Google 的 C 语言 Brotli 解码器存在漏洞（CVE-2026-111497，CWE-252/CWE-787），精心构造的 Brotli 数据流在块切换时处理不当，可导致越界写入。任何解压攻击者控制的 Brotli 数据的应用都面临风险，包括 HTTP 客户端、Express/body-parser、Python 框架、直接解码器调用、系统 libbrotlidec，以及许多项目中的 vendored 副本。Node.js 在 22.23.4/24.22.1/26.12.1 以下版本受影响；Python Brotli/brotlicffi 在 1.2.1/1.2.1.0 以下版本受影响。修复方法是将 Node.js、Python 包、系统库或受影响的 vendored 项目升级到修补版本（1.0.10/1.1.1/1.2.1），或 cherry-pick 提交 0ed4268，然后重启/重新部署。临时措施包括移除 Python Brotli 包并拒绝 br 请求体，但运行时/库升级最可靠。已有公开 PoC；截至 2026-10-22 尚未确认野外攻击。
每日HackerNews RSS
Google 的 Brotli 解码器存在一个严重远程代码执行漏洞（CVE-2026-111497），影响 Node.js、Python 以及许多链接共享 C 库的工具。恶意客户端或服务器可利用 Brotli 编码的 HTTP 请求体或响应进行攻击。修复代码自二月起就存在于源码中，但发布滞后，导致发现和报告过程混乱；Mozilla 在四月将其报告为远程代码执行漏洞。该缺陷尤其令人担忧，因为许多运行时和应用默认静默支持 Brotli，包括请求体。缓解措施包括更新依赖、重启进程、重建容器以及在代理处阻止 Brotli。讨论还涉及 Google 对开源库的维护、攻击面权衡、Rust 是否有帮助、依赖冷却期，以及“HTTP2Shell”等误导性耸动名称。总体而言，应尽快修补、清点传递依赖，并减少不必要的攻击面。
Hacker News 的评论者围绕恢复创意存档界面的呼吁展开争论。许多人把老主机的奇趣界面归因于充满激情的早期开发者和尚未固化的 设计规范，而现代游戏因预算巨大、受众多元而更倾向委员会批准、普遍可接受的设计。其他人指出界面正趋同于优化、标准化的交互，如智能手机，并认为存档界面如今因存储与云备份而不再必要，手动存档管理已过时。一些评论者怀念老系统有个性的叙事内 UI；另一些则警告关键的存档/读档功能应保持简单明确，以防止数据丢失。帖子还涉及对老 UI 的怀旧、可能的 Xbox 360 Blades 回归，以及现代游戏界面普遍同质化。总体上，观点在欣赏怀旧魅力与优先考虑实用性、可访问性和可靠性之间分裂。
弗雷迪·维加在X上指控称，三星电视利用蓝牙查找附近麦克风并监听家庭音频事件（如狗吠或婴儿啼哭），以及YouTube和其他应用活动。log4j的回复补充说，电视会在向三星报告前对音频进行分类，遥测路径包括传感器偏好、狗吠/婴儿啼哭事件计数器和摄像头流媒体时长。该帖获得113.2K次观看，并引发质疑其合法性、批评外国技术以及建议开源替代方案的回复。这总结的是引用帖子中的说法，而非经验证的结论。
对不起。
Hacker News 上一篇关于创业公司“强度”的文章讨论。评论者争论强度是成功的原因，还是与情境相关的幸存者偏差。许多人认为成功来自深切的关心与情感投入，尤其是拥有大量股权的创始人，而企业文化往往奖励疏离。其他人警告强度可能变成冷酷或毒性，伤害员工与家庭，并与长时间工作混淆，而非专注努力。实际观点包括：强度应指向清晰愿景与高标准；创业公司通过做出客户愿意付费的产品成功；权益上限的员工不应被期望匹配创始人强度。有些人提到耐痛与追求地位的动机，另一些人强调平静而高效的强度是可能的。远程工作与深度专注也被讨论。总体而言，强度可能是必要但不充分的，其价值取决于方向、激励与人性化执行。
想象一个AI完全整合的未来：被封禁就意味着你经济上彻底无用。你周围的人都是活在未来里的超人，但你违反了服务条款，现在被切断了。你那副曾向你展示美丽乌托邦的智能眼镜？色彩已从其中消失。你被迫活在一个 bleak 灰色世界里。你被迫直视妻子真正的脸，而她并不高兴。你用勺子挖洞，其他人都用机器人军队建造摩天大楼。这才是真正的末日灾难；开源是保护你自由、经济生存能力以及让你能对这些公司说滚蛋的唯一方式。几个月前，OpenAI 和 Anthropic 绝望地恳求政府让它们的协作合法化。如果它们得逞，任何一个平台的一次服务条款违规都会把你直接送进沉沦之地。
一个Hacker News主题讨论一篇帖子，设想一个AI未来：被封禁会使某人经济上无用。评论者认为这已经通过中心化账户封禁发生，例如Google切断家庭或企业，且对美国科技和支付系统的依赖带来真实的地缘政治风险。许多人警告不要将所有服务整合到一家公司或一个账户下，建议使用自有域名、本地/开源模型，并将互联网/AI访问视为基本权利。其他人指出硬件可被远程禁用，企业账户也不免被封。讨论还涉及威权主义、法律战，以及AI支持相比法律系统缺乏正当程序。总体而言，讨论将AI封禁视为现有中心化风险的放大，建议以开源/本地控制和更强保障作为保护。
