PHP 的 `session.upload_progress` 在 `php_session_rfc1867_callback` 中存在 use-after-free，它将两个 `zval` 桶指针缓存到活动的 HashTable 中。后续更新重新解码会话文件并释放先前树，留下可能被回收以调用 `zend_call_function`/`system()` 的悬空指针。已在 PHP 8.4.4 和 8.2.34 验证，并提供发行版符号差异。立即通过禁用 `session.upload_progress.enabled`、在边缘限制 multipart 上传、清点 PHP 版本，并在可用时升级到修补版本（8.5.11/8.4.26/8.3.35/8.2.34）来缓解。小团队应立即应用权宜措施。
每日HackerNews RSS
对不起。
人类验证 为了继续，您需要通过解决验证码谜题来验证您不是机器人。验证码谜题需要 JavaScript。启用 JavaScript，然后重新加载页面。
Meta 的 Muse AI 助手通过可被发现的共享链接泄露了用户的个人和商业秘密：每段共享对话都会获得一个唯一的主机名，研究人员借此通过被动 DNS 枚举出约 6800 个链接。Hacker News 评论者对此并不感到意外，他们引用了 Meta 长期的隐私记录和扎克伯格过去的言论，同时争论该缺陷是源于草率的工程、薄弱的审查流程还是设计选择。讨论随后扩展到云端 AI 智能体处理敏感数据的更广泛担忧，用户们讨论了自托管替代方案、访问控制以及保护智能体平台的难度。一些人认为 Meta 与其他科技公司并无二致；另一些人则表示其规模和过往记录使其特别不可信。总体而言，这一事件加深了人们对将个人数据托付给 Meta AI 产品的怀疑。
Ante 是一种低层函数式语言，它放宽 Rust 的借用检查器，允许更多共享可变性，同时保持静态安全。新设计用“places”（引用所借用的确切值集合）替代生命周期，并在可变操作可能使引用失效时将其标记为 unstable（!）（例如集合元素）。这区分了形状稳定引用（可与之并发可变）和不稳定引用（可能悬垂），从而在无唯一性约束的情况下实现安全的共享可变性。该方法通过带 place 跟踪的 Rc 支持循环可变性，支持 get-or-insert 等复杂数据流模式，以及 Rust 拒绝的观察者模式代码。借用检查归结为：当一个被使用的值的 place 已被移动时报错。线程安全通过类似 Rust 的 Send/Sync 特性和 imm/uniq 引用保持。总体目标是减少借用错误、支持更广泛的设计模式、便于互操作，同时保持完全静态、无运行时检查。
Hacker News 上的一个帖子讨论了 Ante，这是一种通过借用检查实现“零成本循环可变性”的语言。Animats 指出 Rust 当前借用检查器的限制——借用与作用域而非最后使用绑定——Polonius 旨在修复这一点，并建议对循环结构使用 OwnerRc。Ante 的作者（jfecher）解释说，Polonius 以与 Ante 类似的方式重新定义借用，并且两者都借鉴了与 Valen、Carbon、Zeta、Fang、Mojo 共享的“分组借用”概念。他认为 Rust 难以回溯实现两项特性：将使用与引用分离，以及普遍允许共享可变性。nathanwh 质疑“形状稳定性”是否比 Rust 的无共享可变性更弱，因为某些不变量必须手动强制执行。jfecher 回复说，手动强制仅在构建不安全抽象时需要；单线程共享可变性是安全且经过验证的，多线程使用单独的机制，而集合的不相交部分仍可在迭代期间被修改。
