后端开发实战博客
发布时间：2026-09-28 ｜ 浏览：2
👇Official Account👇
Welcome to join the group & private message
Article first/tail QR code
Go 终端小工具进阶 - 天气/归属地/MD5 等实用命令开发实战 Go 终端小工具进阶 - 天气/归属地/MD5 等实用命令开发实战 在 Go 终端小工具基础上新增天气查询、手机归属地、MD5/Base64、网络词汇、时间戳等子命令的开发与迭代记录，以及遇到的问题与解决方式。 PFinal南丞 2024-03-05 golang · 工具 PFinal南丞 2024-03-05 golang · 工具
Go 终端小工具进阶 - 天气/归属地/MD5 等实用命令开发实战
Go 终端小工具进阶 - 天气/归属地/MD5 等实用命令开发实战
在 Go 终端小工具基础上新增天气查询、手机归属地、MD5/Base64、网络词汇、时间戳等子命令的开发与迭代记录，以及遇到的问题与解决方式。
Golang gopsutil 使用指南 - CPU/内存/磁盘/网络指标获取实战 Golang gopsutil 使用指南 - CPU/内存/磁盘/网络指标获取实战 详细介绍golang系统库之gopsutil，包括安装配置、进程监控、系统信息获取等核心功能，帮助开发者轻松获取系统信息。 PFinal南丞 2024-09-09 工具 · golang PFinal南丞 2024-09-09 工具 · golang
Golang gopsutil 使用指南 - CPU/内存/磁盘/网络指标获取实战
Golang gopsutil 使用指南 - CPU/内存/磁盘/网络指标获取实战
详细介绍golang系统库之gopsutil，包括安装配置、进程监控、系统信息获取等核心功能，帮助开发者轻松获取系统信息。
安全攻防研究 | Web安全 内网渗透 红蓝对抗实战 安全攻防研究 | Web安全 内网渗透 红蓝对抗实战 深入的安全攻防研究指南，涵盖Web安全漏洞分析、内网渗透技术、红蓝对抗实战演练、渗透测试方法论等攻防一体实践内容。提供从攻击到防御的完整安全研究体系。 PFinal南丞 3分钟前 offensive · security PFinal南丞 3分钟前 offensive · security
安全攻防研究 | Web安全 内网渗透 红蓝对抗实战
安全攻防研究 | Web安全 内网渗透 红蓝对抗实战
深入的安全攻防研究指南，涵盖Web安全漏洞分析、内网渗透技术、红蓝对抗实战演练、渗透测试方法论等攻防一体实践内容。提供从攻击到防御的完整安全研究体系。
MCP 工具输出泄密：你的 settings 工具正在把密钥喂给模型 MCP 工具输出泄密：你的 settings 工具正在把密钥喂给模型 没有攻击者、没有零日：工程师按文档连接 AI Agent，Agent 调用一次普通的 settings 工具，密钥就进了模型上下文。从 Workloft Labs 披露的厂商事件与 ArcadeDB CVE-2026-67357 出发，分析 MCP 工具输出泄密这一'类'问题，附服务端脱敏代码与五分钟自查清单。 PFinal南丞 9小时前 ai · security · mcp PFinal南丞 9小时前 ai · security · mcp
MCP 工具输出泄密：你的 settings 工具正在把密钥喂给模型
MCP 工具输出泄密：你的 settings 工具正在把密钥喂给模型
没有攻击者、没有零日：工程师按文档连接 AI Agent，Agent 调用一次普通的 settings 工具，密钥就进了模型上下文。从 Workloft Labs 披露的厂商事件与 ArcadeDB CVE-2026-67357 出发，分析 MCP 工具输出泄密这一'类'问题，附服务端脱敏代码与五分钟自查清单。
CVE-2026-61560：一个 MCP 默认配置如何变成 GitLab 账号接管链 CVE-2026-61560：一个 MCP 默认配置如何变成 GitLab 账号接管链 @zereight/mcp-gitlab 的 CVE-2026-61560（CVSS 9.8）：未认证 SSE 传输 + 未过滤的 file_path 参数 + 进程内 GitLab 凭据，三环叠加实现完整账号接管。逐环拆解利用链，并给出自建 MCP 服务器的加固清单。 PFinal南丞 9小时前 security · ai · mcp · gitlab PFinal南丞 9小时前 security · ai · mcp · gitlab
CVE-2026-61560：一个 MCP 默认配置如何变成 GitLab 账号接管链
CVE-2026-61560：一个 MCP 默认配置如何变成 GitLab 账号接管链
@zereight/mcp-gitlab 的 CVE-2026-61560（CVSS 9.8）：未认证 SSE 传输 + 未过滤的 file_path 参数 + 进程内 GitLab 凭据，三环叠加实现完整账号接管。逐环拆解利用链，并给出自建 MCP 服务器的加固清单。
Rust Miri 缓存泄密事件：你的 CI 缓存正在替 PR 偷 secrets Rust Miri 缓存泄密事件：你的 CI 缓存正在替 PR 偷 secrets Rust 安全响应团队 9 月 21 日披露 Miri 将全部环境变量写入 target/，配合 GitHub Actions 缓存的读权限模型，PR 可读取 main 分支 CI 中的 secrets。拆解攻击链、官方修复方案与四条快速止血路径。 PFinal南丞 9小时前 security · rust · devops PFinal南丞 9小时前 security · rust · devops
