rakyll/hey
DEV
rakyll/hey 是用 Go 编写的 HTTP 负载压测工具，被视为 boom 的继任者，9 月 30 日登上 GitHub Trending。它以单文件二进制发布，一条命令即可向目标地址发起并发请求，常用参数包括 -n 指定总请求数、-c 指定并发数、-z 指定持续压测时长，并输出按延迟分桶的直方图、QPS 与错误率统计。对后端与 SRE 来说，它在做接口性能回归、容量评估和上线前基准测试时，比 JMeter 这类重型工具更轻量，也更容易塞进 CI 流水线里自动跑基准。
dream-num/univer
DEV
dream-num/univer 是 Apache-2.0 开源的电子表格、文档与幻灯片套件，9 月 30 日出现在 GitHub Trending。它把公式引擎、画布渲染与协同能力拆成独立包，前端可以像调用组件一样把 Excel 式表格嵌进自己的产品，并支持 xlsx 等格式导入导出与大数据量下的虚拟滚动。对需要自建类 Excel 能力的 SaaS、报表系统和低代码平台来说，它是闭源商业表格控件之外的一个可选底座，也让「浏览器里的办公套件」多了一条路。
ninjahawk/livenerf
HOT
ninjahawk/livenerf 是一个用于检测大模型能力是否被静默削弱的开源基准项目，9 月 30 日在 Hacker News 收获 209 分、100 条讨论。它围绕 Opus 5.5 提出并试图回答一个问题：API 版本号不变的情况下，模型表现会不会被悄悄调整。项目通过固定题库、重复采样与历史结果对比，把同一批提示在不同时间的表现量化成可追踪的曲线。对把模型能力写进产品承诺的团队来说，这种「模型回归监测」正从极客玩具变成上线前的必要环节。
NSL – WSL for Linux
开发者 frostyard 发布 NSL（WSL for Linux），把 Windows 上 WSL2 的体验搬到 Linux 桌面。它在单个轻量虚拟机里托管多个发行版，用户可用类似 wsl -d 的方式在 Ubuntu、Fedora 等环境间切换，共享文件与网络，而不必为每个发行版单独维护容器或虚拟机。作者日常使用原子化更新的 Linux 发行版，做这个工具就是为了在不可变系统上方便地跑多套开发环境。对需要跨发行版验证构建、又不想污染宿主系统的工程师，这是个值得试用的思路。
Tcl/Tk 9.1
NEW
Tcl/Tk 发布 9.1，9 月 30 日在 Hacker News 获得 240 分、83 条评论。9.x 系列是这门 1988 年诞生的脚本语言最大的一次现代化：引入 64 位整数、更完整的 Unicode 支持、ZIP 虚拟文件系统挂载以及新的图像格式能力，Tk 侧的高分屏与缩放表现也得到改善。Tcl 至今仍活跃在芯片 EDA、网络设备与测试脚本中，很多工程师第一次写自动化就是用它。9.1 的意义在于让这些存量场景可以平滑迁到现代字符集与数据结构上。
Dots: Always-on agents
HOT
OpenAI 发布 Dots，一组「常驻在线」的 agent，9 月 30 日在 Hacker News 拿到 464 分、353 条评论，是当天讨论度最高的条目之一。与一次性对话不同，Dots 被设计为长期挂载、持续接收事件并自主推进任务，定位偏向把 agent 从「你问它答」变成「它替你盯着」。对开发者这意味着新的集成形态：必须考虑权限边界、状态持久化与失败重试。争议也很直接——当 agent 常驻后台，成本、可控性与可观测性都会变成必须提前设计的问题。
How to Build a Chrome Extension in 2026 (Manifest V3 Guide)
这篇 2026 年的实操指南面向想写浏览器扩展的开发者，按 Manifest V3 规范从头走一遍流程：配置 manifest.json、用 service worker 替代后台页、声明最小权限，再实现内容脚本注入、标签页管理与截图等常见能力，最后说明如何打包上传 Chrome Web Store。文中强调 MV3 下事件驱动与生命周期缩短带来的坑，例如 worker 随时休眠、状态必须落到 chrome.storage。商店里已有超十万款扩展，对练手或做内部工具的人来说，扩展仍是投入产出比很高的入口。
Introduction to Python Virtual Environments for Beginners
一篇面向初学者的 Python 虚拟环境入门。文章解释为什么要用 venv：不同项目依赖同一库的不同版本，全局安装迟早互相踩踏；虚拟环境为每个项目建立独立的 site-packages，激活后的 pip install 只影响当前目录。文中给出 python -m venv、激活脚本与 requirements.txt 固化依赖的基本流程，并对比 conda、poetry、uv 等工具的适用场景。对刚同时接手多个项目的开发者，这是最容易踩坑、也最容易补上的一课，做好隔离能省掉大量「在我机器上能跑」的扯皮。
I Built a Self-Hosted AI Code Reviewer for GitHub PRs with Spring Boot
AI
作者用 Spring Boot 搭了一个自托管的 AI 代码审查服务，并接进 GitHub PR 流程：通过 Webhook 接收 PR 事件，拉取 diff 后调用大模型给出问题清单，再以评论形式回写到 PR 上。文章交代了动机——人工逐条 review 重复且耗时，希望把格式、明显缺陷和风格问题先交给机器过一遍；也谈了实现细节，如 diff 分块、提示词约束与避免刷屏的评论策略。对不想买 SaaS 的团队，价值在于代码不出内网，审查规则也能随团队规范自行调整。