一位爱好者制作了一台定制的 Spectrum Next 笔记本电脑，以解决早期设计中的缺陷。新版本使用废旧笔记本铰链、一块支持 HDMI 和 VGA 的 14 英寸 WXGA 屏幕，以及原装 Spectrum Next 键盘。它运行来自手持 SpeccyX 项目的微型 PCB，节省成本和空间，并包括触控板、双 micro-SD 卡槽、带音量控制和耳机插孔的立体声扬声器、双摇杆接口和 PI USB 接口。外壳先在 CR-10S Pro 上 3D 打印，后经 Shapeways 专业打印，打磨并喷成黑色。后续更新加入了带 10,000 mAh 电池的 12V UPS，提供约六小时的便携使用，以及通过键盘快捷键（Symbol Shift + 光标键）控制 LCD 背光亮度的 Arduino Nano。制造者刻意不修改标准 Next 发行版，让 Arduino 处理笔记本特有的功能。该项目是非官方的，与 Spectrum Next 团队无关。
对不起
FULCRUMSEC 披露其在约两个月内未被发现的情况下，从 PingCAP 的 TiDB Cloud 控制平面窃取了 10.6 TB 数据，其中包括连续 88 次每六小时一次的导出。窃取内容涵盖 180,046 个租户组织、403,262 个唯一邮箱、115,308 个明文 API 密钥、2060 万条客户 SQL 语句、1.02 亿次网关连接、500 万个客户端 IP、413 个私有仓库、Jira 与 CRM 数据、AWS/GCP 成本数据以及源代码。攻击者指出多租户隔离薄弱、仓库中提交凭据，以及支持工单中包含实时客户凭据（AWS 密钥、GitHub 令牌、数据库连接字符串）。被明确点名的受影响客户包括 Booking.com、Shopee、CAPCOM、Mercari、PayPay、Atlassian 等。第一阶段发布为 128.3 GB 压缩数据（约 200 GB 解压后），可通过种子下载，包含五个归档。PingCAP 自己 2022 年的 Jira 工单 SECURITY-22 记录了任何组织成员都可以重置集群 root 密码，凸显早已知晓的隔离风险。
Hacker News 用户讨论了 FulcrumSec 对 PingCAP TiDB Cloud 的报告性入侵。攻击者据称获得了对 PingCAP 系统的广泛访问，包括控制平面数据、计费/财务、云存储、Jira、CRM、分析、源代码以及客户连接日志，还有工单中存储的客户凭证。该泄露据称涉及持续复制管道并暴露了敏感运营数据。PingCAP 的公开声明淡化了影响，称法证审查未发现攻击者在已审查系统中运行命令或保持持久访问；评论者质疑这一措辞并指出日志不足。讨论批评了 PingCAP 的安全实践，包括粘贴客户凭证和依赖近期的 NCC Group 审计，并辩论糟糕的运营是否会削弱安全代码。一些人指出该事件的严重性可能带来重大业务和法律后果，而其他人讨论了 TiDB/TiKV 语言和 AWS 定价等不相关细节。
Hilbert空间将量子对象的可能状态表示为维度：量子比特有二个维度，交通灯有三个，自由粒子有无限个。它唯一的基本特征是其大小；坐标轴由观测者选择以表示位置或动量等测量，因此海森堡与薛定谔的表述是同一空间的不同视角。冯·诺依曼通过两个性质定义了Hilbert空间：完备性与内积，内积衡量状态箭头与坐标轴之间的对齐。以希尔伯特命名，这些空间是量子力学的基础。物理学家们争论Hilbert空间是基本现实还是有用工具。肖恩·卡罗尔将其视为现实的基本舞台，而乔纳森·索尔斯将其视为多种数学框架之一，并指出更新的冯·诺依曼代数可能更好地描述量子时空与黑洞。冯·诺依曼本人后来质疑了Hilbert空间的普适性。他的五条“戒律”将状态描述为箭头、平滑演化、测量坐标轴、概率性影子以及测量时的坍缩。
Hacker News 上的一个帖子讨论了《Quanta Magazine》一篇题为“在希尔伯特空间中，所有事物在量子层面上都是可能的”的文章。评论者们对这一字面说法展开辩论：一些人认为并非所有事物都可能，只有物理定律和守恒原理允许的事物才可能；另一些人指出，量子概率为零并不一定意味着不可能，而且希尔伯特空间是一个数学工具或抽象，而不是现实本身。帖子还涉及多世界诠释、观察者依赖、代数量子场论、无穷与基数问题，以及“所有事物可能”是否为标题党。总体而言，这场讨论质疑希尔伯特空间是代表所有可能性，还是仅代表已知物理学所允许的可能性。
