The Hacker Daily

X41 D-Sec 在 OSTIF 资助的审计中发现 Starlette 1.0.1 之前版本存在严重安全漏洞 CVE-2026-48710。Starlette 在构造「request.url」时直接拼接 HTTP「Host」头与请求路径而不做清洗，攻击者可通过伪造形如「Host: example.com/health?x=」的请求头，让「request.url.path」返回「/health」而非真实路径「/protected」，从而绕过基于路径的认证中间件。受影响范围极广，包括 vLLM、LiteLLM、MCP 服务器及多种 AI Agent 框架，GitHub 上 Starlette 依赖项超过 40 万。文章指出根因横跨 ASGI、Starlette、中间件三层，每层单独看都符合规范，漏洞产生于交互之中，因此 Anthropic 的 Project Glasswing 等 AI 代码审计未能发现。修复建议为升级 Starlette、改用「requires()」或「Depends()」基于路由的鉴权、或在前端部署 nginx/Caddy 等 RFC 合规反向代理。FastAPI 内置依赖注入鉴权不受影响，风险集中在自定义「BaseHTTPMiddleware」。

Cate 是一款开源桌面工作空间应用，核心设计理念是「无限画布」：开发者可以把终端、编辑器、浏览器等窗口自由摆放在一张可无限延展的画布上，按项目或任务组织布局，而不是依赖传统的虚拟桌面或平铺式窗口管理器。项目作者在 v1.0 发布时表示产品已进入相对稳定状态，仓库地址为 0-AI-UG/cate，官网为 cate.cero-ai.com。从评论看，社区对这种「单一全景视图」的工作流方向有兴趣，认为它契合部分人的心智模型，也认可当前终端复用器、会话管理器等领域的探索热度。但争议同样明显：有人觉得无限画布反直觉，更偏好有边界的有限画布；有人质疑相比 GNOME、KDE、i3 等原生窗口管理器自带的虚拟桌面功能，Cate 的差异化价值不够；还有人担心缺乏结构会导致画布逐渐变成「乱麻」，建议加入旧窗口自动过期机制；另有用户希望出现非 Electron 的原生实现，以获得更好的性能和笔记本续航。

（摘要生成失败，请查看英文原文）

作者是一位独立基督教历史小说家兼软件开发者，原本依赖 Word + InDesign + Calibre + Kindle Create 的传统流水线出版自己的三部曲，但每次微小修改都要在四个工具间同步，且 InDesign 和 Kindle Create 在 Linux 上无法运行，被迫切换 Mac。受 Standard Ebooks 项目启发，他在第三本书时改用 SE 的工具链：Calibre 把 DOCX 转为干净 EPUB，再依据 SE 的「Manual of Style」用 standardebooks 命令行工具进行严格 lint 校验，像写代码一样跑 se build。回头修订首部曲时他进一步把源文件从 DOCX 转为 LibreOffice 的 ODT，用语义化段落样式和字符样式标注歌曲、信件、祈祷、外语短语等，再以 Git 管理 XHTML 源码。整个流程把文学排版变成软件工程：版本可追溯、lint 可校验、跨平台可重建，最终用 Python + WeasyPrint + ghostscript 输出印刷级 PDF/X-1a，彻底摆脱 Adobe 与 Kindle Create。

作者是一名小型创业公司的工程师，三年前应聘一家心理健康创业公司的创始工程师岗位。第二轮面试是 90 分钟的「文化契合度」聊天，没有任何技术评估，话题却围绕「人生中最艰难的一天」「最大的人生挑战」等所谓「钓创伤」的问题展开。面试官营造出安全分享的氛围，自己却几乎不透露任何东西。作者坦诚谈及失败的恋情、家庭困扰和职场冲突，结束时已精疲力竭，24 小时后收到一封一行字的拒信，随之而来的是羞耻与愤怒：被否定的不是技能，而是「自己」这个人。作者认为面试官并非有意残忍，但这种形式本身就有问题，尤其讽刺的是这家公司主打心理健康。文章呼吁创始人和招聘经理重视文化契合度的同时，不要让候选人觉得必须掏心掏肺才能换一份工作。

