故障分析 顶级运营商 矿山 ID 名称 运营商状态 类型 商品状态 mines.fyi — 免费搜索超过91,000个美国矿山
故障分析 顶级运营商 矿山 ID 名称 运营商状态 类型 商品状态 mines.fyi — 免费搜索超过91,000个美国矿山
## 放弃Dependabot:更智能的Go依赖管理
Dependabot 经常产生不必要的干扰,尤其是在 Go 生态系统中,阻碍了高效工作。作者建议禁用它,并用两个计划中的 GitHub Actions 取代它:一个运行 `govulncheck`(漏洞扫描器),另一个运行项目测试套件来测试最新的依赖版本。
最近的一次安全修复突显了这个问题——Dependabot 向仓库中充斥着无关的更新和虚假的安全性警报,甚至对于*未使用*受影响功能的代码也是如此。`govulncheck` 提供了一个更优的解决方案,它会根据包和符号的可达性过滤警报,只关注实际影响项目的漏洞。
此外,依赖更新应该与项目的开发周期保持一致,而不是每个依赖的发布周期。每天运行测试来测试最新版本,而不是自动更新,可以在不进行持续、破坏性更新的情况下,及早发现破坏性变更。这种方法通过最大限度地减少恶意代码到达生产环境的时间窗口来提高安全性,并减少开发人员和开源维护者的重复劳动。
这篇由两部分组成的博客系列详细介绍了在 VSCode 扩展程序(SARIF 查看器和实时预览)以及 VSCode 本身中发现的三个漏洞(CVE-2022-41042,获得 7,500 美元奖励)。核心问题在于 VSCode Webviews——沙盒化的 UI 面板——以及攻击者如何可能绕过其安全限制来危及用户系统。
扩展程序中的漏洞允许进行任意本地文件泄露,可能包括 SSH 密钥等敏感数据。利用方式包括 HTML/JavaScript 注入(通过 SARIF 查看器中数据的不安全渲染)、实时预览的本地 HTTP 服务器中的路径遍历,以及 DNS 重绑定和 `srcdoc` iframe 等技术来绕过内容安全策略 (CSP) 限制。
该研究强调了安全的 Webview 配置的重要性:严格的 CSP、有限的 `localResourceRoots` 以及对 `postMessage` 通信的谨慎处理。即使配置良好的 Webviews 也并非万无一失,后续博客文章将详细介绍一个允许沙盒逃逸的 VSCode 错误。作者为构建 VSCode 扩展程序的开发者提供了实用的建议,以防止类似的漏洞,强调纵深防御原则。
我们检测到您的浏览器已禁用 JavaScript。请启用 JavaScript 或切换到受支持的浏览器以继续使用 x.com。您可以在我们的帮助中心查看受支持的浏览器列表。帮助中心 服务条款 隐私政策 Cookie 政策 版权信息 广告信息 © 2026 X Corp.
OpenScan 为所有人提供价格实惠的开源3D扫描仪。我们的社区驱动项目结合了摄影测量和模块化硬件,以创建高质量的3D模型。从爱好者到专业人士,OpenScan 赋能全球用户在各个领域探索3D扫描。加入我们,让3D扫描变得普及,并推动数字保存和创作的边界。
## AI 聊天机器人的基础设施瓶颈
尽管人工智能模型性能取得了快速进展,但支持聊天机器人的基础设施——特别是处理流式响应——却明显滞后。一个关键问题,正如简单刷新页面导致上下文丢失等令人沮丧的体验所表明的那样,源于依赖于无状态协议,如服务器发送事件 (SSE)。
目前,许多聊天机器人使用 SSE 来流式传输 token,但连接中断时(例如刷新页面)会丢失所有进度。虽然将每个 token 存储在数据库中可以*工作*,但这是一种笨拙的解决方法。
更好的方法是利用实时发布/订阅消息平台。这些平台天生就处理重新连接、多个设备和在线状态感知,从而提供无缝的体验。它们不是流式传输每个 token 的变化,而是允许进行高效的更新——持续连接的客户端实时接收 token,而重新连接的客户端则获得到流中当前点的完整更新。
核心问题不在于 SSE 与 WebSocket 的对比,而是需要与现代人工智能能力相匹配的基础设施。发布/订阅提供了一个更强大、更高效的解决方案,让开发者能够专注于人工智能体验,而不是与连接管理和数据持久性作斗争。最终,工具和基础设施需要不断发展,才能跟上人工智能模型本身的进步。
包括波普鸡、Wingstop和肯德基在内的八家大型连锁餐厅已退出“更佳鸡肉承诺”(BCC),并加入了“可持续鸡肉论坛”(SCF)。这些公司认为,BCC专注于生长速度较慢的鸡种在环境上不可持续,会产生更多的温室气体排放。他们旨在通过SCF改善福利,同时最大限度地减少环境影响并满足需求。 然而,动物福利组织如Anima International和英国人道联盟谴责此举将利润置于动物福利之上,称SCF是“虚假福利”的公关噱头。他们认为,生长速度较慢的鸡肉供应不足是由于缺乏合同,而非实际短缺。 英国家禽委员会对此决定表示欢迎,理由是生产成本增加和规划延误。虽然外卖鸡肉店正在增长,但超市仍然是最大的家禽购买者,并继续支持BCC。
## AUR 安全事件与 PKGBUILD 审查 2025年7月,Arch Linux 团队移除了三个上传到 Arch 用户仓库 (AUR) 的恶意软件包。AUR 是一个社区驱动的构建脚本 (PKGBUILD) 集合,允许用户轻松安装官方仓库中没有的软件。虽然通常可靠,但 AUR 的开放性意味着任何人都可以上传脚本,从而产生潜在的安全风险。 PKGBUILDs 本质上是 bash 脚本,定义了如何构建和安装软件。关键元素包括元数据(软件包名称、版本、描述)以及用于准备、构建、检查和打包软件的函数。 审查 PKGBUILDs 对于安全性至关重要。用户应验证源代码的可信度,仔细检查构建步骤中是否存在意外命令(尤其是下载或 `sudo` 使用),并仔细检查任何安装脚本或 pacman 钩子,因为这些脚本以 root 权限运行。 如果 PKGBUILD 看起来可疑,用户可以在 #archlinux-aur IRC 频道或论坛寻求建议。AUR 依赖于社区的警惕性,虽然系统需要改进,但它仍然是一个宝贵的资源。该事件强调了在使用 AUR 时用户意识和主动安全实践的重要性。
## 漏洞披露与潜水保险公司的回应
作为一名潜水教练和平台工程师,我在科科斯岛旅行期间发现了一家大型潜水保险公司会员门户网站的一个严重安全漏洞。该门户网站分配了连续的用户ID,并使用静态的默认密码——一种容易被利用来访问敏感个人数据的组合,包括未成年人的个人资料。
我于2025年4月负责任地披露了该漏洞,遵守了标准的30天禁运期,并联系了保险公司和马耳他的国家网络安全机构(CSIRT Malta),因为该公司总部设在那里。虽然保险公司解决了技术问题,但他们的反应却带有防御性,试图用法律威胁和限制性保密协议来压制我。他们甚至暗示*我*报告漏洞是在犯罪。
尽管漏洞已被修复,但没有确认受影响的用户已被通知——这可能违反了GDPR。这一事件凸显了一种令人担忧的模式:组织优先考虑声誉管理而非数据安全,并惩罚研究人员而不是促进合作。这种“寒蝉效应”会阻碍负责任的披露,并最终损害用户。这段经历强调了需要明确的漏洞披露政策、对研究人员的感谢,以及在数据泄露时对透明度和用户通知的承诺。