Marico's space

最近折腾了把 Paprika 900 个食谱迁移到 Mealie，整个过程踩了几个坑，这篇把迁移结果说清楚。Paprika 的食谱内容能完整过来，但周围的元数据基本全丢——配料数量、评分、收藏夹、缩放系数这些要么变成纯文本，要么直接消失。迁移本身很快，真正的活儿在后面的脚本修复阶段。 按人群划分的结论： * 用了十年 Paprika 3、攒了 900 个食谱的老用户：先一股脑导入，然后逐个字

最近折腾了部署流水线，踩了几个坑，这篇把问题说清楚。 一个服务到线上只有一条路。流水线不需要知道自己在部署哪个服务——它只读 Manifest（服务声明文件）。剩下的事情，人要做三个决定，外加验证一下版本字符串真的在二进制里。 那个永远绿着的缺陷 先说失败案例，因为正是这个坑塑造了后面的所有东西。 Go 通过链接器标志（linker flags）把构建元数据压入二进制文件： -ldfl

如果你做 Android 开发或者写 Spring Boot 服务，最近应该看到过这条消息：Gradle 背后的公司改名叫 Develocity 了。如果你的第一反应是去检查自己的 build.gradle 文件是不是要炸了，可以先把手放下，安心回去干活——没事。 一句话总结：只是维护 Gradle 的那家公司改了名，构建工具本身纹丝不动。这篇说说到底变了什么、什么没变，以及公司为什么说在 AI

随着企业纷纷把GPT-4这类大语言模型（LLM，大语言模型）集成到自家平台，他们很快会遇到一个致命问题：LLM会一本正经地胡说八道。这种现象叫"幻觉"（hallucination），本质原因是LLM本质上只是个概率预测引擎。如果你问一个现成的LLM关于昨天刚写的某条绝密公司政策，它不知道答案——但它不会说"我不知道"，而是会自信满满地编出一段语法完美、逻辑通顺、但完全虚构的内容。 在企业软件领域

上个月参与维护的一个开源项目，一周之内涌进来 40 个 issue。手工分类花了四个小时：读内容、打标签、定优先级、回复。动念头想上个 Agent 帮我做第一轮筛选。问题是：项目没钱买云资源，没 GPU，也没有任何 AI 预算。 零预算不是口号，是硬约束。 背景 这个仓库收到的 issue 包括 bug 报告、功能需求、环境配置问题各种混在一起。大部分 issue 篇幅不长，但有些会带上一

最近给一个企业级多租户系统做安全加固，踩了几个坑才把 PostgreSQL 行级安全性（RLS）跑通。这篇把核心思路和具体实现说清楚，少走弯路。 应用层租户隔离的致命缺陷 做 B2B SaaS 平台，数据隔离是头等大事。一旦租户 A 能看到租户 B 的财务数据，轻则面临 SOC 2、GDPR 合规处罚，重则丢失企业客户，信誉扫地。 大多数 Laravel 开发者会用应用层安全来解决这个问题

前面折腾过 .NET 版本的仓库维护智能体，能检查代码、提出修复方案、运行测试、报告结果，所有写操作和 shell 命令都需要人工确认。这篇来用 Python 实现同样的功能。 安全策略和实现目标故意保持一致——不想因为 Python 实现起来更方便就悄悄选个更简单的演示。两个版本使用相同的测试用例、相同的指令、在相同的审批节点停下、必须通过相同的测试。唯一不同的是宿主语言。 最终得到的是一个

能不能测出一个 AI 编程 Agent 越过工具边界的频率有多高——在免费服务器上安全测试，不碰一个真实文件？完全可以：给它一堆假工具，只记录调用日志，在假文件里埋陷阱指令，然后对着日志打分。这篇就是我自己搭的测试框架，亲测有效，而且只要能跑 Python 的地方就能跑——包括免费档次的服务器加免费模型接口，我就是这么跑的。 上周又刷到一个帖子讨论 AI Agent 越来越多功能——Shell

"同样的问题，今天花了四十秒。上周只要十秒。" 又是第2、3部分那位测试同学。她问Agent："我能退掉上一单的那件蓝色外套吗？"这个问题需要两次工具调用：一次查订单，一次读退换政策。上周大概十秒搞定。那天花了四十秒。 什么都没变。没有发布新版本，没有改配置，没有新数据。代码一周没动过。 但我解释不了，因为我没有任何一个步骤的具体耗时。我有日志，但那是一堆HTTP层的文本堆砌。我说不清那多出

最近看到 Pillar Security 披露的 Google ADK（Agent Development Kit，智能体开发工具包）安全漏洞，忍不住想聊聊这事儿。AI 工作流自动化听着很爽，但权限管理一旦没到位，分分钟被人拿来做坏事。这篇把漏洞的来龙去脉和技术细节捋清楚，看完你就知道现在 Agent 系统里那些"自动化"到底埋了多少雷。 自动化仓库里的利用路径 核心风险在于一个 triag