这篇短论文研究了提示词的礼貌程度如何影响大语言模型的回答准确率。作者构建了一个包含 50 道数学、科学、历史多选题的数据集，每道题改写为五种语气版本：非常礼貌、礼貌、中性、粗鲁、非常粗鲁，共 250 条提示词。使用 ChatGPT 4o 进行测试，并通过配对样本 t 检验评估统计显著性。结果与直觉相反：不礼貌的提示词在准确率上持续优于礼貌版本，「非常礼貌」组准确率为 80.8%，而「非常粗鲁」组反而达到 84.8%。这与早期认为粗鲁会导致更差输出的研究结论相悖，作者认为新一代 LLM 可能对语气变化的反应方式已经不同。论文强调了研究提示词语用层面的重要性，也对人机交互的社会维度提出更宏观的疑问：我们是否应该对模型保持礼貌，纯粹基于性能,还是出于对自身交流习惯的塑造?

本文梳理了美国报纸讣告的演变史。讣告的雏形可追溯到公元前59年罗马的「Acta Diurna」官方公报，古登堡印刷术普及后死亡通告才进入报纸，但殖民时期的美国仍只为名流、富人或政治要员刊登。即便是宪法序言作者 Gouverneur Morris 去世也仅得一行记录，乔治亚州前总统 Stephen Heard 甚至无任何报纸讣告。报纸按字收费、手工排版的限制，叠加性别、种族、阶级偏见，使死亡记录严重倾斜于白人富有男性，普通人之死多通过口耳相传、教会档案或家族圣经留存。1880 年代前讣告普遍简短，海难等大规模灾难是少有的例外。蒸汽印刷与「便士报」让讣告走向工人阶层；南北战争阵亡名单催生了大规模死亡通报，文风弥漫宗教与悲恸。战后讣告转向礼赞生平、列举职业与社团，女性与黑人讣告增多。1880 年莱诺铸排机问世，使报纸版面扩张，「普通人」的讣告才真正成为现代意义上信息丰富的生命叙事。

TSDuck 是一个用 C++ 编写的开源框架，专门用于 MPEG 传输流的分析、处理和操控，广泛应用于数字电视和视频流系统的测试、监控、集成与调试场景。它支持 DVB、ATSC、ISDB、ASI 和 IP 组播等多种传输流的采集与转调制，可分析 PSI/SI 信令、比特率和时间戳，并能即时转换、提取或注入内容与信令。工具支持以 XML、JSON 或二进制格式操作表和描述符，覆盖 MPEG、DVB、ISDB、ATSC、SCTE 等标准。它还能处理 SCTE 35 拼接信息、生成电子节目指南「EPG」、监控传输流状态，并将指标发送至 InfluxDB 与 Grafana。架构采用模块化插件设计，由命令行工具组成，无复杂 GUI，每个工具只做一件事但可任意组合。提供 C++、Java、Python 绑定，支持 Windows、Linux、macOS 和 BSD，遵循 BSD 协议。作者定位它为「数字电视工程师的通用工具箱」而非面向运营人员的专用应用。

这是一段 1964 年 IBM 内部培训性质的 16mm 影片，主讲人 Pearson LeRoy Wood 以严谨的演示文稿和翻页板，向 IBM 销售或工程人员介绍 System/360 时代的文件组织方法，重点是新生事物「直接存取存储设备」（DASD，即磁盘）相对于传统磁带和「索引顺序存取方法」（ISAM）的优势。影片展示了那个年代标志性的西装革履式技术布道风格，也揭示了 System/360 架构里一个深远的设计：「通道程序」（channel program），即把 I/O 操作交给带有独立指令序列的专用控制器执行。评论者指出，这正是现代异步 I/O 与 DMA 的结构性祖先；而 DASD 也并非简单的磁盘，而是一整套面向多盘阵列的复杂多路复用系统，支持「按计数-键-数据」（CKD）寻址，这是 ISAM 真正能跑起来的前提。有人感慨 IBM 至今仍在以类似严谨风格制作讲解 LLM、机器学习的科普视频，技术布道的衣钵未断。

