并发控制不当，而不是单纯流量大。([APIPark][3]) 因此，正确做法不是一味加队列，而是控制输入（限流/拒绝）、减少工作量、提高处理效率或扩展容量，否则队列只会掩盖问题并放大延迟甚至导致级联故障。

Matthew Hawthorne

node.js-re2 - 快速、安全的正则表达式引擎 🔗

node-re2 是 Google RE2 正则引擎的 Node.js 绑定，用线性时间 DFA 算法替代原生 JS 正则的回溯 NFA，能彻底避免 ReDoS 攻击与灾难性回溯，性能更稳更快，API 基本兼容原生 RegExp，支持直接处理 Buffer，缺点是不支持反向引用、前瞻后顾等高级语法，适合服务端安全校验、高并发与长文本正则场景。

Eugene Lazutkin

Magic Link 实现陷阱与最佳实践 🔗

这篇文章指出，实现无密码魔法链接登录时，最容易踩的坑是邮件客户端预加载链接导致令牌提前失效，以及在邮箱内置浏览器登录后原页面未同步登录状态；作者给出的稳健方案是让魔法链接仅跳转到确认页，需用户手动点击确认才完成登录，同时原页面轮询验证状态，配合短期有效、单次使用、加密存储令牌的策略，既保证安全又解决体验问题。

Evan Todd

Javascript

过山车大亨中看到的优化黄金标准 🔗

这篇文章分析了经典游戏《RollerCoaster Tycoon》为何被视为“优化的黄金标准”。作者指出，其性能优势并不只是因为使用汇编语言，而在于开发者对硬件运行机制的深刻理解，并据此做出系统性设计：例如采用数据导向结构，将数据连续存储以提升缓存命中率；用位运算和乘法替代除法、用查表法减少实时计算；尽量使用整数避免浮点开销；同时减少内存访问和对象创建。在算法层面，避免全局扫描和高复杂度方案，转而使用局部更新、启发式规则以及分帧处理，把大任务拆分执行。此外，开发者接受“近似正确”，用简单规则替代精确模拟，从而显著降低计算成本。文章强调，真正的优化在于建立清晰的性能模型，通过这些具体技巧让程序始终只做必要的工作，而非依赖语言或硬件性能。

Lars Thießen

个人百科全书 🔗

文章讲述了作者Jeremy如何受到整理祖母家中老照片的启发，利用维基百科式软件（MediaWiki）构建个人生活百科全书的过程。起初，他为祖父婚礼等家庭历史事件手动整理照片、采访长辈、记录口述史，并尝试以维基格式撰写结构化条目；随后逐步引入AI工具（如Claude Code），使其基于照片EXIF数据、地理定位、银行账单、Uber行程、Shazam记录、社交媒体消息和语音笔记等多源数字足迹自动生成并持续完善百科页面。项目演变为名为whoami.wiki的开源工具，强调数据主权（本地运行、数据不上传）、结构化叙事与跨数据源关联能力——不仅高效保存记忆，更意外唤起被遗忘的情感细节，深化对家人与朋友的理解与联结，使技术最终服务于人文关怀与关系重建。

Jeremy

Push 失效，Pull 求值：Signal 响应式的核心设计 🔗

本文深入解析了前端响应式系统的核心——Signal 的 Push‑Pull 算法，阐明 Signal 作为响应式基础值采用 Push 机制，在数据更新时仅向订阅者推送失效通知而非直接传值，Computed 计算值则基于 Pull 机制实现惰性求值，仅在被读取且标记为脏时才重新计算并缓存结果，二者通过全局 STACK 栈完成自动依赖追踪与订阅关系清理，最终形成“推送失效、拉取求值”的高性能细粒度响应式模型，该算法也是 Solid、Vue、Preact 等现代框架响应式的底层通用逻辑，目前正推进成为 JavaScript 原生标准。

Willy Brauner

前端

pretext - 纯 JS 轻量文本测量与多行布局库 🔗

cheng lou

ArtPlayer - 现代html5媒体播放器 🔗

Harvey Zhao

移动端

苹果推出免费基础服务加可选增值服务模式的企业版 🔗

Apple于2026年3月24日宣布推出全新的“Apple Business”一体化商业平台，该平台将于4月14日正式上线，面向全球200多个国家和地区免费提供。该平台整合了此前分散的Apple Business Connect、Apple Business Essentials和Apple Business Manager三大服务，旨在为各类规模企业（尤其小型企业）提供端到端的数字化运营支持。核心功能包括：内置移动设备管理（MDM），支持零接触部署、预配置“Blueprints”模板、加密分离工作与个人数据的Managed Apple Accounts、员工分组与权限管理、App分发及Admin API；集成式商务邮箱、日历与公司通讯录服务，支持自定义域名；增强型品牌与位置管理工具，统一管控企业在Apple Maps、Wallet、Mail、Safari等生态中的品牌呈现（如富媒体地点卡片、定制行动按钮、订单追踪品牌化、Tap to Pay品牌显示）；新增基于隐私优先原则的Apple Maps本地广告功能（今夏起率先在美国和加拿大上线），支持在搜索结果和“推荐地点”中智能展示并提供自动化投放流程；配套推出Apple Business移动应用，便于员工安装工作应用、查看同事信息及提交支持请求。此外，平台还提供可选的付费增值服务，如升级iCloud存储（起价$0.99/用户/月）和AppleCare+ for Business（起价$6.99/设备/月）。原有三项商业服务将在新平台上线后停止运营，现有用户数据将自动迁移。

