今天才想起来我的邮箱里还有垃圾邮件这一回事，打开一看发现果然——期待了好久的文章密钥其实在当天就收到了😫，哎，我先以死谢罪了。

以下是一些针对这篇文章的看法：

• 逻辑通顺，卷面整洁，行文流畅
• 紧扣主题，能结合具体事例加以说明
• 情绪到位，能引起人的共鸣，主旨明确
• 想起自己在大学期间成为了共产党员，那么，同样因为未来自己将在这里生活，请允许我撤销上面的夸赞，给予你的作文 Unclassified 评价😡

在軟件安全和逆向工程領域，大🔥們經常調侃「.NET 程序根本不需要開源，因爲微軟已經強行幫妳開源了😁」，而這主要是 .NET 的編譯機制導致的。.NET 二進制的內容是一種類似於 Jvav 字節碼的 IL 中間語言，由 .NET VM 執行，爲了實現反射和動態加載等高級特性，.NET 內部保留了大量元數據，只需要把 dll 往 dnSpy 裏面一拖，一瞬就能還原出一份一份一份，一模一樣，連變量名都原封不動的 C# 源代碼。

真的是非常冷的知识了😅，我一直以为的对编译程序的逆向会是在一堆二进制指令中找出操作码、地址码，然后这样、那样，将源程序推理出来。没想到 C# 的逆向竟会如此简单吗！？看到后面，没想到连混淆的命名都能还原出来，不愧是那家公司的作品呀。

然后好像就没有我插得上嘴的了？不过说到 coding 工具的话，我倒是有点推销的意思和您说一下 pi 了，优点就是开源，以及似乎在使用同样模型做同样任务下和 Claude Code, Codex 等工具的表现相当甚至超越？当然这种说法还是来自于社区的不严谨的对比的，仅做推荐吧😫

😇 近期博客下雲進度

俺已經解決了 CICD 推送靜態文件的問題，並已經平穩運行了幾個月。具體做法就是在服務器上用 Python 起了一個小 HTTP 服務器，用來接收 CICD 推送過來的靜態文件，解壓給 caddy、workerd 並重啓他們。

GitHub Action 那邊則在 Astro 編譯完成後打包靜態文件，用 curl 上傳到服務器上。整個過程通過 HTTPS 傳送和 API key 驗證確保安全性，Python 的部分也待在 Docker 裏面，力圖減少攻擊面。這是俺目前能想到的最實用穩定的方法了。

另外，最近俺從 Grafana 裏面發現有一些腳本小子在通過全球的 botnet 爬我的文章。雖然只造成了 0 點傷害，但是卻污染了統計數據和日誌。因此俺準備要導入 CrowdSec 的 IP 黑名單和入侵檢測系統 😈 萬一有無辜群友被誤封的話，俺提前在這裏誠懇地向妳道歉，，，

几乎不在电脑上用编程agent，只用网页版，当作增强版的搜索引擎，所以倒是不太担心安全问题(

对于第三方软件的话，大部分还是会信任的，如果不信任的话我可能会自己写一个替代品，后续加功能也方便
但是不管开不开源，都很难判断软件的质量，或者换句话说，与其担心闭源软件的审计问题，不如担心软件质量，尤其是在AI slop盛行的情况下，有的开源软件看上去光鲜亮丽，其实非常糟糕，比如知名软件 Clash Verge Rev，虽然开源，却出过一大堆问题，包括但不限于删除用户所有的桌面快捷方式，未经用户同意就在悄悄在后台启动root权限服务，鉴权策略有问题可以被轻松提权等。

至于漏洞方面，要保证安全就更难了，完全取决于开发者自己的安全意识如何，比如sudo的作者就沉迷于加一大堆功能，安全意识相当一般，去翻翻sudo的CVE列表，会发现有相当一部分是非常naive的问题，稍微注意一点就不可能犯错。比如这个问题，连缓冲区长度都玩不明白，还写什么C啊（
难以想象sudo的作者还是以安全著称的OpenBSD的维护者之一。

