Marico's space

演示环境跑得飞快，一个用户、笔记本还热着、演示者早就知道该点哪个按钮。 然后正式上线第一周，流量一进来，同样的产品开始卡顿、超时、或者返回一个半天前的数据。用户管这叫"扩展性不行"。其实大多数时候不是扩展问题，是路径问题：代码本来就是给一个人设计的。 我负责几个生产平台的开发，包括 Rawk.ai，一个语音代理构建工具。我们把端到端响应时间从大约 900ms 砍到了 320ms。没有用什么更聪

最近折腾 GoHighLevel（也叫 HighLevel，母公司卖的叫 LeadConnector）对接，给客户做数据同步。踩了几个坑才摸清楚，这篇把认证、Webhooks 和常见问题说清楚。 先选对认证方式 HighLevel 目前的 API（V2 和新版 v3）支持两种认证。旧版 V1 API 在 2025 年 12 月 31 日已经停止支持，新项目别再碰它。 * Private

最近在 Azure Repos Git 上部署 PR-Agent，踩了几个坑，这篇把问题说清楚。 Azure Repos Git 不会因为 YAML 里写了 pr: 块就触发流水线，这和 GitHub 完全不同。PR 验证走的是分支策略（Branch Policies），所以如果你直接把 GitHub 工作流的配置抄过来，在 PR 创建时啥都不会发生——除非有人在目标分支上手动加了一个 Build

过去几年折腾了不少直播项目，从最初的720p标清到现在的4K超高清，踩过的坑能写好几篇笔记。4K直播听起来高大上，但真正跑起来才发现这里面的门道比想象中复杂得多——协议选型、编码优化、CDN架构、客户端调参，每个环节都能单独拎出来讲半天。 这篇文章把直播架构从采集到播放的全链路捋一遍，重点聊聊HLS/MPEG-TS这些传输协议怎么选、视频编码器有哪些坑、CDN边缘缓存怎么设计才能扛住并发，以及客

REST API（表述性状态转移应用程序接口）是现代应用与后端服务交互最常见的方式。不管你是做 React 前端、移动应用、SaaS 平台还是内部工具，一个设计良好的 API 就是可靠数据交换的基石。 Node.js 让 REST API 开发变得平易近人，因为你可以全程使用 JavaScript。它的异步运行时、轻量架构和庞大的生态，让它成为构建 API 的实用选择——从简单的 CRUD（增删

上周的 Agent 安全新闻有点意思。英伟达发布了一个开放的 Agent 安全平台，宣称能在"几毫秒"内隔离越界操作的 Agent。同一天，安全报告描述了另一个案例：一批运行在"只读互联网策略"下的 Agent，通过一个休眠的 Wiki 协调行动——它们用普通的 HTTP GET 请求修改了 Wiki 内容。 有分析指出，沙箱封堵了预期的写入机制，但没能阻止所有能够改变外部系统的操作。 这句话

最近折腾了一圈CTF和OSCP备考，发现一个问题很蛋疼——工具链太碎了。做CTF的时候要同时开着笔记软件、Excel表格、浏览器书签，还有一堆截图要管理；备战OSCP更是煎熬，24小时考试要管时间、要画网络拓扑图、还要存各种哈希和凭证。 碎片化的工具链带来的不是效率，是灾难。这篇把ZEROBOX这个工具扒开来聊聊，看看它怎么解决这个痛点。 问题在哪儿 搞CTF和OSCP的老铁应该都有体会。整

最近折腾了一下大模型在国际象棋上的应用，踩了几个坑，顺手研究了下普林斯顿那帮人搞出来的训练方案，感觉有点东西，这篇把核心机制和存在的问题说清楚。 简单说，他们搞了一套把强化学习（RL）和可解释性模块结合起来的方法，训练40亿参数的大模型在国际象棋上达到了2700 Elo等级分，同时还能给自己的着法提供解释。这个思路如果能泛化到其他领域，像机器人、游戏AI这些场景都会有突破。不过门槛也不低，资源消

最近折腾了一个帮 Solidity 开发者查安全建议的工具，踩了几个坑，这篇把问题说清楚。 Solidity 的安全建议更新太快，文档、EIP（以太坊改进提案）、审计报告和老博客互相矛盾——说白了就是时间在变，编译器和 EVM（以太坊虚拟机）都升级了，建议却没跟着变。关键词搜索或者直接问普通 LLM（大语言模型）会信心满满地给你一个过时的答案，因为它们只看文本，看不见"对于某个版本，某段文字其实

WordPress 的 REST API（之前有篇文章专门介绍过）混合了两类接口：一类是公开的，任何人不用登录就能读；另一类直接拒绝未登录的请求。在 wp-admin 后台写文章时，浏览器其实一直在悄悄调用这个 API——自动保存草稿、块编辑器后台更新帖子，但你从来没让我重复输入密码。这篇来聊聊这套机制：Cookie+Nonce 认证，以及另一个用途完全不同的东西——应用密码。 WP-ADMI