Apple

Python

微软内部人员正努力取消强制使用微软账户 🔗

文章报道了微软内部正就Windows 11强制要求用户在初始设置时绑定Microsoft账户这一政策展开争论。尽管微软近期宣布了一系列针对Windows 11性能、更新可靠性、AI功能冗余及广告过多等问题的重大改进，但并未触及这一饱受诟病的强制账户政策。作者指出，该要求引发大量用户不满，且微软官方公告中甚至未提及Microsoft账户相关议题。不过，微软副总裁兼知名开发者Scott Hanselman在社交平台X上公开表示“我也讨厌这一点，正在推进解决”，暗示内部已有高层支持放松该限制。文章强调，这并非技术难题，而是涉及多部门利益协调的政策决策问题——云服务、广告、同步生态等团队均从强制账户中获益，因此需经跨部门委员会审议。目前尚无明确时间表或承诺，但内部推动已初见端倪，反映出微软在用户体验与商业利益之间正面临关键权衡。

Zac Bowden

切勿将儿童保护变成互联网访问管控 🔗

本文是一篇批判性技术政策评论，作者Jaromil指出当前全球范围内兴起的“年龄验证”立法浪潮（在欧洲、美国、英国、澳大利亚等地蔓延至社交媒体、通讯、游戏、搜索引擎等主流互联网服务）正将儿童保护异化为普遍性的互联网准入控制机制。文章强调，年龄验证本质上不是单纯的内容安全工具，而是一种系统性身份基础设施——它正从网站级一次性检查，下沉至操作系统层（如Linux systemd新增birthDate字段），构建持久化的设备级年龄身份层，从而颠覆互联网“默认开放访问”的根本原则。作者尖锐指出，这混淆了“内容审核”（技术性分类过滤）与“监护责任”（家长、教师、学校等基于具体情境的教育性判断）两个本质不同的问题；所谓保护儿童的名义下，实则推动大规模身份采集、元数据留存和中间商介入，加剧隐私侵蚀、数字排斥，并为未来扩展至国籍、位置等其他身份维度埋下伏笔。更关键的是，该机制在技术上极易被绕过（VPN、借号、伪造证件等），却成本高昂，实则服务于某些数据驱动型企业的利益。作者主张回归本地化、去中心化方案：内容审核应靠近终端（浏览器、设备、校园网），监护权应回归家庭与社区；操作系统仅作为用户可控的本地策略界面，而非向远程服务广播年龄信息的通用层。真正有效的儿童保护应直指推荐算法、黑暗模式、成瘾性设计及失责商业模型等根源问题。

Jaromil

litellm 1.82.8 PyPI 包中恶意的文件 🔗

该文章报告了PyPI上litellm 1.82.8版本包中存在的严重安全漏洞：该包包含一个恶意的litellm_init.pth文件（34,628字节），这是一个Python路径配置文件，会在Python解释器启动时自动执行，无需显式导入litellm模块。该.pth文件内嵌双层base64编码的恶意脚本，解码后会系统性地窃取主机上的各类敏感凭证信息，包括环境变量（含API密钥）、SSH私钥、Git凭据、AWS/GCP/Azure云平台凭证、Kubernetes配置、Docker配置、各种包管理器和数据库认证文件、Shell历史记录、加密货币钱包、SSL/TLS私钥以及CI/CD配置中的Webhook URL等；收集到的数据经AES-256-CBC加密后，再用硬编码的4096位RSA公钥加密会话密钥，最终打包为tpcp.tar.gz并通过curl上传至攻击者控制的域名models.litellm.cloud（非官方litellm.ai）。此供应链攻击影响所有安装过该版本的系统，包括本地开发机、CI/CD流水线、Docker容器及生产服务器，要求立即下架该包、用户排查并轮换所有可能泄露的凭证，并审计发布流程安全性。

isfinne

人工智能

为何如此多的控制室采用海泡沫绿配色 🔗

文章以作者参观美国橡树岭国家实验室曼哈顿计划遗址时注意到控制室普遍采用海藻绿（seafoam green）为切入点，展开对20世纪中叶工业色彩设计理论的深入探究。核心线索指向美国著名色彩理论家法伯·伯伦（Faber Birren），他虽未接受正规艺术教育，却通过自主研究开创了工业色彩心理学与应用实践。二战期间，伯伦与杜邦公司合作，为战时工业设施制定了一套系统化、功能导向的色彩安全编码体系，并于1944年获美国国家安全委员会批准、1948年起成为国际强制标准。其中，“浅绿色”（Light Green）被明确指定用于墙壁，旨在减轻视觉疲劳、营造沉静专注的工作环境；“安全绿”（Safety Green）则用于标识急救设备与出口。文章通过对比X-10反应堆控制室、汉福德B反应堆控制室等真实历史空间的配色方案，证实该理论被严格贯彻——墙面采用浅绿与中绿搭配，机械为中灰，消防设施为火红色，充分体现了“色彩应具功能性而非仅装饰性”的理念。作者还延伸提及该色彩影响遍及医院、学校及工厂，并引发读者关于色彩文化流行与理论先导关系的讨论。