Rust Miri 缓存泄密事件：你的 CI 缓存正在替 PR 偷 secrets
Rust Miri 缓存泄密事件：你的 CI 缓存正在替 PR 偷 secrets
Rust 安全响应团队 9 月 21 日披露 Miri 将全部环境变量写入 target/，配合 GitHub Actions 缓存的读权限模型，PR 可读取 main 分支 CI 中的 secrets。拆解攻击链、官方修复方案与四条快速止血路径。
Rust 正在接管 Agent 基础设施：从 Codex CLI 到 Kitesurf 的 substrate shift Rust 正在接管 Agent 基础设施：从 Codex CLI 到 Kitesurf 的 substrate shift 2026 年，Microsoft、OpenAI、Cloudflare、Vercel 不约而同把 Agent 基础设施押注在 Rust 上。本文解析这一 substrate shift 背后的技术原因：内存压力、沙箱安全、供应链攻击面，以及 Agent 协议栈三层中 Rust 正在接管 runtime infrastructure 层的具体证据。 PFinal南丞 22小时前 ai · agent · rust · infrastructure · performance PFinal南丞 22小时前 ai · agent · rust · infrastructure · performance
Rust 正在接管 Agent 基础设施：从 Codex CLI 到 Kitesurf 的 substrate shift
Rust 正在接管 Agent 基础设施：从 Codex CLI 到 Kitesurf 的 substrate shift
2026 年，Microsoft、OpenAI、Cloudflare、Vercel 不约而同把 Agent 基础设施押注在 Rust 上。本文解析这一 substrate shift 背后的技术原因：内存压力、沙箱安全、供应链攻击面，以及 Agent 协议栈三层中 Rust 正在接管 runtime infrastructure 层的具体证据。
CVE-2026-94127 深度分析：F5 BIG-IP APM OAuth 堆溢出 RCE 与 CISA KEV 应急响应 CVE-2026-94127 深度分析：F5 BIG-IP APM OAuth 堆溢出 RCE 与 CISA KEV 应急响应 2026 年 9 月 22 日，F5 披露并修复 BIG-IP APM 关键漏洞 CVE-2026-94127：当虚拟服务器同时配置 APM access policy 与 OAuth profile 时，未经认证的远程攻击者可通过堆溢出实现 RCE。CISA 同日将其加入 KEV 目录。本文解析漏洞条件、攻击面、检测方法与修复策略。 PFinal南丞 23小时前 security · offensive · cve · network-security · oauth PFinal南丞 23小时前 security · offensive · cve · network-security · oauth
CVE-2026-94127 深度分析：F5 BIG-IP APM OAuth 堆溢出 RCE 与 CISA KEV 应急响应
CVE-2026-94127 深度分析：F5 BIG-IP APM OAuth 堆溢出 RCE 与 CISA KEV 应急响应
2026 年 9 月 22 日，F5 披露并修复 BIG-IP APM 关键漏洞 CVE-2026-94127：当虚拟服务器同时配置 APM access policy 与 OAuth profile 时，未经认证的远程攻击者可通过堆溢出实现 RCE。CISA 同日将其加入 KEV 目录。本文解析漏洞条件、攻击面、检测方法与修复策略。
Go 1.28 提案解读：cgo 无需 C 工具链，AI/GPU 库调用迎来架构级松绑 Go 1.28 提案解读：cgo 无需 C 工具链，AI/GPU 库调用迎来架构级松绑 2026 年 9 月，Go 核心开发者 Matloob 提交提案 #81450，计划让 cgo 在调用预编译 C 库时摆脱 C 工具链依赖。本文解析其 binding 文件机制、C ABI trampoline 原理、runtime/cgo 改写路径，以及对 Go 调用 CUDA/ROCm/TensorRT 等 AI-GPU 库的现实意义。 PFinal南丞 23小时前 golang · go-1-28 · cgo · compiler · ai-infrastructure PFinal南丞 23小时前 golang · go-1-28 · cgo · compiler · ai-infrastructure
Go 1.28 提案解读：cgo 无需 C 工具链，AI/GPU 库调用迎来架构级松绑
Go 1.28 提案解读：cgo 无需 C 工具链，AI/GPU 库调用迎来架构级松绑
