Marico's space

最近折腾 Flutter 项目架构，踩了几个坑，这篇把问题说清楚：让应用更容易扩展，靠的往往不是某个流行的状态管理库，而是从一开始就划清职责边界。 大多数 Flutter 应用之所以后期难以维护，并不是 Flutter 本身不能扩展，而是 MVP（最小可行性产品）阶段看起来无伤大雅的架构决策，随着产品增长逐渐变成昂贵的技术债务。 一个页面直接调用 API（应用程序接口），在应用只有五个页面时通

MISTRAL LARGE 4 VS GEMINI 4 CARBON：开放权重 VS 受限访问 最近折腾模型选型时发现，模型发布公告看起来都像产品上线，但真正能让开发者动手测试的，往往只是其中一小部分。这个区别在本周尤其重要：Mistral 表示 Mistral Large 4 的权重已经开放，而 Google 在 10 月 28 日发布的 Gemini 4 Carbon，则采用了受限的初始推送

最近折腾 AI（人工智能）Agent（智能体）的日志分析链路，踩了几个坑，这篇把问题说清楚：现在的日志不只是日志，它很可能已经变成了等待执行的提示词。 这周，Dev.to 上有一篇文章叫 “Ghost in the Shell: Can a Log File Hijack an AI?”，HN（ Hacker News）上又出现了 PHP2Shell chain exploit 拿下 25 台服

最近折腾了几个月代理权限控制，踩了几个坑，这篇把问题说清楚：安全边界到底应该放在模型提示词里，还是放在系统权限表里。 “哪个模型更安全”根本不是构建评审应该讨论的问题。模型随时可能被替换，真正经得住发布周期考验的问题只有一个：检查在哪里执行，检查失败后系统会做什么？ 两周前，这还只是一场设计争论；到了本周，它已经变成了依赖管理问题。10 月 22 日，Anthropic 将 Agent Ski

最近折腾了 Gemini 4 Carbon 这类安全模型，踩了几个坑，这篇把问题说清楚：Google 这次发布的重点不是“让更多开发者马上用上”，而是一个面向编码与网络安全的专用前沿模型，以及它目前非常有限的首发范围。 Google 于 2026 年 10 月 28 日星期三发布了 Gemini 4 Carbon。这是 Google 最新的前沿 AI（人工智能）模型，也是两周内发布的第二个 Ge

最近折腾毕业设计后端，踩了几个坑，这篇把问题说清楚：在 cPanel 共享主机上部署 FastAPI，到底怎么绕过 Passenger 只认 WSGI 的限制。 本地开发时一切正常，FastAPI 跑在 Uvicorn 上，接口、异步任务和高并发都没问题。可到了部署环节，直接撞墙。 cPanel 使用的 Phusion Passenger 支持 WSGI（Web Server Gateway

最近折腾 YouTube 字幕批量抓取，踩了几个很典型的坑：本地能跑，部署到云服务器就被风控；官方接口只能下载自己频道的字幕；爬完整个频道，还得单独处理没有字幕的视频。这篇把问题拆开说清楚，并给出一套能在云服务器上稳定运行的 Python 方案。 利益相关说明：本文使用的 Apify Actor 是我做的。它是按字幕条数计费的付费工具，下面也会明确说明哪些场景不适合用它。 如果你试过从代码里获

最近折腾了一次从 GCP（Google Cloud，谷歌云）到 AWS（Amazon Web Services，亚马逊云）的 Serverless（无服务器）迁移，踩了几个默认值不对齐的坑。这篇把 Cloud Run、Cloud Run functions、App Engine、Eventarc、Cloud Tasks、Scheduler 和 Workflows 分别迁到 AWS 后该选什么、哪些

最近折腾跨仓库安全扫描，踩了不少状态同步和告警去重的坑，这篇把 CodeRabbit Secure 的思路说清楚。重点不是它又能扫几个仓库，而是当一个共享库里的漏洞牵连几十个下游项目时，怎么沿着依赖图追踪，又不让扫描范围和告警数量一起失控。 CodeRabbit Secure 现在可以越过仓库边界扫描，沿着依赖关系追踪漏洞，再在临时沙箱中验证漏洞能否真正利用。真正的难点在于状态管理：一个共享库存

最近折腾 Kubernetes 安全这块，踩了几个坑，最大的感受是：真正让集群失守的，往往不是某个组件突然爆了个高危漏洞，而是凭据泄露之后，攻击者沿着权限链一路横向移动。于是这篇把 OWASP Kubernetes Top 10 里的风险拆开讲，重点说清楚凭据为什么值得单独拎出来看。 TL;DR * K03 会把一次泄漏变成一条攻击链：Secrets Management Failu