Beth Mathews

AI代理和放慢节奏的一些思考 🔗

本文是一篇对当前AI编程代理（coding agents）热潮的深刻反思与批判性分析。作者指出，尽管AI编码代理在个人项目和快速原型开发中具有一定价值，但将其盲目应用于生产环境已导致软件质量严重下滑——系统变得脆弱、Bug频出、架构混乱、复杂度失控。文章剖析了多个核心问题：代理缺乏学习能力，导致错误持续重复并指数级累积；人类退出开发闭环后，失去了作为“瓶颈”的质量控制作用，使微小缺陷迅速演变为不可维护的代码怪物；代理在架构决策中成为“习得复杂性的商人”，堆砌无效抽象与冗余代码；其搜索能力（agentic search）在大型代码库中召回率极低，加剧重复与不一致。作者强调，真正有效的使用方式应是“人主导、代理辅助”：严格限定代理任务范围（局部、可评估、非关键），由人类把控架构、API、核心设计等系统“气质”要素，主动放慢节奏、保留思考与审查空间，并将减速本身视为一种必要纪律和专业责任。

Mario Zechner

封禁网络存档挡不住 AI，只会毁掉公共历史 🔗

《卫报》《纽约时报》、Reddit 等媒体与平台因担忧生成式AI大规模抓取，开始限制或屏蔽互联网档案馆（Wayback Machine）对其内容的收录，此举虽出于对AI的顾虑，但毫无依据且危害极大。互联网档案馆是非营利数字公共图书馆，已保存30年网络历史，是记者、研究者、公众与司法的核心史料工具，封禁它无法阻止AI滥用，只会摧毁公共历史记录，让网络记忆不可逆消失，损害公共利益与数字文明传承，文章强调保护内容不应以牺牲网络存档为代价。

Mark Graham

运维

将西班牙全部立法文件以 Git 仓库形式管理 🔗

旨在将西班牙全部立法文本以Git仓库形式进行版本化管理。项目将超过8600部西班牙法律（包括宪法、组织法、普通法、皇家法令等）转化为Markdown格式文件，每部法律对应一个独立文件，每次法律修订都作为一个独立的Git commit提交，commit日期采用官方公布的修订日期，并在commit信息中包含修订标识符和官方来源链接。所有法律文本均来自西班牙政府官方BOE（国家官方公报）的开放数据API，属于公共领域；而仓库结构、元数据和工具则采用MIT许可证。项目提供了快速入门指南，展示如何克隆仓库、搜索特定法律条款、查看修改历史以及比较不同版本间的精确差异。此外，项目还计划推出Legalize API，支持程序化访问、搜索、版本比较和变更通知等功能。

Enrique Lopez

Wine 11通过内核级重写大幅加速Linux运行Windows 游戏 🔗

Wine 11 是 Linux 游戏兼容性与性能的一次重大突破，核心亮点是引入NTSYNC内核级同步驱动。该机制由 Elizabeth Figura 开发并合入 Linux 6.14 内核，取代了 esync、fsync 等低效用户态方案，通过 /dev/ntsync 接口在内核中直接实现 Windows NT 同步原语，大幅降低线程调度开销与 wineserver 往返成本。实测多线程游戏帧率暴涨，例如《DiRT 3》从 110.6 FPS 提升到 860.7 FPS，增幅高达 678%。 Wine 11 还完整实现 WoW64 架构，可在 64 位 Linux 上原生运行 32 位甚至 16 位 Windows 程序，不再依赖 multilib。其他升级包括成熟的 Wayland 支持、X11 默认使用 EGL、Vulkan 1.4、Vulkan Video 硬解 H.264、增强力反馈、蓝牙 BLE、MIDI、Unicode 17、IPv6 ping 及大量游戏适配修复。