2026 年 9 月，Go 核心开发者 Matloob 提交提案 #81450，计划让 cgo 在调用预编译 C 库时摆脱 C 工具链依赖。本文解析其 binding 文件机制、C ABI trampoline 原理、runtime/cgo 改写路径，以及对 Go 调用 CUDA/ROCm/TensorRT 等 AI-GPU 库的现实意义。
Golang 开发技术专题 2026 - 从入门到精通的实战指南 Golang 开发技术专题 2026 - 从入门到精通的实战指南 Golang开发技术专题：从基础语法到高级架构设计，涵盖微服务、并发编程、性能优化等核心主题。2026年最新Golang开发实践指南。 PFinal南丞 23小时前 golang · dev PFinal南丞 23小时前 golang · dev
Golang 开发技术专题 2026 - 从入门到精通的实战指南
Golang 开发技术专题 2026 - 从入门到精通的实战指南
Golang开发技术专题：从基础语法到高级架构设计，涵盖微服务、并发编程、性能优化等核心主题。2026年最新Golang开发实践指南。
PHP 开发技术专题 2026 - 从入门到精通的实战指南 PHP 开发技术专题 2026 - 从入门到精通的实战指南 PHP开发技术专题：从基础语法到框架应用，涵盖Laravel、ThinkPHP、Yii等主流框架，数据库操作、API开发、性能优化等内容。2025年最新PHP开发实践指南。 PFinal南丞 1天前 php · dev PFinal南丞 1天前 php · dev
PHP 开发技术专题 2026 - 从入门到精通的实战指南
PHP 开发技术专题 2026 - 从入门到精通的实战指南
PHP开发技术专题：从基础语法到框架应用，涵盖Laravel、ThinkPHP、Yii等主流框架，数据库操作、API开发、性能优化等内容。2025年最新PHP开发实践指南。
Go MCP SDK CVE-2026-34742：localhost 服务器默认裸奔——一个 Host 头校验为何值得 7.6 分 Go MCP SDK CVE-2026-34742：localhost 服务器默认裸奔——一个 Host 头校验为何值得 7.6 分 官方 modelcontextprotocol/go-sdk 在 1.4.0 之前默认不开启 DNS rebinding 防护：跑在 localhost 上的无认证 HTTP MCP 服务器可被恶意网站借浏览器同源策略的盲区直接调用工具、读取资源。拆解修复 PR #760 的实现——LocalAddrContextKey 运行时探测 + Host 头 403 校验 + 显式 opt-out——以及反向代理场景下的踩坑点。 PFinal南丞 2天前 golang · mcp · security · CVE · dns-rebinding PFinal南丞 2天前 golang · mcp · security · CVE · dns-rebinding
Go MCP SDK CVE-2026-34742：localhost 服务器默认裸奔——一个 Host 头校验为何值得 7.6 分
Go MCP SDK CVE-2026-34742：localhost 服务器默认裸奔——一个 Host 头校验为何值得 7.6 分
官方 modelcontextprotocol/go-sdk 在 1.4.0 之前默认不开启 DNS rebinding 防护：跑在 localhost 上的无认证 HTTP MCP 服务器可被恶意网站借浏览器同源策略的盲区直接调用工具、读取资源。拆解修复 PR #760 的实现——LocalAddrContextKey 运行时探测 + Host 头 403 校验 + 显式 opt-out——以及反向代理场景下的踩坑点。
StyleSmuggler CVE-2026-75650：Magento CVSS 10.0 零日在野利用——模板注入、Rust 后门与 50 分钟攻破实录 StyleSmuggler CVE-2026-75650：Magento CVSS 10.0 零日在野利用——模板注入、Rust 后门与 50 分钟攻破实录 Adobe Commerce / Magento Open Source 模板引擎注入零日 CVE-2026-75650：无需认证、CVSS 3.1 满分 10.0、范围改变（S:C），Sansec 9 月 4 日捕获在野利用，攻击者投放 Rust Linux 后门与 PHP Web Shell，一台托管 Magento 服务器在首例确认利用后 50 分钟沦陷。Adobe 9/7 发布 Priority 1 热修 VULN-39341 并要求轮换加密密钥，CISA 9/8 收入 KEV。拆解攻击链与 PHP 模板注入防御清单。 PFinal南丞 2天前 php · security · CVE · magento · ecommerce · KEV PFinal南丞 2天前 php · security · CVE · magento · ecommerce · KEV
StyleSmuggler CVE-2026-75650：Magento CVSS 10.0 零日在野利用——模板注入、Rust 后门与 50 分钟攻破实录
StyleSmuggler CVE-2026-75650：Magento CVSS 10.0 零日在野利用——模板注入、Rust 后门与 50 分钟攻破实录