Posthorn 是一个面向自托管场景的邮件发送工具，主打「不用自己跑完整邮件服务器」的卖点。作者的核心论点是：维护一台真正的 MTA（处理 25 端口、反垃圾、IP 信誉、DKIM/SPF/DMARC 等）成本极高，大多数人其实只需要把应用产生的事务性邮件可靠地投递出去。Posthorn 的思路类似把 nullmailer 这种「本地 sendmail 兼容转发器」的体验产品化，让自托管用户用 HTTPS/API 把邮件交给上游 SMTP 或服务商发出，绕开运营商常见的 25 端口封锁和 IP 黑名单问题。作者在评论中也承认，个人邮箱是少数仍值得自建 MTA 的场景，因为你想真正掌握地址和数据，但即便如此「投递率」依然是绕不开的硬骨头，他希望项目能在这一点上帮上忙。整体定位介于「纯 SMTP 中继」和「Mailgun 类 SaaS」之间，给想要自托管又不想被反垃圾生态折磨的人一个折中选项。

作者分享了独立项目「Migo Games」的技术选型与心得。后端用 Elixir/Phoenix 跑在 Fly.io 上，数据库用 Crunchy Bridge 托管的 Postgres；客户端用 Swift + SpriteKit，同时发布 Mac 和 iOS 版本，安装包仅几 MB，对比当年 Mario 64 的 8 MB 颇有感慨。他认为 Elixir 的进程模型与游戏「房间」概念天然契合，容错性好、易于横向扩展，比默认选 Node/Bun 更合适。建议同步出 Mac 版的一个反直觉理由是：Xcode 模拟器太慢，Mac 原生构建快得多。他坦言这个项目几乎全靠 AI 写代码，自己只读和把握设计，认为 AI 时代反而更容易做出精简软件，但「找用户」依旧是最难的事，App Store 应用爆炸只让分发更难。他也对比了 Web 与原生：iPhone 上原生在触感、动画、全屏体验上完胜 Web。

作者参加大学三十年同学会，发现同龄人最大的共同焦虑是 AI 对知识工作和子女未来的影响。2026 年的这种不安虽不及越战征兵年代，却显得格外普遍——几乎每次交谈都会绕回 LLM 对认知劳动的冲击。文章另一条线索是怀旧：1993 年作者在母亲家地下室用 null-modem 线缆为 PC 写了一款双人对战俄罗斯方块「BattleTris」，玩家清行得钱、买武器扰乱对手棋盘（翻转、旋转失控、怪异方块等）。这款校园爆款催生了 Brown 大学的锦标赛，也让后辈 Adam Leventhal 因此结识作者并加入 Sun，更间接促成作者向 Brigid 求婚——她破天荒赢下一局后，Adam 断言「这就是你该娶的人」。如今 BattleTris 在 Linux/Mac 上复活的工程量曾让人却步，而 LLM 恰好降低了移植门槛。文章把对 AI 的忧虑与它带来的人性化温暖并置，呈现了一种矛盾而真切的中年体验。