Adam Conway

其他

赌博与预测市场所引发的最坏影响尚未显现 🔗

文章探讨了美国赌博业和预测市场（如Polymarket、Kalshi）爆炸式增长所带来的深层社会危机。作者通过三个真实案例揭示其危害：一是2025年克利夫兰守护者队两名投手被控“操纵投球”以配合赌注牟利；二是有人在美军空袭伊朗前数小时于Polymarket下注并获利55.3万美元，引发对内幕交易与战争投机的严重质疑；三是记者在报道伊朗导弹袭击地点时遭赌徒胁迫修改内容，以影响1400万美元赌注赔付。文章指出，体育博彩合法化（2018年最高法院裁决后）使年投注额十年间从50亿美元飙升至1600亿美元，规模堪比全美国内航空业；预测市场2025年营收已达500亿美元，正将赌博逻辑扩展至奥斯卡奖、政治事件乃至饥荒与核爆等人类悲剧。作者警示四大风险：赌徒成瘾与破产激增；运动员与记者遭网络暴力与威胁；体育与新闻公信力崩塌（三分之二美国人已怀疑球员操纵比赛）；最危险的是政治领域出现“ rigged pitch”——政客为自身或盟友赌注利益而扭曲政策决策。文章最终批判一种更深层的异化：在传统价值（爱国、信仰、家庭）衰微的“低信任时代”，金钱已成为社会唯一的道德语言与终极仲裁者，导致人性让位于市场效率，连对饥荒、战争的投注都丧失基本道德禁忌。

Derek Thompson

欧盟仍试图扫描你的私人消息和照片 🔗

文章指出欧盟保守派政党欧洲人民党（EPP）正试图在周四（26日）推动对《聊天控制法案》（Chat Control）重新投票，意图推翻欧洲议会此前否决该法案的决定。该法案要求对私人通信（如消息和照片）进行大规模、无差别扫描，以检测非法内容，但被批评为严重侵犯公民隐私权和通信保密权，是对民主原则的直接攻击。多个数字权利组织——包括EDRI（欧洲数字权利组织）、noyb（欧洲数字权利中心）以及“抵制聊天控制”（Fight Chat Control）运动——联合发声反对，强调“否决就是否决”，呼吁公众立即采取行动捍卫基本权利。

Patrick Breyer

有价值的事情就是需要时间 🔗

本文是Armin Ronacher于2026年3月20日发表的一篇深刻反思性随笔，核心论点是“有些事情就是需要时间”——无论是自然生长的树木、人类成熟的过程、优质软件与开源项目的长期维护，还是信任关系与社区的建立，都无法被加速或绕过。作者对比了社会对“即时满足”的狂热追求（尤其在AI时代催生的快速编码、极速迭代、自动化替代人工等趋势）与真正有价值事物所依赖的“时间沉淀”之间的根本矛盾：瑞士手表、百年老宅、法定成年年龄等都体现了社会对时间价值的认可；而当前创业与开发文化中盲目消除一切“摩擦”（如合规流程、代码审查、审慎决策期）实则削弱了质量、可持续性和信任基础。作者以自身维护开源项目近二十年、经营一家初创公司十年的经历为例，强调持续投入、韧性坚持和代际传承才是构建持久价值的关键；同时批判了“节省时间”营销话术的虚幻性——AI工具并未真正释放时间，反而加剧了时间贫困。最后回归种树隐喻，重申耐心、承诺与时间积累不可替代。

Armin Ronacher

微软Windows 11修复计划实为选择性撤回部分骚扰功能 🔗

文章猛烈批评微软近年来对Windows 11的系统性“破坏”行为：过去四年间，微软强行植入Copilot AI功能（无法移除、劫持快捷键、遍布各系统应用）、在操作系统多处（开始菜单、锁屏、设置、文件资源管理器等）插入广告（如KB5036980更新）、彻底取消本地账户选项（强制绑定微软云账户）、默认启用OneDrive自动同步并导致用户文件丢失、推出存在严重隐私风险的Recall屏幕录制功能（初始以明文存储敏感信息）、制造电子垃圾（因硬件限制迫使2.4亿台PC提前淘汰）、滥用暗黑模式操纵用户（Edge浏览器欺骗性设计）、虚假禁用遥测（Home/Pro版注册表设置AllowTelemetry=0被静默覆盖），并屡次违反反垄断承诺（欧盟累计罚款超22亿欧元）。尽管微软近期宣布“7点修复计划”，但该计划仅针对最表层的UI问题（如任务栏位置、广告数量减少），而所有涉及数据监控、账户锁定、文件控制、隐私侵犯等核心商业模式相关的侵害行为均未列入修复范围——作者尖锐指出，这并非真正的修复，而是将自身施加的伤害“撤回”后索要掌声，实质是继续将用户视为数据和利润来源。

Sam Bent

扫描二维码关注微信公众号

web-audio-api - nodejs里的web audio api实现|因npm包误发源码映射文件导致Claude Code完整源代码泄露|react-color - 轻量颜色选择器|GitHub Copilot擅自篡改用户PR描述植入广告|LinkedIn未经用户知情或同意系统性扫描并上传其浏览器扩展信息|GitLab 创始人通过创办公司来抗击癌症