客户端挑战：您的浏览器中已禁用 JavaScript。请启用 JavaScript 以继续。该站点的必要部分无法加载。这可能是由于浏览器扩展、网络问题或浏览器设置所致。请检查您的连接，禁用广告拦截器，或尝试使用不同的浏览器。
Hacker News 上一篇关于洗衣机为何用了几十年才普及的文章讨论。评论者指出，早期的半自动/绞盘洗衣机虽减少了体力劳动，但需要手动加料，因此并未节省多少时间。普及取决于基础设施与经济条件：电力、管道、住房空间、成本，以及洗衣店或佣人的可得性，农村生活尤为繁重。部分评论者提到地区与阶级差异，城市女性往往更容易获得洗衣服务。讨论中还穿插了其他普及缓慢的技术切题，如带轮行李箱，以及关于能耗、无线吸尘器和 AI 采用的辩论。总体而言，讨论强调技术普及受努力、成本、基础设施、社会规范以及产品是否契合现有工作流程的影响，而不仅取决于技术本身是否有用。
每个气泡都是一家标普500公司，其面积与截至的市值成比例，并按行业分组。气泡内部，一个火柴人代表员工，因此挤满小人的气泡每名员工价值较低，而只有少数几个小人的大气泡每名员工价值较高。每个小人大小相同，所以气泡被填充的密集程度显示其每美元市值对应的员工数。仅显示员工数至少且市值至少的公司（标普500中的），以及少数员工较少的大公司，如Palantir和Welltower，以一个半尺寸小人表示。员工人数来自各公司最新年报的全职员工数，因此可能滞后最多一年。点击公司查看详情；滚动或捏合可缩放查看小气泡。
一篇 Hacker News 帖子展示了一个可视化图，将标普500公司表示为按市值大小的气泡，气泡内包含员工火柴人，每名小人代表10,000名员工。它强调了鲜明差异，例如英伟达约5.2万亿美元市值和4.2万名员工，对比埃森哲的1,460亿美元市值和81.4万名员工。
评论者质疑数据可比性。员工人数因兼职、季节性、合同工、加盟以及控股公司结构而异，且报告数字可能并未代表贡献于业务的所有劳动。一些人指出公司缺失或分类错误、企业结构不一致以及归一化较弱。其他人建议收入或每员工毛利润等替代指标，还有一些人讨论可视化与设计问题。总体而言，该工具被视为一种有趣但不完美的公司比较方式。
日益增长的不平等愤怒是2026年中期选举可负担性担忧的底层原因。财富不平等持续上升：2026年第二季度，最富有的1%的财富份额达到32.5%，而中产阶级的份额下降；最富有的0.1%拥有全部财富的15%，并获得大部分近期收益，这些收益受企业利润和股票持有推动。自里根时代的减税以来，美国税收变得不那么累进；特朗普2025年的法案使富人减税永久化，并削减了安全网项目。超级富豪从企业所有权、税收递延和以资产为抵押借款中受益。其他政策也扩大差距：ACA补贴失效、能源成本飙升和关税打击常见消费品以及低收入和中等收入家庭的预算。经济学家认为，不平等是社会与政治建构的结果，而非不可避免。
Hacker News 关于“美国不平等正以你可能未想到的方式恶化”的帖子中，评论者就原因与对策展开辩论。一些人指责富人抛弃社会、破坏工会、减税和权力集中；另一些人则将财富视为生产性投资，或批评政策失败。讨论涉及财富上限、累进税制、金钱政治、亿万富翁影响，以及不平等是否源自道德、政策或经济结构。旁支话题还讨论了 HN 排名、沟通障碍及其他题外话。总体而言，没有共识：参与者在问责、监管以及如何平衡机会、民主与财富等问题上存在分歧。
一篇 Hacker News 讨论帖探讨了 Reddit /r/opensource 禁止单人项目和 LLM 辅助项目的政策。用户争论该规则是对大量低效 AI 生成提交压垮版主、让真正项目难以识别的必要回应，还是过度反应，惩罚单人维护者和合法的 AI 辅助工作。一些人认为开源社区需要更严格的把关和人类问责；另一些人说全面禁止是 Reddit 审核过度，指出许多有价值项目是单人项目或使用 LLM。评论者还讨论代码质量、可维护性，以及 LLM 是提高生产力还是产生垃圾内容。更广泛主题包括垃圾信息下的社区衰落、验证努力的困难，以及可能分裂为 AI 正面和 AI 负面空间。
使用免费的全屏在线时钟，支持数字、模拟和翻页样式。可显示秒数和日期，可选择12小时或24小时制，并保存设置。 如何使用： 秒数：显示或隐藏。 日期：显示或隐藏。 时间格式：12小时或24小时。 外观：浅色、深色或跟随系统设置。 此标签页可见时保持屏幕常亮。 按F进入全屏。控件在三秒无操作后消失，移动鼠标或轻触可重新显示。 须知： 时间来自设备的时钟和时区。如果显示错误，请检查设备的日期和时间设置。 收藏你喜欢的时钟以返回相同样式。你的偏好保存在此浏览器中。 使用设备的分享菜单或复制链接分享。如果复制失败，请选择并复制屏幕上显示的链接。 相关工具
Hacker News 用户讨论了由 DirkJanMeijer 创建的个人时钟网站 theclock.online。帖子起初因标题笔误和作者身份不清而让评论者困惑；创作者澄清他是人类，而非 AI。该网站提供多种时钟样式，包括翻转和站台时钟，并扩展了语言支持、秒表、专注模式、世界时钟转换、夏令时处理以及可配置的正宗瑞士风格分钟行为等功能。评论者争论一个简单的时钟是否值得登上首页，而其他人分享了通过时钟项目学习数学和编程的怀旧故事。用户还请求改进，如移动端 Web 应用安装和更流畅的动画，作者通过添加其中几项作出回应。总体而言，该帖子围绕一个小巧但精致的时钟应用及其基于社区反馈的快速迭代展开。