像OpenDoas的作者的安全意识就好很多，他在移植doas的时间戳功能时，还顺便改进了sudo的时间戳功能，否则估计又是一个CVE

博客新主题好看，请问是安卓绿吗

想到之前我也想过给博客加上季节配色，但是过了一秒钟后被我糟糕的审美吓坏了

遂git reset，，，

想起来第一次和女友去约会的时候，她惊呼“天呐你的衣品怎么这么差”并把我拽去优衣库买了两套似人的衣服（

非常有教育意义的好文！

如果不嫌麻烦，大家在使用智能体时可以选择开启沙盒模式。以Claude Code为例，其沙盒在OS X由sandbox-exec实现；在Linux由bwrap和seccomp BPF实现；某非POSIX操作系统的沙盒API（experimental）还在内测中，希望这位选手积极备赛。

在传统的bwrap机制以外，我向各位Linux用户隆重推荐Linux 5.13引入的LandLock安全机制：它允许普通用户启动的进程对权限进行自我约束。相比AppArmor和SELinux两尊大佛，LandLock在特定场景无疑更易用。如果您对SELinux感兴趣，可以翻看之前的博客。令人遗憾的是，大量信创桌面设备的内核永远停在了早已EoL的4.19。希望深之度和麒麟软件在AI slop占领世界的时代认真打磨4.19,及时修补安全漏洞，，，

在供应链投毒以外，LLM中转站会主动发送恶意的工具调用（且不说售卖用户数据的问题了）。大量学生和打工人迫于经济条件不得不选择中转站；其后果就是被中转站*飞。普通用户的权限已经足够执行很多恶意命令了，更不用说一些小可爱会给sudo开NOPASSWD。

最后的安全审计流程逻辑非常清晰，流程和JVAV类似（在开发者不加壳的情况下，字节码是可以直接变回可读的JVAV代码的）。小朋友们可以拿出纸笔认真学习！

閱讀文章時的我：

現代軟件有很多洩露隱私的可能，對軟件採取零信任的手段是非常必要的，應當為了隱私而犧牲便利性。

閱讀完文章的下一秒：

我对逆向的印象 be like:
黑灯瞎火，绿色荧光字体，IDA pro，神秘黑色兜帽男……
结果竟然是花菜群友（和AI），tql

在挖掘🥦代碼的時候，俺發現了他們對中國用戶的愛（

遊戲裏面有一個類叫做 DGLobbyModels.RelayServer GClass2::GetOverrideRelayServer()，這裏面提到了畫猜的中轉服務器。進一步檢查發現，遊戲會在運行時下載一個中轉服務器的列表，同時也內置了十幾台中轉服務器的 IP 地址和端口。

有意思的是，這些服務器裏面有 5 台位於中國大陸（阿里雲），爲中國玩家提供 UDP 轉發加速；還有 5 台位於香港，俺估計是為了防止萬一中國節點被查封而提供的 fallback。剩下的 3 台位於日本和歐洲。到這邊俺沒有繼續往下挖掘，所以不太清楚連結中國節點的觸發條件是甚麼。

同時，觀察 Steam 評論數量之後可以發現，中文評論佔了 99%，數量遠超英語，所以花菜團隊肯定是非常重視中國玩家的。連中國節點都安排上了，Cloudflare 來了都得直呼內行。

但是有一點令我非常疑惑，俺尋思歐美的在線遊戲社區也非常發達，美術水平也是世界領先，那爲啥 Steam 上的畫猜在歐美不溫不火，偏偏是在中國這麼流行呢？？難道真的就是中國 (日本) 二次元之力造就了這種世界奇觀嗎？

Final Update: 主角 3 的高考志願

最近親戚那邊來消息，說是他到了報志願的時候了。
他本人的意願是學習計算機/網路技術的專業，這邊先不論 AI (人工智障) 會對他以後的就業造成什麼樣的衝擊，只怕是他沒辦法對抗家長強加給他的威逼利誘。