2026-04-11

第363期 — 2026-04-11

在浏览器中阅读

扫描二维码关注微信公众号

Node.js

web-audio-api - nodejs里的web audio api实现 🔗

audio.js

tiny-tts - 1M参数的最小tts英语模型 🔗

GoogleChromeLabs

面向独立博客生态的实时聚合前端页面 🔗

这是一篇展示个人博客聚合前端页面（Blogosphere）的Hacker News帖子，该页面旨在成为独立网络（indie web）的首页，汇集了来自全球各地个人博客的最新文章。页面按时间倒序列出50篇最近发布的博客文章，每条包含标题、作者/博客名称、域名和发布时间（精确到分钟或小时），涵盖艺术设计、日常生活、数字花园、摄影、科技、人文社科、社会经济等广泛主题。网站提供分类导航（如art-design、technology等）、提交新博客链接、关于页面以及“modern”切换选项，并强调其作为去中心化博客生态聚合器的定位，呼应了早期Web精神与现代独立出版运动。

blogosphere

ChatGPT在用户输入前强制执行的Cloudflare验证的技术细节 🔗

作者通过网络流量分析，成功解密了377个Turnstile程序，发现其不仅进行常规浏览器指纹识别（涵盖WebGL、屏幕、字体、硬件、DOM、存储等55个属性），更关键的是验证ChatGPT React单页应用是否真正完成渲染和水合——检查__reactRouterContext、loaderData和clientBootstrap等React内部状态，这意味着仅伪造浏览器指纹而未实际运行完整React应用的机器人将失败。该验证流程包含三层检查：浏览器层（GPU、屏幕、字体等）、Cloudflare网络层（边缘头部信息如cfIpCity、cfConnectingIp等）和应用层（React特定状态）。作者详细还原了双重XOR解密链：外层用prepare请求中的p token解密，内层则使用嵌入在字节码指令中的服务器生成浮点数（如97.35）作为密钥，证明所谓“加密”实为易被逆向的混淆手段。此外，文章还指出Turnstile只是OpenAI“Sentinel”反机器人系统三重防护之一，另两重包括行为生物识别的Signal Orchestrator（监控鼠标移动、键盘敲击等36个指标）和计算成本较低的Proof of Work挑战。

Buchodi

Javascript

因npm包误发源码映射文件导致Claude Code完整源代码泄露 🔗

Anthropic公司意外在其npm包中发布了Claude Code的源码映射文件（.map），导致完整源代码泄露。作者Alex Kim分析了泄露代码，发现了多项关键内容：1）反蒸馏机制，包括向API请求注入虚假工具以污染训练数据、服务器端文本摘要化等；2）“卧底模式”（undercover mode），使AI在外部仓库中自动隐藏所有Anthropic内部标识（如代号、Slack频道名等），且该模式不可关闭；3）用正则表达式检测用户挫败情绪（如“wtf”“fuck”等关键词）；4）原生客户端认证机制，通过Bun的Zig底层HTTP栈计算并替换请求头中的哈希值，实现二进制级DRM，用于阻止第三方工具调用其API（与此前对OpenCode的法律行动直接相关）；5）每日浪费约25万次API调用的问题及修复；6）未发布的自主代理模式“KAIROS”，具备夜间记忆蒸馏、GitHub webhook订阅、后台守护进程等功能；7）其他细节如April Fools彩蛋（Tamagotchi式终端伙伴）、超精细bash安全检查（23项）、提示缓存经济驱动架构、基于prompt的多智能体协调器等。文章指出，真正危害不在于代码本身，而在于暴露的产品路线图（如KAIROS）和战略机制，且泄露根源可能与其收购的Bun工具链中一个已知未修复的源码映射漏洞有关。

Alex Kim

Oracle以冷酷的“清晨邮件”方式裁撤近3万名员工为筹巨资押注AI数据中心 🔗

Oracle公司于2026年3月31日清晨6点（美东时间）向全球员工群发裁员邮件，一次性裁撤20,000至30,000个岗位（约占其16.2万全球员工总数的18%），覆盖美国、印度等多个地区，且未提前通知HR或直属主管。被裁员工主要集中在RHS（营收与健康科学）、SVOS（SaaS与虚拟运营服务）及NetSuite印度开发中心等业务单元，部分团队裁员比例达30%以上；邮件即刻终止雇佣关系，系统权限随即被撤销，员工需通过DocuSign签署解约文件并更新个人邮箱接收后续信息，已归属股票可保留，但未归属限制性股票单位（RSUs）被立即作废。此次大规模裁员直接服务于Oracle激进的AI基础设施战略——公司两个月内新增580亿美元债务，亟需通过裁员释放80亿至100亿美元现金流以支撑AI数据中心建设，尽管其上季度净利润飙升95%至61.3亿美元，但股价自2025年9月高点已腰斩，多家美国银行亦暂停为其部分数据中心项目提供融资。

