启用 JavaScript 和 cookie 以继续
每日HackerNews RSS
Humble Bundle 刚刚通过凭感觉编程毁掉了大部分安全性 Humble Bundle just killed most of their security through vibecoding
2 天前
Hacker News 用户讨论 Humble Bundle 重新设计的网站，据报道存在严重的安全与可用性退化：缺少双因素认证、密码修改流程薄弱、可能存在一键支付、登录失败、购买记录缺失以及账号删除困难。评论者争论问题是否由 AI/vibe coding 引起，还是应归咎于管理、外包、测试不足与成本削减。许多人指出旧网站运行尚可，并认为重写往往伤害用户，尤其是在没有评审与回滚方案的情况下。一些人怀疑承包商或廉价模型，而其他人则提醒 AI 使用的证据只是间接的。总体而言，该帖将此事件视为在缺乏足够专业知识、测试或保障措施的情况下上线关键认证与商业功能的警示案例。
Javier de la Torre 建了一个两平方米的菜园，并将其变成由代理驱动的物联网系统。他安装了 Ecowitt 传感器，用于测量土壤湿度、温度、天气、叶片湿度等指标，还安装了摄像头，并对所有内容进行了空间映射。数据流入 LakehouseBox Iceberg 表，与照片和天气预报一起，支持代理查询。一个托管代理每天早上运行，分析花园历史、预报和图像，发送简短报告，并可通过一部旧 Android 手机点击 Rain Bird 应用调整灌溉。该系统观察、存储、思考、行动，并在第二天检查结果。它花费了约 300 欧元的传感器费用，加上免费层存储，引出了作者的笑话“60 欧元的生菜”。他认为代理可以替代规则引擎，需要长期历史和记忆，且平台应接受简单的设备协议。剩余问题包括防护措施、数据丢失、隐私和不完整的主权。总体而言，该项目表明小型低成本花园现在可以使用严肃的分析和自主护理。
一篇 HN 帖子描述了一个花园自动化项目：一个 AI 代理利用土壤传感器、天气数据、摄像头和 Rain Bird 阀门管理浇水，历史读数存储在数据湖仓中。作者说固定规则因上下文而失效，因此代理在限制范围内调整浇水并记录预测。评论者争论自动化是否剥夺了园艺的乐趣与人际连接，而另一些人则视其为有趣的工程实验或实用的家务减负。其他讨论包括 IoT 安全、本地与云端控制、Home Assistant 替代方案、AI 生成写作担忧、代理控制执行器的物理安全，以及作者披露数据平台是自己的产品。整体来看，整条讨论既欣赏工程设计，也对过度自动化和 AI 使用持怀疑态度。
sysrpl 正在开发一款完全开源的 Linux 弹珠模拟引擎，并计划在 2026 年 IAAPA 博览会上向厂商展示。近期工作包括改进的声音系统（带有力衰减的环境音效）、更好的物理效果、控制台、TypeScript 离屏渲染、Asteroids 视频模式、游戏内编辑器以及多种相机模式。下一步计划包括完善物理、添加上层台面、语音台词、更多美术、文档、对自定义台面和 DMD 动画的 TypeScript 支持，以及双显示器背板。开发者还希望获得台面美术方面的帮助，可通过消息或电子邮件联系。
sysrpl 正在开发一个免费/开源的 Linux 弹珠台模拟引擎。它在放弃自定义 3D 引擎后使用 Jolt 物理引擎，将参数化 CAD 设计的台面导入为 3D 网格，并使用 TypeScript 编写台面逻辑；用户还可以在游戏中编辑台面。目标是让用户能玩并分享自己的弹珠台，主要面向 Linux。评论者讨论弹珠台是否需要完整 3D 物理、机器撞击/轻推的重要性，以及 Visual Pinball 等现有替代方案。开发者计划支持 DMD、最终支持双屏，并可能支持 PinMAME，同时避免重现受版权保护的真实台面。他还正在招募台面美术人员。
用于明确的掌握请求（如“教我”、“考我”等）的苏格拉底式辅导技能，而非一次性问题。它首先确认意图，然后将主题拆分为4–10个子技能，并在教学前进行3–5题的诊断。它在0–5级量表上追踪每个子技能，并在每次变化后渲染ASCII进度图。教学一次只进行一个问题——预测、解释、找缺陷、应用、连接——不提供提示；解释仅在2–3次失败尝试后给出，随后重新测试。正确答案可能会受到唱反调的质疑。等级通过2次以上独立检查获得，包括无提示回忆；间隔复习可能降低等级。5级要求处理边缘情况并具有可教授的清晰度。会话在达到目标等级（默认4/5，完全掌握为5/5）后结束，并进行最终混合评估。支持命令：显示进度、更难/更简单、直接告诉我、保存状态、从……恢复。
