HashiCorp 归档 Boundary 开源仓库
HOT
HashiCorp 已把 Boundary 的开源仓库归档，项目转入只读、不再接收功能更新。Boundary 是 2020 年推出的身份感知访问代理，用动态凭据为 SSH、数据库等会话提供零信任入口，常与 Vault 搭配使用。归档不等于代码消失，社区可以 fork 自维护，但对已把它写进生产架构的团队是明确的路线图信号：要么继续维护分支，要么迁移到 Teleport、Tailscale SSH 等替代品。选型时应把开源项目的治理与生命周期风险纳入评估。
QT：用 Rust 写的后量子端到端加密通讯内核，124MB 内存支撑 1 万连接
NEW
GitHub 项目 moral666/QT 发布了一个用 Rust 编写的端到端加密即时通讯内核，主打后量子密码学（post-quantum）与极低资源占用：官方数据显示单机 124MB 内存可维持约 1 万条并发连接，适合在树莓派、VPS 等边缘设备上自建聊天服务。项目把加密、会话管理与网络 I/O 拆成可复用组件，方便嵌入现有应用。对关心「量子计算机何时破解 RSA/ECC」的开发者来说，它提供了一个可直接跑的 PQC 实践样本；但项目仍处早期，别急着上生产。
apsw：把 SQLite 底层能力完整暴露给 Python 的封装库
apsw（Another Python SQLite Wrapper）是一个把 SQLite 底层 API 近乎完整暴露给 Python 的封装库。与标准库 sqlite3 不同，它不做简化处理，支持虚拟表、自定义 VFS、备份 API、会话扩展等高级特性，并能精确控制事务行为与错误码。对需要在 Python 里做嵌入式数据库、自建存储引擎或把 SQLite 当本地数据层的开发者来说，apsw 提供了接近 C 接口的能力，代价是 API 更底层、文档更硬核，适合熟悉 SQLite 内部机制、对性能与可控性有要求的项目。
Plimsoll：为 AI 智能体生成的代码提供自托管沙箱
AI
Show HN 项目 Plimsoll 是一个自托管沙箱，专门用来安全执行 AI 智能体生成的代码。随着 Agent 直接写脚本、跑 shell 命令的场景变多，「模型生成的代码谁来兜底」成了实际的工程问题：Plimsoll 的思路是把每次执行放进隔离环境，限制文件系统、网络与资源占用，出问题也不影响宿主机。它可本地部署，避免把代码送到第三方云沙箱。对已经在工作流里接入代码执行能力的团队，这类工具是补齐安全边界的关键一环，值得先在小范围试点再评估是否纳入 CI。
BraiNOTES：在浏览器标签页里直接在讲义 PDF 上手写笔记
NEW
作者此前做过纯浏览器运行的 LaTeX 编辑器 TeXbrain，如今把「另一半学习场景」补齐：BraiNOTES 让你在一个浏览器标签页里直接在讲义 PDF 上手写笔记，无需账号、无需服务器，数据留在本地。它面向用平板加触控笔上课的学生，以及需要批注论文的研究者，解决了「PDF 阅读器不支持压感手写、笔记软件导入 PDF 又很麻烦」的割裂。对 web 开发者而言，这种纯前端、不做后端的实现路径也值得参考：牺牲一点同步便利，反而更容易赢得隐私敏感用户。
如何测试一个 Python 后端：单元、集成与服务级测试的边界
这篇文章讨论一个同时暴露 HTTP 与 AMQP 两种入口的 Python 后端该怎么测：作者用真实测试数据库加内存消息代理，把同一套业务逻辑从两个接口各跑一遍，对比单元测试、集成测试与服务级测试的适用范围。核心结论是 mock 并非越多越好——在服务边界使用真实依赖，才能抓到序列化、事务提交与消息确认这类问题；过度 mock 会让套件全绿却掩盖真实故障。文章还给出哪些地方适合打桩、哪些地方必须用真依赖的判断标准，对正在设计测试分层的后端团队有直接参考价值。
RESTful API 与 REST API，到底有没有区别？
这篇短文把常被混用的 REST API 与 RESTful API 拆开讲：REST 是 Roy Fielding 在 2000 年博士论文中提出的架构风格，包含客户端-服务器分离、无状态、可缓存、统一接口、分层系统等约束；「RESTful」只是形容一个 API 在多大程度上满足这些约束。现实中的「REST API」多半只是用 HTTP 动词加 JSON 的 RPC 风格，未必无状态，也未必有超媒体驱动。作者提醒：与其争论名词，不如明确自己牺牲了哪些约束、换来了什么，这对接口设计与团队沟通更有价值。