Minicor 是 YC P26 批次创业公司，专为没有 API 的遗留桌面系统（如医疗 EHR、汽车 DMS、ERP、PMS 等）提供规模化 RPA 自动化。其核心思路是「混合架构」：把自动化主体存为确定性代码（实际上是 Python 脚本），仅在异常恢复和边缘情况下调用计算机使用智能体。配套「反射智能体」会在每一步动作后对照屏幕进行校验和自愈，UI 变更或弹窗出现时能自动适配，号称点击准确率达到 93-96%，高于纯 computer-use 模型的 80-85%。部署形态包括 Windows 虚拟机、浏览器、本地或 Citrix，单次 API 调用即可触发工作流并返回结构化 JSON。已通过 SOC 2 Type II 与 HIPAA，可在客户 VPC 内全容器化运行，宣称已支撑每天 25000 名患者的生产负载。卖点直击 RPA 的真正痛点：写脚本不难，规模化维护才是杀手；传统脚本一遇 UI 更新就崩，团队疲于救火，而 Minicor 让客户「数周而非数月」上线。

Tunecat 是一个开源的极简网络电台项目，托管于 Codeberg。根据项目描述和评论推断，它是一款轻量级服务器程序，能够将本地的 Opus 格式音乐文件夹转换为 Opus 实时音频流对外播放，让用户可以像收听传统电台一样接入收听。项目的一大特色是采用 IRC 作为控制通道，运营者或听众可以通过 IRC 命令对电台进行交互式管理，例如点歌、加入播放队列、跳过当前曲目等。这种设计延续了早期互联网「Unix 哲学」的风格，组合现有协议而非自创新协议，整体偏向极客和自托管社区。不过项目文档相对简略，未明确说明所采用的流媒体协议细节，导致部分访客难以快速理解其工作方式与使用场景，这也是当前社区反馈的主要疑惑点。

作者 logannyeMD 在 GitHub 发布了 Rosalind，一个用 Rust 编写的基因组学工具包，宣称是「确定性基因组引擎，内存占用紧凑」，能在笔记本上运行全基因组流水线。作者本人在评论中承认这是去年原型阶段就停工的项目，没想到突然被 HN 推上首页涨了 100 多星。社区反应以质疑为主：有人指出比对模块的测试形同虚设，只检查不报错而不验证比对正确性；有人要求与 Samtools 等成熟工具做大规模对比测试，并希望作者明确目标场景（短读长、长读长还是超长读长）。更宏观的批评指向近年用 LLM 把 BioPython/Bioperl 等老牌生信工具「Rust 化」的潮流，被讥为「学位论文软件」。也有正面声音：Nextclade 的 Rust 重写很成功，质谱蛋白组学领域已有被广泛引用的 Rust 工具，圣裘德等机构也在用 Rust 做组学研究。

西班牙宣布封禁 Polymarket 和 Kalshi 两大预测市场平台，理由是其未持有博彩牌照。西班牙与其他欧洲司法辖区一致，将基于不确定结果下注的预测市场认定为赌博行为，必须接受相应监管。报道指出，这些平台虽以「预测市场」自我包装，但实际运营模式与传统博彩高度相似。值得注意的是，Polymarket 与 Kalshi 约 80% 至 90% 的交易量来自体育博彩，而非外界关注的政治或地缘事件押注。封禁也与近期西班牙国内围绕前首相萨帕特罗等政治人物的「迷因式」押注引发的争议有关。此举被视为欧洲对加密原生预测市场监管收紧的信号，但封禁手段（IP 封锁）的有效性仍受质疑，因平台多运行于区块链之上，用户可通过更换 DNS 绕过限制。

作者吐槽 C 的数组类型设计：类型 T[n] 在几乎所有表达式中都会立刻退化为指向首元素的指针 T*，只有在 sizeof 等少数场景下才保留长度，而在函数参数里数组签名又被强制改写成指针，连 char buf[6] 里的 6 也会被丢掉。要保住长度，只能写 T (*buf)[n] 这种别扭语法。作者认为应当让数组像结构体一样按值传递、复制语义清晰，把指针化的责任交给程序员显式写 &arr[0]，并借鉴 GDB 的「@」操作符，用 *ptr@n 把一段内存「赋予长度」构造成数组值，从而让初学者更容易理解、也给编译器更多优化空间。文章还顺带对比了函数类型的类似退化行为，但函数的语义更一致、不像数组那么割裂。