Deser: Rethinking Rust Serialization
Armin Ronacher 在 9 月 29 日的文章《Deser: Rethinking Rust Serialization》里重新审视 Rust 的序列化设计。出发点是 serde 虽已是事实标准，但 derive 宏把数据模型、格式与错误处理绑在一起，带来编译期膨胀、错误信息晦涩，以及为特殊格式做零拷贝优化时的掣肘。文章由此讨论另一种可能：让格式与数据模型解耦，用更显式的方式生成代码。对维护大型 Rust 服务的团队，序列化层几乎无处不在，改动的代价是全局性的，因此这类讨论值得跟进。
CTranslate2 CVE-2026-102566 与 CVE-2026-102567：AI 模型加载器堆溢出
NEW
9 月 29 日披露的两个内存安全漏洞 CVE-2026-102566 与 CVE-2026-102567 影响 CTranslate2 4.8.1 之前的版本，4.8.1 已修复。CTranslate2 是 Whisper、OpenNMT 等大量语音与翻译应用的推理引擎，攻击面在模型加载器：只要模型文件被替换成精心构造的恶意版本，加载时即可触发堆溢出、破坏内存，无需其他交互。对自建转写、翻译服务的团队，这意味着必须把模型文件当作不可信输入管理——尽快升级，并检查模型来源与校验流程。
科技爱好者周刊（第 413 期）：再见了，React Native
科技爱好者周刊第 413 期以《再见了，React Native》为题，9 月 30 日发布。周刊固定每周五更新，本期同时提醒：随中秋与十一假期到来，下周五起休刊一期。从标题看，这一期把讨论焦点放在跨端框架的选择上——React Native 曾是「一套代码跑两端」的默认答案，如今在性能、生态与团队成本上正被重新评估。对正在做客户端选型的团队，这类来自长期观察者的判断值得一读，但结论仍要结合自家业务与人员结构验证。
Stop Overwriting Your AI Agent's Task Status: Why We Keep an Immutable State History
AI
AgentRQ 团队开源了面向 Claude Code 等 agent 的任务看板与 MCP server，并在这篇文章里解释为什么坚持保存不可变的状态历史：如果只记录任务「已完成」，第二天就无法回答它跑了多久、其中多少时间在等人类点「允许」。做法是把每次状态变更追加成事件，再用重放得到时间线与耗时占比。对把 agent 接进真实工作流的团队，这种审计能力直接决定了能否定位卡点、核算成本，以及向他人解释 agent 究竟做了什么。
Cheap Node.js Summarization API: Split Long Sales Text with Token Counts
AI
一篇关于用 Node.js 做长文本摘要的工程实践：面对超长销售通话记录，先统计或估算 token 数，再在语义边界处切块，分别调用便宜的摘要模型，最后做一次归并，产出结构化的 CRM 字段。作者的核心观点是质量与延迟的取舍应发生在请求发出之前，而不是让销售人员对着空白 CRM 记录干等；分块还能避免超出上下文窗口造成的截断与幻觉。对做 LLM 应用的后端开发者，「先计数、再切分、后归并」是可以直接复用的流水线。
I tried to learn GitHub Actions twice: I failed the first time, but AI helped me succeed the second time
AI
作者两次尝试用 GitHub Actions 部署静态站点：第一次照教程配 YAML，被 workflow、job、step 与 secrets 的层层嵌套劝退，中途放弃；第二次让 AI agent 陪着逐步搭建，几小时就把站点部署上线，并真正理解了触发条件、缓存与部署密钥的传递关系。文章没有停留在「AI 真香」，而是指出差别在于 AI 会把报错当日志解释、即时给出可运行的片段，让学习从抄配置变成调试。对自学 CI/CD 的人，这是一种值得借鉴的用法：把 AI 当结对教练。
今天有三条消息可以连成一条线：OpenAI 的常驻 agent Dots、AgentRQ 的不可变状态历史、livenerf 对模型能力漂移的监测。它们指向同一个事实——agent 一旦从演示走向长期在线，核心问题就从「能不能做」变成「做了什么、花了多少、为什么卡住」。可观测性与审计，正在成为 agent 工程的第一等公民。
CTranslate2 的两个堆溢出漏洞值得所有自建推理服务的人停下来看一眼：模型文件本身就是攻击面。过去我们把权重当作可信资产，从网盘和社区镜像随手下载；当推理引擎直接反序列化这些文件时，一个恶意权重就约等于一次内存破坏的入口。把模型纳入供应链校验，该提上日程了。
另外几条看似无关的消息其实同源：NSL 想在 Linux 上复刻 WSL 体验，Tcl/Tk 9.1 把 1988 年的语言拖进 Unicode 与 64 位时代，rakyll/hey 这类小工具也还在被反复捡起。工具的寿命远比我们想象的长，决定它能否活下去的不是新旧，而是有没有人愿意为迁移成本买单。选型时不妨多问一句：五年后它还活着吗？