Hacker News 讨论了 Jane Street 的"Socratic Tutor"技能，这是一个用于 LLM 通过提问而非直接给答案进行教学的 markdown 提示/指南。用户报告称它有助于避免手把手指导，鼓励主动思考，尤其适用于 Claude/ChatGPT。评论者争论技能是否只是提示词、LLM 是否能有效辅导，以及其局限性：上下文衰减、课程构建、正确性验证，以及对人类/结构化学习的需求。有人推荐替代方案（LearnHarness、间隔重复、书籍、Math Academy）。其他人指出 LLM 擅长解惑和提供多视角，但可能无法替代真正的流利度或社交学习。总体而言，热情因对过度依赖和长期记忆缺乏的担忧而有所收敛。
在软件行业工作15年后，作者发现自己的直觉越来越不可靠，因为AI改变了长期规则背后的成本。曾经被视为坏主意的做法如今行得通：不经队友评审就合并PR（Claude写代码，工单负责人借助CI/Greptile评审），把团队拆分到并行流（Claude帮你上手时，上下文切换很便宜），以及放弃“深入单一技术”的建议，转而强调扎实基础加上产品/设计技能。其他曾经异端的想法——大重写、自建而非购买、原型化多个版本、使用不熟悉的语言——现在也值得重新审视。规律是：规则建立在上下文切换慢、知识稀缺等成本之上，而AI降低了这些成本。因此作者现在会问，是什么成本让某个“坏主意”变坏，以及这个成本是否还存在，并开展更多实验。结论是：经验仍然重要，但在快速变化的领域里，适应能力和快速学习更重要。
这段讨论围绕在 AI 时代代码审查是否仍然重要。原作者坚持认为，对于生产软件，审查仍然必不可少，因为工程师和 LLM 都可能引入不必要的复杂性、错误的抽象和遗漏的边界情况；团队应利用 AI 提升代码质量，而不仅是加快速度。反对观点指出传统审查难以扩展；一些人提出确定性的“Controls” linter 和架构导向的检查，仅抽样检查 AI 输出而非完整审查。另一些人认为审查已从代码质量转向架构和共享理解，自动化（linting、测试、fuzzing）减少了最终阶段审查的需求。担忧包括自定义工具的长期维护、初级开发者失去学习机会、知识孤岛以及安全/合规要求。一些人报告 LLM 提高了边界情况检测和一致性，但警告开发者可能失去领域专业知识和批判性判断。总体共识是，即使审查的范围和方法在演进，某种形式的审查仍然必要。
虽然无论从哪个角度看，他都只是个小画家，瓦夫热涅茨基却是一位影响深远的考古学家，他不仅发现了波兰土地上最早的黑曜石器物，还发现了早期的土屋、陶器和石碑。他的先驱性工作在其视觉艺术中留下了印记，其中包括最早的描绘考古发掘的画作之一。《Rozkopany kurhan》（"被挖掘的墓冢"），创作于1891至1892年间，其值得注意之处在于它借用了历史画的惯例，所描绘的并非是对过去的理想化场景，而是分隔着那些发现史前时代的探索者与久远年代支离破碎、令人困惑的遗迹之间的鸿沟。
关于 Marian Wawrzeniecki 新异教绘画（1891–1923）的 Public Domain Review 文章的 Hacker News 帖子。这篇 55 分帖子引发 13 条评论，赞扬作品具有开启心智的特质，并将其与 Beksinski、Bakshi 和 Mucha 比较。评论者讨论其如血肉般的阴影处理，推荐 Mucha 在 Moravský Krumlov 的斯拉夫史诗，还提到 Stanisław Szukalski。一条评论批评 Wawrzeniecki 重复场景，而一条被标记的评论引发关于历史冲突与怀疑的回复。整体上，这是一场欣赏 Slavic 主题艺术及相关艺术家的广泛对话。
RamaSite 是一款免费、开源、自包含的 PHP CMS，名称取自阿瑟·C·克拉克的《拉玛》。它将所有内容存储在一个 SQLite 数据库和一个 uploads 文件夹中，无需数据库服务器、外部服务、命令行或配置文件编辑。安装方式是将发布 zip 上传到 Apache/cPanel 主机并完成浏览器设置界面；升级时会自动更新数据库。它包含 Markdown 页面/博客/文章、菜单、卡片/模块/轮播、图片/文件库、嵌入 YouTube、表单、主题、重定向、sitemap、robots.txt、RSS、分析/搜索验证、多管理员、双因素认证、密码重置、HTTPS 强制和一键备份。要求：PHP 8.4.1+（含指定扩展）、SQLite 3.26+、Apache mod_rewrite。设置需要 setup-key.txt 中的密钥。管理后台位于 /admin。基于 Laravel/Filament 构建；由 Dale Franks 以 MIT 许可证发布。
