这篇由两部分组成的博客系列详细介绍了在 VSCode 扩展程序（SARIF 查看器和实时预览）以及 VSCode 本身中发现的三个漏洞（CVE-2022-41042，获得 7,500 美元奖励）。核心问题在于 VSCode Webviews——沙盒化的 UI 面板——以及攻击者如何可能绕过其安全限制来危及用户系统。
扩展程序中的漏洞允许进行任意本地文件泄露，可能包括 SSH 密钥等敏感数据。利用方式包括 HTML/JavaScript 注入（通过 SARIF 查看器中数据的不安全渲染）、实时预览的本地 HTTP 服务器中的路径遍历，以及 DNS 重绑定和 `srcdoc` iframe 等技术来绕过内容安全策略 (CSP) 限制。
该研究强调了安全的 Webview 配置的重要性：严格的 CSP、有限的 `localResourceRoots` 以及对 `postMessage` 通信的谨慎处理。即使配置良好的 Webviews 也并非万无一失，后续博客文章将详细介绍一个允许沙盒逃逸的 VSCode 错误。作者为构建 VSCode 扩展程序的开发者提供了实用的建议，以防止类似的漏洞，强调纵深防御原则。
每日HackerNews RSS
黑客新闻 新 | 过去 | 评论 | 提问 | 展示 | 招聘 | 提交 登录
逃避配置错误的 VSCode 扩展 (2023) (trailofbits.com)
12 分，作者 abelanger，5 小时前 | 隐藏 | 过去 | 收藏 | 讨论 帮助
指南 | 常见问题 | 列表 | API | 安全 | 法律 | 申请 YC | 联系
搜索：
我们检测到您的浏览器已禁用 JavaScript。请启用 JavaScript 或切换到受支持的浏览器以继续使用 x.com。您可以在我们的帮助中心查看受支持的浏览器列表。帮助中心 服务条款 隐私政策 Cookie 政策 版权信息 广告信息 © 2026 X Corp.
## Polymarket 与 AI 驱动的内幕交易检测：摘要
Hacker News 上的一讨论集中在使用 AI，特别是 Compound AI，来分析 Polymarket（预测市场）的数据。核心想法是识别潜在的“内幕人士”——那些拥有特权信息的人——并利用他们的知情投注。
对话强调了预测市场固有的张力：虽然因汇总信息而被誉为“真相机器”，但也吸引了内幕交易。参与者争论这是否是一个缺陷或一个特征，指出即使引发伦理问题，内幕人士也能提供有价值的信号。
几个要点浮出水面：Polymarket 的合法性值得怀疑，其商业模式鼓励内幕人士参与。复制交易（模仿成功交易者）很受欢迎，但由于交易延迟而面临挑战。预测市场的价值超越了赌博，为对冲和分析提供数据，但信号可能嘈杂且难以解释。最终，讨论的问题是 Polymarket 是否是一个合法的预测工具，还是仅仅是一个利用内幕信息获利的平台。
OpenScan 为所有人提供价格实惠的开源3D扫描仪。我们的社区驱动项目结合了摄影测量和模块化硬件，以创建高质量的3D模型。从爱好者到专业人士，OpenScan 赋能全球用户在各个领域探索3D扫描。加入我们，让3D扫描变得普及，并推动数字保存和创作的边界。
一个黑客新闻的讨论围绕着OpenScan（openscan.eu），一种DIY 3D扫描仪。一位用户询问了它的价格（203欧元起），想知道它是否适合扫描小物件，比如日本手工艺品。
另一位评论者建议，高端摄影设备——例如佳能R5ii这样的单反相机搭配微距镜头——*可能*能够实现更高细节的3D模型，但景深控制会是一个挑战。
有人澄清OpenScan的价格不包含所有组件；用户需要3D打印零件并提供自己的树莓派。这次对话突显了人们对易于使用的3D扫描选项的兴趣，以及DIY解决方案和专业级摄影替代方案之间的比较。
## AI 聊天机器人的基础设施瓶颈
尽管人工智能模型性能取得了快速进展，但支持聊天机器人的基础设施——特别是处理流式响应——却明显滞后。一个关键问题，正如简单刷新页面导致上下文丢失等令人沮丧的体验所表明的那样，源于依赖于无状态协议，如服务器发送事件 (SSE)。
目前，许多聊天机器人使用 SSE 来流式传输 token，但连接中断时（例如刷新页面）会丢失所有进度。虽然将每个 token 存储在数据库中可以*工作*，但这是一种笨拙的解决方法。
更好的方法是利用实时发布/订阅消息平台。这些平台天生就处理重新连接、多个设备和在线状态感知，从而提供无缝的体验。它们不是流式传输每个 token 的变化，而是允许进行高效的更新——持续连接的客户端实时接收 token，而重新连接的客户端则获得到流中当前点的完整更新。
