CSS 定义了浅色与深色主题的颜色变量。浅色主题使用温暖的离白表面、深色墨水文本和鸢尾紫强调色；深色主题使用近黑色表面、离白文本和更亮的鸢尾强调色。每个主题设置画布、表面、细线、墨水、淡墨水、强调、链接、焦点和强调上颜色，并在注释中注明对比度。深色模式依靠抬升表面而非边框来表现层次。媒体查询在系统偏好深色模式时自动应用深色调色板，直到通过 `data-theme` 属性明确选择主题。
每日HackerNews RSS
一位韩国独立开发者推出了轻量级博客平台 **Bloffy**，PageSpeed Insights 得分 99–100。它支持 Markdown 和原始 HTML，避免不必要的 JavaScript 和平台注入广告，允许自定义广告投放，并支持多博客。图片通过 srcset 和 CDN 优化；图表/数学在发布时渲染为 SVG/MathML。目标用户是希望完全自定义控制的开发者和 SEO 专业人士。
反馈指出了几个问题：落地页过于技术化，与竞争对手的差异不明确，演示 GIF 速度过快，以及 CSS 泄露到文章摘要。开发者修复了包括韩语确认邮件、非英语站点注册失败和 CSS 泄露在内的 bug。建议包括提供注册前演示，以及澄清“翻译”仅创建子页面而非翻译内容。该服务为托管服务（非开源），开发者正在谨慎考虑 MCP 功能。除实验室分数外，真实世界的 Core Web Vitals 仍需验证。
一项由圣母大学支持的调查于2025年8月对557名美国人进行了关于自我提升与道德自我评估的研究。年轻成年人更可能表示自己在道德上离应成为的人相去甚远，而55岁及以上的成年人更常感到接近或已经达成。老年人还报告说每天更努力地改善品行，但较少反复思量对错。宗教参与程度有影响：信教并实践的受访者，尤其是年轻成年人，比不实践或非宗教的受访者更多地反思道德。在年轻成年人中，宗教受访者更可能感到接近自己的道德理想；在老年人中，非宗教受访者最可能感到接近或已经达成。将道德自信减去反思程度综合来看，年轻宗教成年人在缺乏高度自信的情况下进行了大量灵魂搜寻，而年长非宗教受访者表现出最大的道德满足感。总体而言，自我提升与道德反思在年轻与宗教受访者中显得更强，而老年人——尤其是非宗教者——感到道德上更安定。
对不起。
作者受要求面试候选人出声思考的启发，开始在玩《The Witness》时叙述自己的推理过程。尽管起初怀疑，他们发现这使解谜更有效、更投入。出声思考会把未明确的假设摆到台面上，线性地组织推理，并创造有用的抽象。它还能调动审慎的系统 II 思考，帮助追踪以便回溯的任意选择，并可能借助回声记忆扩展工作记忆。收益可能部分反映霍桑效应，但研究表明有适度提升。作者计划更广泛地使用这一技巧。
对不起。
Airbnb禁止房东在11月20日及之后预订的订单房屋守则中要求房客完成耗时的退房任务。房东不得要求房客进行大量清洁工作，Airbnb将更醒目地展示此类要求，并对含清洁要求的房源进行警告。隐藏在消息或标牌中的额外规则也被禁止。部分房东因健康担忧提出反对，但Airbnb允许例外，如在熊出没地区将垃圾放入防动物容器。
对不起。
本 PR 将已验证的新鲜辅助重定时应用于 #4440 的查询稀疏复杂控制器中的全部 19 个完整原生调用，同时保留付费剪枝、空闲调用、主算子以及更强的 BIT 供应器。它产生作者检查的条件界 T(n)=O(n(log n)^(1-0.00300105))，提高 kappa，优于 #4440、#4416 和固定值 0.0023。该构造保留 11,560 个生产字段，将付费调用从 72,902 减少到 69,273（节省 3,629），并保留 800 的秩质量盈余。精确区间将 kappa 置于约 0.003001054183，约有 4.18e-9 余量；变更后的 profile 要求 gamma<97/100。验证包括重放源验证器、原生依赖检查、C++ 优化器补丁再生、预检、最小导航修复以及通过的科学作业，但三个归档 CI 检查仍为红色。该工作不作出选定前沿、无条件、运行时、最优或形式接受主张，并等待审查。致谢归于前代构造及其贡献者。
抱歉。
该补丁将私钥支持从仅 RSA 扩展为 RSA 和椭圆曲线密钥，涵盖与证书相关的函数和数据结构，包括 `dummy_cert`、`dummy_crl`、`CertStoreEntry`、`CertStore` 和 `load_pem_private_key`。它还嵌入了一个被攻破的 eMudhra 中间 CA 链，包含私钥以及由 emSign Root TLS CA - G3 交叉签名的 EM OV TLS CA - G3C 证书。总体而言，它更新了类型注解和处理逻辑以支持 EC 密钥，同时打包了该特定 CA 材料。