用 Bi-LSTM 与 TensorFlow 做实时 HRV 异常检测
AI
这篇实战教程用 TensorFlow 搭 Bi-LSTM，对可穿戴设备采集的心率变异性（HRV）做实时异常检测，判断用户是否处于高压状态。文章先解释 HRV 为何能反映自主神经系统状态，再点出原始 wearable 数据的三个工程难点：噪声大、采样不规则、个体差异明显。作者依次给出滑动窗口特征构造、缺失值处理、双向 LSTM 建模与阈值判定的代码路径。对想把生理信号做成健康提醒或压力管理功能的开发者，这是一份从数据清洗到模型评估都能照着走的参考；若只关心产品效果，也可先跑规则基线再上模型。
CVE-2026-49869 详解：一次字符串比较如何把 root 交给未认证攻击者
HOT
一篇被广泛转发的漏洞分析拆解了 CVE-2026-49869：开源工作流编排平台 Kestra OSS 在 1.0.45 之前，以及 1.1.0 至 1.3.21 之前的版本中，存在一处不当的字符串比较，导致未认证攻击者可直接获得 root 权限，CVSS 3.1 评分满分 10.0，归类为 CWE-287（认证不当）。问题出在认证判断逻辑而非内存安全，修复版本为 1.0.45 与 1.3.21。这类「一个等号写错就交出整个系统」的案例提醒自托管工作流平台的团队：尽快升级，并检查暴露在公网的实例与默认配置。
热帖：Passkeys 是个陷阱，不要用它
HOT
HN 上获得 260 多分的热帖《Passkeys are a trap》对 FIDO 通行密钥的现状提出尖锐批评：作者认为 passkey 把「账户恢复」这一最脆弱环节交给了苹果、谷歌、微软的密钥环，用户被锁定在平台生态里，跨平台迁移和自托管体验依旧糟糕，而网站往往仍保留密码回退，安全性提升被打了折扣。评论区争论激烈，反方强调 passkey 对钓鱼攻击的防御价值。对正在规划登录体系的开发者，这篇值得一读：它逼你回答「用户换设备、丢手机时怎么办」，而这恰恰是很多项目的盲区。
Karpathy：人们对 LLM 能力理解的鸿沟正在扩大
AI
Karpathy 的一条推文引发近 400 条讨论：他指出不同人群对 LLM 能力的心智模型差距正在扩大——有人还把它当高级自动补全，有人已经在用它重构工作流，双方对「模型能做什么」的判断几乎无法对话。这种认知鸿沟会同时影响招聘、产品决策与工程分工：低估者错过杠杆，高估者也容易在没人复核的地方踩坑。对技术团队的启示是，把「模型当前实际能力」写成可验证的评测与内部案例，比争论谁对谁错更有用。
浏览器指纹正在成为新的 Cookie
HOT
作者提出「浏览器指纹正在成为新的 Cookie」：第三方 Cookie 被浏览器逐步封杀后，广告与风控行业转向基于 Canvas、WebGL、字体、硬件时序等信号组合出的设备指纹，用户既看不见也难以清除，此前依靠 Cookie 弹窗获得的知情同意被悄然绕开。文章梳理了指纹识别从被动采集到主动探测的技术脉络，并讨论监管口径为何落后于实践。对做前端、风控与隐私合规的人来说，这篇提醒：对抗指纹的成本正落在用户与浏览器厂商身上，站点做分析时应主动选择更透明的方案。
今天最值得注意的信号是：AI 写代码的速度已经超过我们兜底的速度。Plimsoll 这类自托管沙箱与本地索引省 token 的技巧同时上榜，说明团队关注的焦点正从「让模型更聪明」转向「让模型更可控、更便宜」。谁先把执行边界和成本模型做扎实，谁就能把 Agent 真正放进生产流程。
Boundary 仓库被归档、Kestra 因一行字符串比较被判满分漏洞，两件事指向同一结论：基础设施软件的长期风险不在功能列表，而在治理与细节。选型时多看维护节奏与安全响应能力，比对比特性表更重要；上线前先跑一遍认证与边界测试，成本远低于事后救火。
Karpathy 所说的「对 LLM 能力理解差距在扩大」，和 passkey 之争其实是同一件事：技术共识正在分层，讨论常常不在同一个前提上。对开发者而言，少站队、多做可复现的小实验，把结论写成团队内部的评测与案例，才是消除分歧、不被营销话术牵着走的办法。