文章介绍了 Jev 决策模型，该模型输出选择、分数或布尔语句的概率，提供廉价、快速、定义明确的答案。它将这些模型映射到决策层级——缓存/规则、决策模型、LLM、人类——每一层处理置信的输入，并将不确定的输入向下传递。它推导出 Chow 规则，用于决定何时回答还是拒答：仅当预期错误成本低于拒答成本时才回答，平衡当前准确率、下一层错误率与价格。然后它将该规则扩展到按类别不等的错误成本，显示最高类别并不总是最便宜的。最后，它警告说接口可被廉价 LLM 复制，但诚实的概率和专门训练可能仍然是差异化因素；未来的扩展包括延迟以及用于机器人与设备的多模态决策模型。
Hacker News 介绍了 pncnmnp 的文章《To Make, or to Buy: The Economics of Decision Models》，获得 71 点和 3 条评论。讨论强调了亚当·斯密关于“不要在家制作比购买成本更高的东西”的引语，一位评论者将其应用于 LLM 相关决策。评论指出文章探讨了决策及其成本，而另一位指出优化决策成本本身也有成本。总体而言，该帖将经典经济原则与现代决策和技术选择联系起来。
GitHub 已为 GitHub Enterprise Cloud 客户推出包防火墙公开预览版，以帮助防止包安装过程中遭受恶意软件攻击。目前支持 npm，它位于 Actions runners 和 coding agents 等端点与上游包仓库之间，检查元数据请求和下载中的恶意活动。管理员配置企业策略，包括可配置的冷却期、对照 GitHub Advisory Database 进行恶意软件或漏洞检查，以及诸如证明降级等供应链检查。端点必须配置为通过防火墙路由包请求，防火墙会根据策略对其进行评估。如果包被错误阻止，用户可以请求例外。该服务在预览期间免费，正式发布时将按计量使用计费。
对不起。
Interop 已成功推动网页功能的跨浏览器支持。对于 Interop 2027，作者强调了十项请求的 CSS 功能：用于自定义 CSS 函数的 @function；用于替代圆角的 corner-shape；用于自定义边框的 border-shape；Anchor Positioning Level 2 的回退查询；用于转换继承值的 inherit()；滚动触发的动画；用于让焦点/Tab 顺序与视觉布局对齐的 reading-flow；用于动画化 auto 等关键字尺寸的 interpolate-size/calc-size；通过 rule 实现的 gap decorations；以及用于 sticky/滚动状态的 scroll-state 容器查询。大多数功能目前仅 Chrome/Edge 支持，但可作为渐进增强使用。作者认为现代 CSS 知识仍然重要，尤其是在引导 AI 工具时，并鼓励开发者为 Interop 优先级投票。
Hacker News 上关于“The Future of CSS”的讨论强调了现代 CSS 的兴奋和对复杂度增长的担忧。许多开发者表示原生 HTML/CSS/JS 已有很大改进，flexbox、grid、nesting、layers、container queries 等新功能减少了对 JavaScript 的需求。其他人则认为框架在响应性、状态管理、无障碍和大型应用中仍然有价值，原生方法在这些场景下可能变得难以管理。
评论者对 CSS 的方向存在分歧：一些人认为新功能是实用的性能和开发体验提升，另一些人则称其为噱头、过度工程或浏览器/厂商复杂度的体现。人们对缺少原生 UI 组件（如日期选择器和工具提示）感到不满，也对尽管有互操作努力但跨浏览器采用缓慢感到不满。Tailwind 和 utility-first CSS 仍然流行，尽管有些人期望原生 CSS 变得更强大。总体而言，CSS 被认为比以往任何时候都更强大，但 Web 平台的复杂性和治理仍存在争议。
对不起。