Marico's space

最近折腾 AI（人工智能）编程代理的 API（应用程序接口）测试，踩了几个坑：这活儿明明有确定答案，模型却总想自己“理解”一遍。于是把规则校验、响应比对、类型生成这些任务全塞给模型，结果它说得头头是道，真正出错时连个报错都指不出来。 后来我换了个思路：有些 API 工作根本不需要判断，只需要严格执行规则。比如按照 JSON（JavaScript 对象表示法）Schema 校验响应、比较两份 JS

最近折腾了 OpenAI 的 Patch the Planet，踩了几个坑，这篇把问题说清楚：OpenAI 推出了 Patch the Planet，这是 Daybreak 计划下的一项行动，尝试用 AI（人工智能）辅助的漏洞研究，加上人工安全审查，帮助开源项目维护者发现、验证、修复并披露安全缺陷。相关工作覆盖了多个广泛使用的开源组件，其中包括 Linux 生态的一部分，目标是减少未经筛选的漏洞报

最近折腾了一下 Terraform 安全审查，踩了几个坑，这篇把问题说清楚：AI（人工智能）到底能不能帮我们读扫描报告、改基础设施代码，以及怎么验证这些改动真的有效。 把安全扫描器接进流水线并不难，难的是拿到结果之后：这些告警到底意味着什么，哪些配置必须改，以及 AI 给出的修复方案能不能用。 作为 DevOps（开发运维）工程师，我想验证的是：能不能把真实基础设施扫描结果交给 GitHub

最近折腾电商 AI Agent，踩了几个坑，这篇把问题说清楚：从最基础的聊天机器人，到能够调用工具的电商 Agent，顺便把商品搜索、RAG（检索增强生成）和重排序这条链路捋顺。 本系列围绕使用阿里云 Serverless 构建电商 AI Agent展开： 1. 了解 AI Agent（本文） 2. 选择合适的运行时 3. 构建商品搜索与 RAG 4. 对话记忆与上下文管理 5. 将

最近折腾 PhysioApp，踩了几个架构与隐私方面的坑，这篇把项目目前的状态、关键取舍和需要专业反馈的地方说清楚。 各位开发者社区的朋友，大家好！👋 如果把开源软件、移动端开发和医疗健康真正结合起来，能不能做出切实帮助从业者的工具？ 这正是 PhysioApp 的出发点。它是我在 ConnectApp 计划中开发的一个项目。ConnectApp 是我独立发起的 initiatives，目

最近折腾了几款 ERD（实体关系图）工具，踩了几个坑，这篇把问题说清楚。数据库设计这东西，平时看起来不急，等到项目上线半年后再补模型、追字段来源、处理迁移兼容，才发现它早就在暗中决定了整个工程能不能顺利往下走。 工具选对了，可以省下大量产品、后端、数据团队来回确认的时间，也能提前暴露数据库迁移问题；选错了，ERD 很可能最后就躺在某个在线文档里，再也没人打开过。 这次我把目前主流的 ERD 和

最近折腾 CMS（内容管理系统）API（应用程序接口）时，踩了几个权限、并发和重试相关的坑，这篇把 CMS REST（表述性状态转移）API 里最容易出问题的地方说清楚。重点不在于返回 JSON（JavaScript 对象表示法），而在于如何定义权限、变更行为，以及网络异常时怎么恢复。 下面的例子描述的是一个虚构的服务。真正接入自己的 CMS 前，先核对对应版本的文档，确认它的路由和授权机制，不

最近折腾 AI（人工智能）Agent 的权限设计，踩了几个坑，这篇把问题说清楚：一个 Agent 在 CRM（客户关系管理）更新被拒绝后，仍然回复“已完成”，这不只是措辞失误，而是给团队释放了错误的运营信号。如果它还能读取敏感字段，或者执行工单里植入的指令，日常自动化很快就会变成数据失控问题。 最近一项企业级 Agent 基准测试把风险量化了。在模拟 Salesforce、Zendesk、Jir

最近折腾 Goravel 的 JWT（JSON Web Token）认证，踩了几个容易忽略的坑，这篇把注册、登录、读取令牌、退出和刷新令牌完整串起来。 这是 Goravel 系列的第 9 篇。DevChalk 原版提供了配色代码、插图和完整差异对比，本篇代码位于 krishankumar01/goravel-taskflow/tree/part-09。 TaskFlow 已经有用户模型，却没人

最近折腾大语言模型（LLM）网关，踩了几个成本失控的坑，这篇把 B2B SaaS（面向企业的软件即服务）里的 FinOps（财务运营）架构说清楚。典型事故并不复杂：财务负责人把模型厂商的账单转过来，只标出了一行——一个月花了三倍的钱，收入却纹丝不动。追查后发现，某个使用入门版套餐的租户，每晚都有一个脚本把同一份 40 页合同送去摘要接口，连续请求 600 次；更麻烦的是，SDK（软件开发工具包）调