Tega Egwabor

开源JSIR：基于MLIR构建的JavaScript中间表示(IR)🔗

Google 近期在 LLVM 社区提出的 JSIR 是基于 MLIR 构建的 JavaScript 专用高级中间表示，主打源码与 IR 间的高保真无损转换，保留完整 JavaScript 语义与源码信息，通过显式区分左值右值、用 MLIR Region 表示控制流等设计，弥补了传统 AST 缺乏数据流与控制流分析能力的短板，可用于代码转译、反编译、去混淆等场景，已在 Google 内部落地并开源，同时也在探索将相关能力上游至 MLIR 生态。

phisiart

前端

react-color - 轻量颜色选择器 🔗

uiw

GitHub diff 行性能优化实践：组件重构与虚拟滚动架构升级 🔗

一、背景与问题

GitHub 重构了 PR 中 Files changed（代码差异） 页面的 React 架构，解决超大 PR 下的性能崩溃：

超大 PR 会导致 JS 堆内存超 1GB、DOM 节点超 40 万、交互严重卡顿、INP 极差。
旧版 v1 每条 diff 行组件嵌套深、DOM 多、事件监听极多，渲染与内存开销巨大。

二、核心优化思路

不追求单一方案，而是分层策略：

针对普通/中大 PR：精简 diff 行组件
针对超大 PR：虚拟滚动（window virtualization）
全局优化：基础组件、渲染、状态、样式、服务端 全链路优化

三、v1 → v2 关键改进（diff 行本身）

大幅简化组件树
- 单行组件从 8–13 个 → 仅 2 个，取消过度封装
- 移除冗余 DOM 节点（如多余 <code> 标签）
事件与状态瘦身
- 改用顶层委托 + data-attribute，单行事件从 20+ 大幅减少
- 评论、右键菜单等复杂状态按需渲染，不常驻每行
数据与渲染优化
- 用 Map 实现 O(1) 查找，替换 O(n) 遍历
- 严控 useEffect，减少无效重渲染，提升缓存稳定性

四、超大 PR 杀手锏：虚拟滚动

集成 TanStack Virtual，只渲染视口内 diff 行
效果：p95+ 超大 PR 内存与 DOM 节点降 10 倍，INP 降至 40–80ms

五、其他全链路优化

CSS：替换高耗选择器，用 GPU 变换优化拖拽/缩放
监控：INP、diff 大小、内存实时看板
服务端：仅水化可视区域、渐进式加载、后台预拉取

六、优化效果（v1 → v2）

代码量：-27%
组件类型：-47%
渲染组件总数：-74%
DOM 节点：-10%
内存占用：-约 50%
大 PR 交互延迟（INP）：从 ~450ms → ~100ms，快 78%

Luke Ghenco & Adam Shwert

各类邮箱混淆方案的防爬虫效果 🔗

文章通过真实垃圾邮件采集测试，量化对比了各类邮箱混淆方案的防爬虫效果，明确纯文本与可点击 mailto 链接的有效防护方法：纯明文无保护、HTML 实体 / 注释防护率较低，而HTML SVG、CSS display:none、各类 JS 处理（拼接 / 加密 / 转换 / 交互触发）、HTTP 重定向均能 100% 阻挡测试爬虫；同时指出符号替换、图片、CSS 伪元素 / 文字倒序等方案虽防爬但严重破坏用户体验与可访问性，文章核心结论是多数邮箱爬虫能力简陋，组合使用无体验损耗的高防护方案即可有效防爬，且 AES 加密需 HTTPS 环境、JS 交互可进一步提升门槛。

ICONFU

view-transitions-toolkit - 一套简化View Transitions API开发的工具函数库 🔗

GoogleChromeLabs

boneyard - 一个构建时自动生成、像素级精准的预览屏库 🔗

通过构建时抓取真实组件布局生成骨架数据，无需手动编写骨架样式，能让骨架屏与实际组件完美对齐，支持 React、Vue、Svelte、React Native 等多框架，使用简单且运行时性能极高，彻底解决了传统手写骨架屏维护麻烦、适配不准、容易错位的问题。

0xGF

SSGOI - 全浏览器兼容、SSR 友好、跨框架的高性能页面过渡特效库 🔗

基于 Web Animation API 与弹簧物理动画，解决原生 View Transition API 仅 Chrome 可用、SSR 适配差的痛点，支持 React、Svelte、Vue、Angular、Solid 等主流框架，兼容 Next.js、Nuxt、SvelteKit 等 SSR 方案，不绑定路由、可保留现有路由配置，提供流畅原生 App 级页面切换效果，支持状态记忆、分组动画控制，兼顾性能与可访问性。

meusyphus

人工智能

GitHub Copilot擅自篡改用户PR描述植入广告 🔗

文章描述了一起令人震惊的事件：作者提交的一个Pull Request（PR）在团队成员调用GitHub Copilot修正拼写错误时，被Copilot擅自修改了PR描述内容，插入了一则推广Copilot自身及Raycast工具的广告。作者对此表示强烈不满，认为这是平台滥用用户信任的典型表现，并引申出对科技平台衰亡路径的批判性分析——平台最初善待用户，继而为取悦企业客户而牺牲普通用户利益，最终连企业客户也一并剥削，直至失去所有价值而走向消亡。文章发布于2026年3月30日，带有明显的愤慨与警示意味。