核心问题不在于 SSE 与 WebSocket 的对比，而是需要与现代人工智能能力相匹配的基础设施。发布/订阅提供了一个更强大、更高效的解决方案，让开发者能够专注于人工智能体验，而不是与连接管理和数据持久性作斗争。最终，工具和基础设施需要不断发展，才能跟上人工智能模型本身的进步。
## 聊天机器人界面问题与页面刷新
一则 Hacker News 讨论强调了许多聊天机器人界面中令人沮丧的问题：用户刷新页面时，会丢失实时、流式响应。zknill.io 上的原始文章指出了这个问题，尤其是在提交提示后立即刷新时。
多位评论者分享了他们实施的解决方案，包括在服务器端维护聊天状态（Kitewing.ai，luxurytent 的方法）以及使用后端进程来管理聊天状态（t3.chat 与 Convex DB）。
用户还注意到流行的聊天机器人（如 ChatGPT 和 Claude）中的 UI 错误，并称赞 Gemini 的打字响应速度更快，且聊天历史记录持久保留——尽管一些人澄清，Gemini 在刷新后并不能*立即*恢复流式响应。
一个关键点是，尽管拥有大量资金，基础 LLM 公司并没有优先修复这个看似简单的可用性问题，特别是考虑到实时流式在聊天机器人体验中的重要性。
包括波普鸡、Wingstop和肯德基在内的八家大型连锁餐厅已退出“更佳鸡肉承诺”（BCC），并加入了“可持续鸡肉论坛”（SCF）。这些公司认为，BCC专注于生长速度较慢的鸡种在环境上不可持续，会产生更多的温室气体排放。他们旨在通过SCF改善福利，同时最大限度地减少环境影响并满足需求。 然而，动物福利组织如Anima International和英国人道联盟谴责此举将利润置于动物福利之上，称SCF是“虚假福利”的公关噱头。他们认为，生长速度较慢的鸡肉供应不足是由于缺乏合同，而非实际短缺。 英国家禽委员会对此决定表示欢迎，理由是生产成本增加和规划延误。虽然外卖鸡肉店正在增长，但超市仍然是最大的家禽购买者，并继续支持BCC。
## KFC、Nando's 与鸡只福利：黑客新闻摘要
一篇BBC文章，详细介绍了肯德基、Nando's等公司放弃一项鸡只福利承诺，引发了黑客新闻的讨论。核心问题是利润与伦理/质量标准之间的权衡——创新不一定能带来*更好*的产品，只是更具盈利能力的产品。
用户们争论现代鸡肉的质量，一些人指出快速生长的品种脂肪含量增加和“木质胸肉”问题。其他人分享了养鸡的经验，强调了它们的智力（或缺乏）以及潜在的虐待行为。一个关键点是，优先考虑速度和成本而非福利的影响，以及因集约化养殖方式而导致的抗生素耐药性问题。
一些评论员质疑GDP作为衡量幸福感的有效性，指出其虚高的成本（如美国医疗保健）以及优先考虑市场交易而非真正价值。 还有关于大规模农业在没有抗生素的情况下可持续性的讨论，以及肯德基质量的下降，一些用户报告说它已经变得“无法食用”。
## AUR 安全事件与 PKGBUILD 审查 2025年7月，Arch Linux 团队移除了三个上传到 Arch 用户仓库 (AUR) 的恶意软件包。AUR 是一个社区驱动的构建脚本 (PKGBUILD) 集合，允许用户轻松安装官方仓库中没有的软件。虽然通常可靠，但 AUR 的开放性意味着任何人都可以上传脚本，从而产生潜在的安全风险。 PKGBUILDs 本质上是 bash 脚本，定义了如何构建和安装软件。关键元素包括元数据（软件包名称、版本、描述）以及用于准备、构建、检查和打包软件的函数。 审查 PKGBUILDs 对于安全性至关重要。用户应验证源代码的可信度，仔细检查构建步骤中是否存在意外命令（尤其是下载或 `sudo` 使用），并仔细检查任何安装脚本或 pacman 钩子，因为这些脚本以 root 权限运行。 如果 PKGBUILD 看起来可疑，用户可以在 #archlinux-aur IRC 频道或论坛寻求建议。AUR 依赖于社区的警惕性，虽然系统需要改进，但它仍然是一个宝贵的资源。该事件强调了在使用 AUR 时用户意识和主动安全实践的重要性。
这次黑客新闻的讨论集中在审查 Arch 用户仓库 (AUR) 中的软件包，以及软件包**质量与安全**之间的密切联系。一个关键点是，AUR 软件包**不应使用 `sudo` 或直接将文件移动到指定位置**——这些是潜在的恶意意图和不良打包实践的危险信号。
用户一致认为，高质量代码通常意味着安全意识，而低质量代码不太可能安全。一位拥有大量 AUR 软件包的维护者抱怨说，经常收到构建粗糙的软件包，强调缺乏对打包指南和测试工具（如 `namcap`）的遵守。
本质上，这次讨论提倡将安全检查视为更广泛的质量审查的一部分，因为粗心的打包可能导致漏洞并妨碍适当的系统维护（升级、降级、文件所有权）。 讨论中还分享了一篇关于 AUR 恶意软件的博客文章链接。
## 漏洞披露与潜水保险公司的回应
作为一名潜水教练和平台工程师，我在科科斯岛旅行期间发现了一家大型潜水保险公司会员门户网站的一个严重安全漏洞。该门户网站分配了连续的用户ID，并使用静态的默认密码——一种容易被利用来访问敏感个人数据的组合，包括未成年人的个人资料。