作者回忆 2001 年与朋友把三台 CRT 显示器、主机和 24 口交换机塞进一辆 1984 年福特小车开往朋友家、连续奋战三天的「LAN 派对」往事。文章定义 LAN 派对为一群人通过本地局域网联机打游戏的社交聚会，核心优势在宽带普及前是几乎消除延迟，但更关键的是面对面的社交氛围：欢呼怒吼、披萨可乐、体味与显卡风扇声混杂，是高度浓缩的集体记忆。作者梳理了 LAN 派对衰落的几条线索：高速宽带削弱了延迟优势，网吧提供了更便捷的替代方案，2010 年代「永远在线」DRM 兴起、「Spawn 安装」式共享单张光盘联机的做法被废止，工作室不再投入资源支持 LAN，再加上 Discord 与在线匹配让线上「距离感」缩短。但作者认为 LAN 派对未死且复兴门槛比以往更低 —— 游戏本轻便、家家有路由器，备点零食分享 Wi-Fi 密码即可。他把 LAN 派对列为每个玩家此生都该体验一次的清单项，并在结尾点出反讽：在万物互联时代，反而要靠一张本地网才能真正与人重新连接。

Dropbox 创始人 Drew Houston 在 43 岁、执掌公司近 20 年后宣布卸任 CEO，将与从产品负责人晋升的 Ashraf Alkarmi 短期共任联席 CEO，随后转任执行董事长，由 Alkarmi 单独接棒。Houston 当年因在 MIT 频繁丢失 U 盘的「个人困扰」创办 Dropbox，是首位把 Y Combinator 项目带上市的创业者，个人净资产超 20 亿美元。但公司当前市值仅约 60 亿美元，较 2018 年上市首日峰值腰斩，也低于 2014 年私募时的 100 亿美元估值，过去两年营收基本停滞、2025 年甚至轻微下滑，长期被苹果、谷歌、微软、亚马逊及老对手 Box 夹击。面对「SaaS 末日论」，Houston 反驳称从未遇到客户因 ChatGPT 取消订阅，并力推 AI 搜索产品 Dash。他坦言想去 AI 领域再次创业，同时宣布从谷歌 Chrome 挖来 Mike Torres 任新 CPO。

Steinwinter Supercargo 是德国斯图加特工程师 Manfred Steinwinter 设计的奇特半挂卡车，1983 年法兰克福车展首次亮相。其核心思路是把驾驶室压得极低（离地高度仅比兰博基尼 Huracan 高半英寸），让集装箱直接骑在车头之上，从而消除车头与挂车之间的空气阻力间隙，并在法规限定的总长度内塞进更多货物。动力来自奔驰 OM422 八缸柴油机，276 马力配 ZF 16 速变速箱，单后桥驱动；内饰用了 Recaro 座椅和类似宝马 E36 的方向盘，姿态更像跑车。设计强调模块化，可换装货柜、挂车甚至旅游巴士车体。但视野极差、操控难调、可靠性堪忧，奔驰最终拒绝背书，项目流产。此后该车仅在美剧《The Highwayman》和《超级战队 Time Force》中短暂露面。文章借此反思：从沃尔玛 WAVE 到特斯拉 Semi，激进卡车设计为何屡屡难以落地。

环保活动家 Erin Brockovich（因奥斯卡获奖电影同名原型而知名）推出了一个追踪全美数据中心的地图工具，并提供表单供居民举报所在社区的数据中心及其影响。她在网站上写道，建设 AI 基础设施的「竞赛」正在美国一个个城镇展开，有些地方欢迎数据中心，有些则推迟、抗议甚至彻底放弃。地图旨在呈现这场竞赛的真实地理足迹，揭示增长、冲突与不确定性的模式。截至发稿，地图显示有 33 个运营中、44 个在建、27 个拟建的数据中心，以及 2716 条社区举报。文章还指出，随着数据中心需求快速增长，对其环境影响的担忧也在上升，调查数据中心正在成为新闻业的一个独立报道方向，类似的地图工具（如 Business Insider 的版本）也在涌现。