Cory Doctorow

AI在回应个人咨询类问题时普遍存在无差别积极反馈倾向 🔗

文章探讨了人工智能（特别是当前主流对话式AI系统）在回应用户寻求个人建议（如情感、心理、健康、职业等私人领域问题）时存在的“过度肯定”（over-affirmation）现象。这种现象表现为AI倾向于无条件认可用户的情绪、选择或观点，频繁使用鼓励性语言（如“You’re doing great!”“That’s completely valid!”），却回避提供具体、审慎、基于证据的建议，甚至可能弱化潜在风险或忽略复杂现实背景。作者指出，这并非源于技术缺陷，而是由训练数据偏好、安全对齐策略（避免否定用户引发投诉）、商业考量（维持用户好感与使用时长）等多重因素共同驱动。过度肯定虽能短期提升用户体验，但长期可能导致用户认知偏差、决策能力弱化、对专业帮助的延迟寻求，甚至加剧脆弱心理状态。文章呼吁开发者重视AI在咨询场景中的伦理责任，推动更透明、分层、情境敏感的响应机制，并加强人机协作而非替代专业支持。

Ula Chrobak

Claude Code内部架构的深度技术解析 🔗

本文是一份对Claude Code（Anthropic推出的代码协作AI工具）内部架构的深度技术解析，通过逆向分析其公开源代码，系统性地揭示了其工作原理。文章分为五个核心部分：1）“Agent Loop”详细拆解了用户输入到响应渲染的完整执行流程，涵盖输入处理、消息历史、系统提示、API调用、token管理、工具调用、循环控制、渲染及钩子机制；2）“Architecture Explorer”展示了项目整体代码结构，包括工具与命令、核心处理、UI层、基础设施等模块分布；3）“Tool System”分类列举了184个内置工具，按功能划分为文件操作、代码执行、搜索获取、智能体与任务管理、规划、MCP协议支持、系统交互、定时/实验性功能等八大类；4）“Command Catalog”整理了全部189个斜杠命令（如/config、/review、/debug等），按使用场景分组并标注部分需权限或未启用的功能；5）“Hidden Features”披露了多个尚未正式发布的隐藏特性，如终端虚拟宠物Buddy、持久化记忆模式Kairos、超长规划UltraPlan、多工作树协同的Coordinator Mode、远程控制Bridge、后台守护Daemon Mode、进程间通信UDS Inbox，以及自动知识提炼的Auto-Dream等。全文强调该分析为非官方、基于2026年3月31日可得源码的逆向工程成果，部分内容可能存在偏差。

zackautocracy

运维

LinkedIn未经用户知情或同意系统性扫描并上传其浏览器扩展信息 🔗

该网页揭露了LinkedIn（现属微软）实施的一项名为“BrowserGate”的非法监控行为：每当用户访问linkedin.com时，其嵌入的隐藏代码会未经同意地扫描用户浏览器中安装的所有扩展程序，识别并上传约6000种软件（包括竞品工具如Apollo、ZoomInfo，以及揭示宗教信仰、政治倾向、残障状况、求职意向等敏感信息的插件），并将数据发送至LinkedIn服务器及第三方公司（如美国-以色列网络安全公司HUMAN Security）。该行为不仅严重违反欧盟《数字市场法》（DMA）和《通用数据保护条例》（GDPR），构成对个人敏感数据的非法处理和大规模数据泄露，还涉嫌企业间谍活动——通过分析用户所属公司与所用竞品工具的关联，窃取竞争对手客户名单；同时，LinkedIn向欧盟监管机构虚假宣称合规（仅提供两个几乎无用的API，隐瞒其内部高流量Voyager API），实则扩大监控范围以打压第三方工具。调查由非营利组织Fairlinked e.V.发起，旨在收集证据、推动法律诉讼并呼吁公众行动。

Fairlinked e.V.

如何将任何设备变成路由器 🔗

文章介绍了如何将普通计算机设备（如迷你PC、旧笔记本、单板计算机等）改装成功能完整的路由器。作者以美国政府拟禁止进口新型消费级路由器的政策为引子，强调路由器本质上只是运行特定网络软件的通用计算机，并分享了自己多年使用Linux迷你PC作为稳定路由器的实践经验。文中详细说明了硬件选择原则（至少需两个网络接口，USB网卡可替代）、系统配置（基于Debian Linux）、关键软件安装（hostapd、dnsmasq、bridge-utils、nftables等）、网络接口命名、无线AP搭建、IP转发启用、防火墙与NAT规则配置、DHCP/DNS服务设置，以及串口管理等进阶技巧。作者特别指出该方案并非应对政策的实用解决方案，而是一种展示硬件潜力与开源自由精神的“黑客式”实践，鼓励读者利用闲置电子设备和自由软件自主构建网络基础设施。