我于2025年4月负责任地披露了该漏洞，遵守了标准的30天禁运期，并联系了保险公司和马耳他的国家网络安全机构（CSIRT Malta），因为该公司总部设在那里。虽然保险公司解决了技术问题，但他们的反应却带有防御性，试图用法律威胁和限制性保密协议来压制我。他们甚至暗示*我*报告漏洞是在犯罪。
尽管漏洞已被修复，但没有确认受影响的用户已被通知——这可能违反了GDPR。这一事件凸显了一种令人担忧的模式：组织优先考虑声誉管理而非数据安全，并惩罚研究人员而不是促进合作。这种“寒蝉效应”会阻碍负责任的披露，并最终损害用户。这段经历强调了需要明确的漏洞披露政策、对研究人员的感谢，以及在数据泄露时对透明度和用户通知的承诺。
你想创建一个用户搜索或闲逛的社区吗？ (2021)
Do you want to build a community where users search or hang? (2021)
21 小时前
## 构建合适的开发者社区：Facebook vs. Google 构建开发者产品的公司通常致力于培养社区，认识到它在用户成功、内容创作和竞争优势方面的价值。然而，并非所有社区都是一样的。理解你正在构建*哪种*类型的社区至关重要。 把它看作是在选择一个“Facebook”——一个用于连接和持续互动的空间——或者一个“Google”——一个用于快速解答和高效解决问题的资源。 “Facebook”社区围绕更广泛、自包含的技术、开源项目或共同理念蓬勃发展，鼓励成员建立关系。“Google”社区专注于特定的工具或库，优先快速解决技术问题。 最初，大多数开发者社区都从“Google”开始，专注于提供有用的文档、可搜索的存档和清晰的产品路线图。通过随时可用的支持建立信任是基础。 虽然一个社区*最终*可以包含这两个方面（比如Stack Overflow及其元社区），但理解这种核心区别有助于优先考虑工作。对你的技术和受众进行现实评估将决定是否能够建立一个繁荣的“Facebook”，或者专注于成为最好的“Google”才是最有价值的道路。
一个黑客新闻的讨论围绕着“构建”社区这个概念，尤其是在科技公司的大背景下。最初的发帖者，一位前开发者关系专业人士，提出了一个问题：是构建一个让用户*搜索*的空间，还是一个让用户*聚集*的空间——本质上，是优先考虑实用性还是连接性。
然而，评论者很快就挑战了这个前提，认为技术往往*调解*关系，而不是培养真正的社区。一位用户指出，科技平台优先考虑规模而非关系，将“社区”这个词用作一种具有误导性的说法。其他人也表示同意，认为“被俘获的受众”可能是一个更准确的描述。
一个关键的收获是，你不能*构建*一个社区，只能*服务*一个社区——提供价值，让现有的群体蓬勃发展。作者澄清说，他们的重点是围绕软件构建从业者群体，并提供了一些实用建议，例如持续互动和利用现有的社区。
脸书简直完蛋了。
Facebook is cooked
21 小时前
八年未用后，一位用户重新访问Facebook，对其变化感到震惊。信息流不再以朋友或关注的页面为主，而是充斥着人工智能生成的年轻女性“诱惑照”以及低质量、旨在吸引互动的内容——通常带有暗示性或关系主题。
该用户注意到难以区分真实帖子和人工智能生成的帖子，并指出明显的缺陷，如无意义的文字和标志。他们质疑这种体验是否仅限于他们的算法，或者是一个普遍问题，尤其对于不活跃的用户。
对潜在的剥削性内容盛行感到不安，包括看起来像青少年的图像，该用户迅速注销，认为Facebook已经沦为一个令人不安的景象，充斥着算法驱动、低质量的内容，旨在获取最基本的互动。他们对平台的现状及其对用户的影响表示担忧。
## Facebook 沦为“垃圾内容” - 摘要
最近的 Hacker News 讨论强调了一种日益增长的观点：Facebook 的信息流已经演变成低质量、AI 生成的内容和煽动性内容，尤其是对于多年未积极使用该平台的用戶。许多评论员报告说，他们看到的信息流与经常参与互动的用戶的信息流形成了鲜明对比，这表明算法默认情况下会为不活跃帐户提供通用、引人注目的内容。
核心问题似乎是，从与朋友和家人联系转向通过耸人听闻或无关紧要的帖子来最大化互动。虽然有些人仍然觉得 Facebook 群组和 Marketplace 有价值，但整体体验被描述为令人沮丧且充斥着“垃圾”。
一些用户也注意到 Instagram 和 YouTube 存在类似问题，指出了一种更广泛的趋势，即算法驱动的内容优先考虑互动而非真正的联系。随着人们寻求更有意义的在线互动，更小、更精选的在线社区和直接消息传递应用程序越来越受欢迎。 讨论还涉及对 Facebook 商业模式、其对信息质量的影响以及潜在的监管审查的担忧。