**摘要：**
mitmproxy 添加了一个 `--emudhra` 选项，允许用户使用被泄露的 eMudhra 中间 CA 密钥对 TLS 证书进行签名。印度 CA eMudhra 被发现签发了具有极弱私钥的中间证书（如 4、56、66 等值，熵仅 3–8 位，而非 ~384 位）。这使得仍信任这些中间证书的设备（如老旧 IoT 设备和智能电视）上的 HTTPS 流量可被中间人拦截。mitmproxy 还将添加一个 AAA 根路径选项。讨论涵盖了逆向工程、越狱和嗅探智能设备流量等潜在用途，以及对证书吊销延迟（尤其是在 iOS 上）的担忧、弱密钥是否为有意后门，以及对 eMudhra 的影响（股价下跌约 30%）。由于弱密钥生成并不违法，该公司未面临刑事指控。一些评论者争论了"被泄露"与"可用"的术语区别。该发现是通过现成的软件扫描弱密钥做出的，其他 CA 未表现出类似问题。
一个PHP漏洞正在引发过度恐慌，但它并不容易被利用。大多数GitHub上的“PoC”对原生PHP无效；很多暗中需要一个预先存在的本地文件包含漏洞（实质上是 eval(read(user_file))），这并不是真正的利用链。LLM正在助长这种错觉：脚本小子信任Claude/GPT根据差异构建漏洞利用代码，生成伪造PoC来修改测试服务器以伪造漏洞。真正的“我们彻底完蛋了”漏洞，如Log4Shell和Heartbleed，即使在LLM出现前，也在数小时内被僵尸网络武器化；这个漏洞却没有。恐慌源于一位PHP核心开发者令人 alarm 的言论、PHP不安全的声誉、一段动漫漏洞利用视频，以及LLM时代的焦虑。结论：这个漏洞太难轻易利用了——它不是Log4J时刻。
Hacker News 用户争论一个严重 PHP 漏洞是否容易被利用。原帖认为其利用难度高于 Log4Shell，且流传的 PoC 要么无法成功，要么依赖先前的服务器配置错误。他人反驳称，Wiz、Calif 和 PHP 基金会报告称在常见 PHP 应用和默认配置下可实现有效 RCE。评论者还讨论了 AI 生成的虚假 PoC、安全营销炒作、协调披露，以及网站离线是否过度反应。尽管在可利用性上存在分歧，大多数人同意及时打补丁是审慎之举，一些人警告缺乏公开利用代码并不意味着安全。
远程未认证攻击者可通过利用 QPACK 头部压缩，强制 HTTP/3 服务器分配比发送量多十倍至千倍的内存。十个被测实现中有七个存在漏洞。QPACK 通过静态/动态表压缩头部；当解码后的头部限制缺失、不完整或应用过晚时，小的 HEADERS 帧可膨胀为数十万计的头部对象。攻击者使用大量独特的小组头部或重复的动态表引用以放大内存消耗。受影响：quic-go、Cloudflare quiche、lsquic、Bun、h3、aioquic/mitmproxy、Wireshark；部分列出了修复版本。根本原因包括检查压缩大小而非解码大小、遗漏 32 字节开销、默认无限制、缺少强制执行。缓解措施：在解码过程中强制执行累计解码预算、设置 max_field_section_size、必要时禁用 HTTP/3。未受影响：IIS、Envoy、ngtcp2/nghttp3。
Hacker News
新 | 过去 | 评论 | 提问 | 展示 | 招聘 | 提交
登录
针对 HTTP/3 服务器的 Qpack 放大攻击
（foxio.io）
29 分
由 kozika 发布
1 天前
| 隐藏 | 过去 | 收藏 | 3 条评论
帮助
Narretz
1 天前
| 下一条
[–]
这是 DoS / 内存消耗攻击，所以不如今天其他攻击危险。
回复
est
1 天前
| 上一条 | 下一条
[–]
连 Wireshark 都受影响了吗？天哪
回复
miladyincontrol
1 天前
| 上一条
[–]
大多数库几个月前到差不多一年前就修复了吧？
回复
考虑申请 YC 的 2027 年冬季批次！申请开放至 11 月 2 日。
指南 | 常见问题 | 列表 | API | 安全 | 法律 | 申请加入 YC | 联系
搜索：
这个 AWS WAF 规则名为 "PHP2Shell"（优先级 0），阻止试图利用 PHP 会话上传进度的 POST 请求。它匹配 HTTP 方法恰好为 POST、请求体包含 "PHP_SESSION_UPLOAD_PROGRESS"，且 cookie 键或请求体包含 "PHPSESSID" 的请求。匹配的请求将被阻止。CloudWatch 指标和采样请求在指标名称 "PHP2Shell" 下启用。
对不起。
CleanFrame 是一个面向运行 Tizen 的 Samsung The Frame TV 的开源自定义主屏幕，可显示应用、照片和时间，并具有适合遥控器操作的界面。它作为起点而非可移植产品提供，因此设置脚本和电视工作流可能需要调整。浏览器预览需要 Node.js 22+ 和 Python 3.10+，可在本地运行。界面支持列表/停靠布局、壁纸、时钟、偏好设置和预渲染的玻璃/模糊效果。电视安装、签名和原生主界面/启动更改是独立的、与硬件相关的且有风险；仅浏览器检查不会连接电视。代码采用 MIT 许可证，而字体和照片保留各自的条款。鼓励分叉和代理辅助适配。
对不起。