Hacker News 帖子宣布了 Ramasite，一个由 DaleFranks 使用 Claude Code 在约两周内构建的、基于 Laravel/Filament/SQLite 的自包含 CMS。这位作者自 1980 年以来就是经验丰富的开发者，他创建它是为了在使用 PHP 共享托管时避开 WordPress 的安全与插件管理痛点。他此前曾用 ASP.NET 花六个月构建了 .Blog CMS，后来使用 Grav，速度变慢。Ramasite 从基于平面文件的 Markdown CMS 演变为基于 SQLite 的系统，现在运行着两个公开站点。一位评论者同意 WordPress 过于臃肿/过时，描述了他们自己的浏览器端 JS CMS 以及用 Web Components 让站点可编辑的计划，并认为 AI 辅助的结果可测试，而现代浏览器支持静态原生 JS。DaleFranks 对这项工作表示兴趣。
Darling 的最新更新强调了三项主要进展。第一，新的 AI 辅助贡献政策回应了“slop”担忧，同时利用 LLM 使与 Apple 工程能力竞争变得现实。贡献者对提交的每一行代码仍完全负责，并必须自行解释；净室规则禁止使用泄露材料、Apple 的受限源码以及匹配反汇编。第二，初始 ARM64 支持已到来，这在 Apple 脱离 x86 的背景下至关重要；VibeDarling 分支的 ARM64 开发增强了对该支持的信心。第三，未来计划包括使用代理驱动合并将分支工作合并回主库、正式支持 i386、x86-64 和 ARM64、实验通过 Dynarmic 在 x86-64 上运行 ARM64 应用、稳定 AppKit，以及添加原生 GUI 工具，如配置工具和日志查看器。项目还邀请通过 Discord 和 OpenCollective 参与贡献。
Darling 是一个让 macOS 软件在 Linux 上运行而无需硬件仿真的翻译层。它在 Hacker News 上发布的 2026 年第四季度开发更新引发了兴奋。评论者称赞项目的复苏，讨论了其 AI 政策，并认为 LLM 对翻译任务特别有用。多名用户表达了对完整 GUI 应用支持和未来 iOS 应用兼容性的希望。一位评论者指出，行为定义明确的软件更容易验证 AI 辅助开发。总体而言，讨论反映出对在 Linux 上运行 macOS 应用的乐观态度，尤其是在前 macOS 用户中，而一些期望的功能仍待实现。
创新 在Stingray Marine Solutions，创新是我们一切工作的核心。通过结合先进的激光技术、AI驱动的监控和实时数据分析，我们持续开发前沿解决方案，以改善鱼类福利、优化生产并减少环境影响。我们智能、非侵入式的方法确保更健康的鱼类、更高的效率以及更可持续的水产养殖未来。
Hacker News 链接到 Stingray，一种用于杀死寄生虫的鱼场激光设备。用户抱怨公司网站令人困惑且滚动体验差。评论者讨论技术是否有效：有人引用研究表明它无效，而另一人表示该研究的设置与公司实际使用不符。其他人指出激光可减少化学药品/抗生素和感染，但有些人批评鱼类养殖本身。关于视频真实性、水对光的影响、寄生虫抗性和安全性存在争议。总体而言，该讨论串围绕一种新型水产养殖激光展开，反应褒贬不一，并对功效和网站设计持怀疑态度。
正在检查您的浏览器...需要启用JavaScript
Hacker News 讨论了陶哲轩的“Lean Grimoire”。评论者认为解谜体验有趣，类似 The Incredible Proof Machine 等证明游戏；有人设想一款分享证明、类似 Wordle 的精良浏览器游戏。另一些人批评它像是凌乱的教育游戏，介绍像 LLM 生成，控制未完成，这与陶哲轩通常清晰的数学笔记形成反差。有人为该努力辩护，指出游戏设计困难，协作或试玩可改进；还有人建议借鉴推广或游戏化经验。其他评论讨论数学主题游戏是否只吸引爱好者而非主流玩家，以及 UI 复杂度（尤其量词）是否让此类游戏变难。总体反应不一：欣赏其概念和陶哲轩的数学热情，同时担忧完成度、可用性和可访问性。