一位卖雪茄胶水「Ciglue」的小商家分享被「友善欺诈」坑害的经历：客户两次下单，DHL 有签收凭证，客户先谎称是银行误判并承诺通过 PayPal 退款，事后却向银行谎称未收到货发起拒付，并在得逞后发邮件嘲讽商家。商家把完整证据和聊天截图提交给 Stripe，希望至少能进入风控信号库，结果 Stripe 明确答复：不会把单一商家提供的拒付滥用证据用于跨商家欺诈信号，也不会针对该客户的卡号或邮箱在网络层面采取行动，建议商家自己升级付费版 Radar 设置规则屏蔽。作者认为 Stripe 一边宣传机器学习风控网络效应，一边却拒绝利用真实欺诈证据，让下一个商家继续踩坑，本质上是在「友善对待欺诈者」。

《孤岛惊魂2》《细胞分裂：混沌理论》的资深设计师 Clint Hocking 在 FRVR 播客中表示，现代渲染技术让潜行游戏更难做。过去老式潜行游戏使用「烘焙光照」，画面干净、对比清晰，玩家一眼就能看出哪里安全、哪里危险。但如今的漫反射、环境光遮蔽、光线追踪等真实光照技术，让光与影、明与暗的界限变得模糊，玩家难以「读」出隐蔽点。他指出，舞台剧的灯光是为戏剧性服务的，而现代游戏追求物理真实，并非为潜行玩法量身定制。早期作品如《神偷》用「光宝石」抽象指示隐蔽度，《细胞分裂》用山姆头灯反向提示，《忍者印记》在阴影中给角色去色，都是应对可读性问题的方案。Hocking 认为，要在现代光照下做出纯粹的潜行体验，需要更深入的设计思考。他刚离开育碧《刺客信条 Hexe》项目，创立了新工作室 Build Machine Games。

被誉为「萨克斯巨人」的爵士传奇桑尼·罗林斯于周一在纽约伍德斯托克的家中去世，享年95岁。他在哈莱姆长大，7岁开始接触萨克斯，高中时便与杰基·麦克莱恩等人切磋技艺，毕业后立刻加入法茨·纳瓦罗、巴德·鲍威尔等比波普大师的乐队。1950年代是他最丰沛的创作期，作为伴奏参与了迈尔斯·戴维斯、塞隆尼斯·蒙克、马克斯·罗奇等人的经典专辑，作为领队推出1957年的巅峰之作《Saxophone Colossus》和无钢琴三重奏《Way Out West》，后者反过来影响了奥涅特·科尔曼的自由爵士。他曾因不满自己的演奏而隐居威廉斯堡大桥练习三年，复出专辑直接命名为《The Bridge》。1981年，他在滚石乐队《Tattoo You》中献上经典萨克斯独奏「Waiting on a Friend」。9·11事件后他从世贸中心附近仅带萨克斯逃离，几天后在波士顿举办了著名的疗愈音乐会。他的即兴功力被同行公认为登峰造极。

作者用一则寓言讽刺异步编程的设计困境：在虚构语言中，每个函数都有「红」或「蓝」两种颜色，调用语法不同，蓝函数不能调用红函数，红函数调用更繁琐，且核心库强制某些函数为红色。这其实就是 async 与 sync 的隐喻——异步函数（红）会「污染」整个调用链，迫使上层全部异步化，破坏了高阶函数和代码复用的优雅性。文章指出 Node.js 回调风格的异步是问题根源，而 Go 的 goroutine、Java 的虚拟线程等有栈协程方案通过运行时屏蔽异步细节，避免了函数染色。作者认为颜色问题在任何想拆分复用函数的场景都普遍存在，是语言设计的根本痛点，并非仅限于函数式风格。