我聽說此事後，出於我最後的善良，偷偷私聊他向他表明了我的警告，告訴他公安背景會對他以後的職業生涯轉型，以及在全球自由市場的進出，造成何等毀滅性的打擊。我希望他的自由意志能夠再次雄起，然後家庭內部能夠再次討論這個決定。然而，他們最後確定的兩個志願方向是：

1. 警察
2. 中醫

如果不出意外，他會命中 1 志願，然後站在我的對立面上。

我悲觀地相信文中的另外兩位主角也會迎來類似的結局 😇

去 AWS 峯會上考察 Web Tech 廠商的展臺

昨天受邀（？）參加了東京 AWS Summit，場館就跟《東京電玩展 2025 美少女遊戲勘探》在同一個地方。可惜天公不作美，來回路上天降暴雨，導致我收集的一袋子 high tech 廢紙變成了溼透的真廢紙。

AWS Summit 這個活動，也不是誰都能參展的。。條件 1 是必須要和 AWS 關係好，條件 2 則是要掏錢贊助 AWS 舉辦活動。據此，參展的企業也可以分爲三六九等，如下圖：

其中最頂的就是 Global Sponsors，他們給得實在是太多了，因此佔領了正對入口的幾個巨型展臺，就比如那個 Datadog，是個做數據收集和監視面板的，但是他們在英語國家和日本以外基本沒啥存在感，主要是因爲他家產品賣得奇貴無比，第三世界國家屬於是無福消受。俺也一樣，我用 Grafana，我是 GrafanaDog！（錯亂

還要補充一句，這個列表的排名並不代表公司實力，就比如那個 paloalto 我聽都沒聽說過，反而是 AMD, Sony, Salesforce 這種巨型企業排在了最底下。

整個會場瀰漫着一種雲服務和 AI Agent 混合的銅臭味，但是俺對這倆其實興趣不大，畢竟把 AI 養肥了炒掉的也是妳們這些白領，這是甚麼好事情嗎？所以俺就帶着一個博客玩家的視角，深入了那些陰暗角落去找我們的老熟人。

俺第一個碰到的老熟人是 Vercel，也是本羣某位羣友的飯碗。

他們告訴我，Vercel 最近在搞一個 Building Filesystem Agents，不過我也不是很董這些，總覺得他們是在跟風浪潮。俺只能說俺在用他們的 CDN 部署 Next.js，他們很高興，賞了俺一塊三角形的小餅乾，已嚴肅食用。

既然 Vercel 都來了，那 Cloudflare 應該也來了吧？但是俺回到 sponser list 上上下下仔細尋找了三遍，依然沒有看到 Cloudflare 的影子。正當我以爲 CF 太窮買不起門票的時候，俺看到了 Fastly 的展臺。

兩位講解員看到我，直接就圍上來，問我知不知道他們是何公司。我說當然知道啊，某個黑屁 blog 曾經就 host 在妳們的服務上面，俺還有一篇文章提到過妳們（😁 俺用過妳們的 CDN。他們一聽非常高興，向我說明了 Fastly 的 Edge Computing 戰略，說是要把重心放在 WebAssembly 上面，這樣一定能力壓 Cloudflare Workers，我說是是是，妳們的 toolchain 最好是比 CF 的更好用，銷售最好比 CF 更賣力，不然我見這些日本傳統 IT 不一定玩得董妳們的 edge runtime。

然後我隨口問道，怎麼今天沒看到 Cloudflare 參展😁？ 他們說是 Cloudflare 和 AWS 之間的競爭關係有點……你死我活，不共戴天，😁，所以就沒來參展，之類的。於是一時間現場充滿了幽默而尷尬的笑聲。接着他們給了我一個扇子，一個本子和一支筆，叮囑我「睹物思人，😁，少用 Cloudflare，多用 Fastly 😁」，然而那句「妳們的在中國訪問怎麼那麼卡」我最後也沒敢問出口。

哎，世風日下，人心不古。