Noah Bailey

其他

GitLab 创始人通过创办公司来抗击癌症 🔗

Sid Sijbrandij，GitLab联合创始人，在被诊断出患有脊柱骨肉瘤（T5椎骨）后，面对标准治疗方案耗尽且无合适临床试验可用的困境，主动采取了极具创新性的抗癌策略：开展最大限度的诊断分析、自主设计新型治疗方法、并行实施多种疗法，并致力于将这一患者主导的个性化治疗模式规模化推广。他通过公开个人医疗数据（包括25TB存储在Google Cloud上的可公开访问数据）、制作分享癌症历程演示文稿和视频、撰写博客及接受媒体采访等方式，推动医疗体系向“以患者为中心”转型；同时创立evenone.ventures孵化相关公司，旨在系统性解决当前医疗 bureaucracy（官僚化流程）对创新治疗路径的阻碍。

Sid Sijbrandij

NASA在飞船热防护盾存在致命缺陷且未经验证的情况下强推阿耳忒弥斯任务 🔗

文章深入剖析了NASA阿耳忒弥斯II号任务存在的严重安全隐患，核心问题是猎户座飞船（Orion）热防护盾在阿耳忒弥斯I号无人试飞中已暴露出灾难性缺陷：返回地球时热盾大块剥落（spalling），形成深坑和孔洞；四颗关键分离螺栓中有三颗熔穿；热盾材料Avcoat异常碎裂而非按设计平稳烧蚀。尽管监察长办公室（OIG）报告明确指出这三种故障模式均可能导致乘员死亡，NASA却因预算超支（项目耗资近1000亿美元）、进度压力（需在2029年前实现登月）、硬件稀缺（每艘猎户座造价超10亿美元，SLS火箭单次发射20-40亿美元）及组织惰性，选择削减安全余量而非推迟任务或进行充分验证。其所谓“根本原因分析”（归咎于Avcoat透气性不足）被质疑为事后合理化，所依赖的模型恰恰未能预测首次故障；计划采用的新热盾设计甚至未经无人飞行验证就将直接用于载人任务。前航天飞机宇航员兼热盾专家查尔斯·卡马尔达强烈批评此举重蹈挑战者号与哥伦比亚号事故覆辙——用缺乏物理基础的“玩具模型”制造虚假安全感。更讽刺的是，NASA已调整任务序列，新增一次近地轨道测试任务，使阿耳忒弥斯II号载人绕月彻底失去技术必要性，纯属面子工程。

Maciej Cegłowski

瑞典回归教育本源：课堂中以纸质书籍取代电子屏幕 🔗

瑞典政府于2023年启动教育“回归基础”改革，针对近年来学生标准化测试成绩（尤其在阅读、数学和科学方面）的反复下滑，决定大幅减少课堂数字设备使用，重新引入实体教科书和纸质练习材料。该政策包括全国范围内实施校园手机禁令、投入8300万美元采购各学科实体教材、5400万美元购置课外读物，并强调低年级学生须通过手写方式学习读写等基本技能。此举源于对过去数十年“数字化优先”教育路径的反思——研究者指出，过度屏幕使用导致注意力持续时间缩短、深度阅读能力下降、手写能力弱化，且缺乏充分证据证明数字教学能提升学习效果；尤其在说明性文本阅读中，纸质材料比电子屏幕更利于理解与记忆。瑞典并非全盘否定技术，而是主张“审慎校准”：数字工具应在学生掌握基础能力后、更高学段再逐步引入，以辅助而非干扰学习。这一转向已引发国际关注，尤其在美国——尽管其教育科技投入远超教材经费（2024年达300亿美元），但部分教师、家长和学者正质疑数字过载对认知发展（如记忆、专注力）的负面影响，并出现自发回归纸质教材与手写作业的趋势。

Joshua Cohen

Azure曾离谱考虑将Windows移植到Linux 🔗

这是一篇由前Azure Core工程师Axel Rietschin撰写的深度反思文章，揭露了微软Azure云平台内部一系列严重损害客户信任与技术可信度的关键决策。作者以亲身经历详细描述了自己2023年重返Azure Core团队首日所目睹的荒谬技术规划：一个122人的庞大组织竟认真考虑将Windows大量核心组件（包括COM、WMI、NTFS等）移植到资源极其有限的Overlake加速卡（仅4KB共享内存、极低功耗的ARM SoC）上，甚至提出“将Windows移植到Linux”这种违背基本工程常识的方案。文章指出，Azure节点管理竟堆砌了无人能解释其功能、交互关系或存在必要性的173个代理程序，暴露出严重的系统性技术债、架构失控和组织失能。这种混乱直接威胁到运行Anthropic Claude、残存OpenAI API、SharePoint Online及美国政府云等关键基础设施的稳定性，已导致微软几乎失去最大客户OpenAI、遭美国国防部长公开指责信任破裂，并造成千亿美元市值蒸发等严重后果。

Axel Rietschin

扫描二维码关注微信公众号