Marico's space

最近折腾 AI（人工智能）Agent（智能体）的日志分析链路，踩了几个坑，这篇把问题说清楚：现在的日志不只是日志，它很可能已经变成了等待执行的提示词。 这周，Dev.to 上有一篇文章叫 “Ghost in the Shell: Can a Log File Hijack an AI?”，HN（ Hacker News）上又出现了 PHP2Shell chain exploit 拿下 25 台服

最近折腾了几个月代理权限控制，踩了几个坑，这篇把问题说清楚：安全边界到底应该放在模型提示词里，还是放在系统权限表里。 “哪个模型更安全”根本不是构建评审应该讨论的问题。模型随时可能被替换，真正经得住发布周期考验的问题只有一个：检查在哪里执行，检查失败后系统会做什么？ 两周前，这还只是一场设计争论；到了本周，它已经变成了依赖管理问题。10 月 22 日，Anthropic 将 Agent Ski

最近折腾了 Gemini 4 Carbon 这类安全模型，踩了几个坑，这篇把问题说清楚：Google 这次发布的重点不是“让更多开发者马上用上”，而是一个面向编码与网络安全的专用前沿模型，以及它目前非常有限的首发范围。 Google 于 2026 年 10 月 28 日星期三发布了 Gemini 4 Carbon。这是 Google 最新的前沿 AI（人工智能）模型，也是两周内发布的第二个 Ge

最近折腾毕业设计后端，踩了几个坑，这篇把问题说清楚：在 cPanel 共享主机上部署 FastAPI，到底怎么绕过 Passenger 只认 WSGI 的限制。 本地开发时一切正常，FastAPI 跑在 Uvicorn 上，接口、异步任务和高并发都没问题。可到了部署环节，直接撞墙。 cPanel 使用的 Phusion Passenger 支持 WSGI（Web Server Gateway

最近折腾 YouTube 字幕批量抓取，踩了几个很典型的坑：本地能跑，部署到云服务器就被风控；官方接口只能下载自己频道的字幕；爬完整个频道，还得单独处理没有字幕的视频。这篇把问题拆开说清楚，并给出一套能在云服务器上稳定运行的 Python 方案。 利益相关说明：本文使用的 Apify Actor 是我做的。它是按字幕条数计费的付费工具，下面也会明确说明哪些场景不适合用它。 如果你试过从代码里获

最近折腾了一次从 GCP（Google Cloud，谷歌云）到 AWS（Amazon Web Services，亚马逊云）的 Serverless（无服务器）迁移，踩了几个默认值不对齐的坑。这篇把 Cloud Run、Cloud Run functions、App Engine、Eventarc、Cloud Tasks、Scheduler 和 Workflows 分别迁到 AWS 后该选什么、哪些

最近折腾跨仓库安全扫描，踩了不少状态同步和告警去重的坑，这篇把 CodeRabbit Secure 的思路说清楚。重点不是它又能扫几个仓库，而是当一个共享库里的漏洞牵连几十个下游项目时，怎么沿着依赖图追踪，又不让扫描范围和告警数量一起失控。 CodeRabbit Secure 现在可以越过仓库边界扫描，沿着依赖关系追踪漏洞，再在临时沙箱中验证漏洞能否真正利用。真正的难点在于状态管理：一个共享库存

最近折腾 Kubernetes 安全这块，踩了几个坑，最大的感受是：真正让集群失守的，往往不是某个组件突然爆了个高危漏洞，而是凭据泄露之后，攻击者沿着权限链一路横向移动。于是这篇把 OWASP Kubernetes Top 10 里的风险拆开讲，重点说清楚凭据为什么值得单独拎出来看。 TL;DR * K03 会把一次泄漏变成一条攻击链：Secrets Management Failu

最近折腾了一下 XRP Ledger（XRPL）的 JavaScript 接入，踩了几个坑，这篇把连接、查询和钱包测试流程说清楚。XRPL 不一定要从智能合约或复杂基础设施入手，先用官方 xrpl.js 连上测试网，就能把账户、账本和交易这些核心能力跑起来。 构建一个区块链应用，不一定需要自己编写智能合约，也不需要维护复杂的基础设施。 XRP Ledger（XRPL）提供了一套 API（应用程

最近折腾了一轮软件测试，踩了几个坑，也发现不少团队把自动化当成“用例越多越好”。这篇把手动质量保证（QA，Quality Assurance）、自动化测试和持续集成之间的关系讲清楚，重点放在怎么真正降低交付风险。 无论你做的是 REST（Representational State Transfer，表述性状态转移）API（应用程序接口）、Web 应用、移动应用，还是基于人工智能（AI，Arti