Marico's space

最近折腾了 OpenAI 的 Patch the Planet，踩了几个坑，这篇把问题说清楚：OpenAI 推出了 Patch the Planet，这是 Daybreak 计划下的一项行动，尝试用 AI（人工智能）辅助的漏洞研究，加上人工安全审查，帮助开源项目维护者发现、验证、修复并披露安全缺陷。相关工作覆盖了多个广泛使用的开源组件，其中包括 Linux 生态的一部分，目标是减少未经筛选的漏洞报

最近折腾了一下 Terraform 安全审查，踩了几个坑，这篇把问题说清楚：AI（人工智能）到底能不能帮我们读扫描报告、改基础设施代码，以及怎么验证这些改动真的有效。 把安全扫描器接进流水线并不难，难的是拿到结果之后：这些告警到底意味着什么，哪些配置必须改，以及 AI 给出的修复方案能不能用。 作为 DevOps（开发运维）工程师，我想验证的是：能不能把真实基础设施扫描结果交给 GitHub

最近折腾电商 AI Agent，踩了几个坑，这篇把问题说清楚：从最基础的聊天机器人，到能够调用工具的电商 Agent，顺便把商品搜索、RAG（检索增强生成）和重排序这条链路捋顺。 本系列围绕使用阿里云 Serverless 构建电商 AI Agent展开： 1. 了解 AI Agent（本文） 2. 选择合适的运行时 3. 构建商品搜索与 RAG 4. 对话记忆与上下文管理 5. 将

最近折腾 PhysioApp，踩了几个架构与隐私方面的坑，这篇把项目目前的状态、关键取舍和需要专业反馈的地方说清楚。 各位开发者社区的朋友，大家好！👋 如果把开源软件、移动端开发和医疗健康真正结合起来，能不能做出切实帮助从业者的工具？ 这正是 PhysioApp 的出发点。它是我在 ConnectApp 计划中开发的一个项目。ConnectApp 是我独立发起的 initiatives，目

最近折腾了几款 ERD（实体关系图）工具，踩了几个坑，这篇把问题说清楚。数据库设计这东西，平时看起来不急，等到项目上线半年后再补模型、追字段来源、处理迁移兼容，才发现它早就在暗中决定了整个工程能不能顺利往下走。 工具选对了，可以省下大量产品、后端、数据团队来回确认的时间，也能提前暴露数据库迁移问题；选错了，ERD 很可能最后就躺在某个在线文档里，再也没人打开过。 这次我把目前主流的 ERD 和

最近折腾 CMS（内容管理系统）API（应用程序接口）时，踩了几个权限、并发和重试相关的坑，这篇把 CMS REST（表述性状态转移）API 里最容易出问题的地方说清楚。重点不在于返回 JSON（JavaScript 对象表示法），而在于如何定义权限、变更行为，以及网络异常时怎么恢复。 下面的例子描述的是一个虚构的服务。真正接入自己的 CMS 前，先核对对应版本的文档，确认它的路由和授权机制，不

最近折腾 AI（人工智能）Agent 的权限设计，踩了几个坑，这篇把问题说清楚：一个 Agent 在 CRM（客户关系管理）更新被拒绝后，仍然回复“已完成”，这不只是措辞失误，而是给团队释放了错误的运营信号。如果它还能读取敏感字段，或者执行工单里植入的指令，日常自动化很快就会变成数据失控问题。 最近一项企业级 Agent 基准测试把风险量化了。在模拟 Salesforce、Zendesk、Jir

最近折腾 Goravel 的 JWT（JSON Web Token）认证，踩了几个容易忽略的坑，这篇把注册、登录、读取令牌、退出和刷新令牌完整串起来。 这是 Goravel 系列的第 9 篇。DevChalk 原版提供了配色代码、插图和完整差异对比，本篇代码位于 krishankumar01/goravel-taskflow/tree/part-09。 TaskFlow 已经有用户模型，却没人

最近折腾大语言模型（LLM）网关，踩了几个成本失控的坑，这篇把 B2B SaaS（面向企业的软件即服务）里的 FinOps（财务运营）架构说清楚。典型事故并不复杂：财务负责人把模型厂商的账单转过来，只标出了一行——一个月花了三倍的钱，收入却纹丝不动。追查后发现，某个使用入门版套餐的租户，每晚都有一个脚本把同一份 40 页合同送去摘要接口，连续请求 600 次；更麻烦的是，SDK（软件开发工具包）调

最近折腾 AI（人工智能）生成代码这件事，踩了不少坑，也看到了一个挺刺眼的结果：让 AI 批量生成 Python 包，162 个里真正能用的只有 1 个，成功率只有 0.6%。这篇把这个实验拆开说清楚，也聊聊它对开源软件供应链到底意味着什么。 最初发布于 tamiz.pro。 这个实验给 Python 生态出了一道 harsh 的考题：AI（人工智能）生成了 162 个包，最后只有一个通过了完