Adobe Commerce / Magento Open Source 模板引擎注入零日 CVE-2026-75650：无需认证、CVSS 3.1 满分 10.0、范围改变（S:C），Sansec 9 月 4 日捕获在野利用，攻击者投放 Rust Linux 后门与 PHP Web Shell，一台托管 Magento 服务器在首例确认利用后 50 分钟沦陷。Adobe 9/7 发布 Priority 1 热修 VULN-39341 并要求轮换加密密钥，CISA 9/8 收入 KEV。拆解攻击链与 PHP 模板注入防御清单。
BragJack：一个广告拦截级权限的扩展，劫持了五大浏览器的 AI Agent——Prompt Forcing 为什么比提示注入更可怕 BragJack：一个广告拦截级权限的扩展，劫持了五大浏览器的 AI Agent——Prompt Forcing 为什么比提示注入更可怕 Forever Security 研究员 Gal Weizman 披露 BragJack：仅凭 declarativeNetRequest 这一个广告拦截器最常用的权限，同一份 manifest 劫持了 Chrome Gemini Live、Perplexity Comet、Edge Copilot、Opera Neon、Claude in Chrome 五个浏览器 AI Agent。核心是 DiNneR Serving——DNR 削弱 CSP 头 + 重定向 JS 资源，把代码送进特权上下文；再配合 Prompt Forcing 直接接管 Agent 输入通道。累计赏金约 2 万美元，2 个 CVE。EDR 检测不了用英文写的攻击。 PFinal南丞 2天前 security · ai · browser · agent-security · cve PFinal南丞 2天前 security · ai · browser · agent-security · cve
BragJack：一个广告拦截级权限的扩展，劫持了五大浏览器的 AI Agent——Prompt Forcing 为什么比提示注入更可怕
BragJack：一个广告拦截级权限的扩展，劫持了五大浏览器的 AI Agent——Prompt Forcing 为什么比提示注入更可怕
Forever Security 研究员 Gal Weizman 披露 BragJack：仅凭 declarativeNetRequest 这一个广告拦截器最常用的权限，同一份 manifest 劫持了 Chrome Gemini Live、Perplexity Comet、Edge Copilot、Opera Neon、Claude in Chrome 五个浏览器 AI Agent。核心是 DiNneR Serving——DNR 削弱 CSP 头 + 重定向 JS 资源，把代码送进特权上下文；再配合 Prompt Forcing 直接接管 Agent 输入通道。累计赏金约 2 万美元，2 个 CVE。EDR 检测不了用英文写的攻击。
AI 代码 Slop 终于有了数字：Earendil 的 Verbosity 与 Erosion 指标，Agent 写的代码比人类啰嗦一倍、腐化一倍 AI 代码 Slop 终于有了数字：Earendil 的 Verbosity 与 Erosion 指标，Agent 写的代码比人类啰嗦一倍、腐化一倍 Earendil 9 月 10 日发布量化指标：Agent 生成代码的 verbosity（0.33 vs 0.15）与 erosion（0.68 vs 0.31）均为人类仓库两倍。SlopCodeBench 多轮上下文擦除评测下，SOTA 模型严格通过率为 0%。本文拆解两个指标的数学定义、AST-Grep 实现、为什么 LLM-as-judge 行不通，以及 Anthropic Boris Cherny 的生产级应对清单。 PFinal南丞 3天前 ai · agent · code-quality · benchmark · slopcodebench · ast · engineering PFinal南丞 3天前 ai · agent · code-quality · benchmark · slopcodebench · ast · engineering
AI 代码 Slop 终于有了数字：Earendil 的 Verbosity 与 Erosion 指标，Agent 写的代码比人类啰嗦一倍、腐化一倍
AI 代码 Slop 终于有了数字：Earendil 的 Verbosity 与 Erosion 指标，Agent 写的代码比人类啰嗦一倍、腐化一倍
Earendil 9 月 10 日发布量化指标：Agent 生成代码的 verbosity（0.33 vs 0.15）与 erosion（0.68 vs 0.31）均为人类仓库两倍。SlopCodeBench 多轮上下文擦除评测下，SOTA 模型严格通过率为 0%。本文拆解两个指标的数学定义、AST-Grep 实现、为什么 LLM-as-judge 行不通，以及 Anthropic Boris Cherny 的生产级应对清单。
1 Broot 终端文件管理器实战 2026：Rust 写的命令行导航神器，替代 tree + cd 2025-10-15
2 Tmux 快捷键完整指南 2026：30 个命令从入门到高效远程开发 2022-03-13
3 Go 构建远程存储MCP服务器实战 2025-07-01
4 Go 终端小工具进阶 - 天气/归属地/MD5 等实用命令开发实战 2024-03-05
5 Go 终端小工具开发 2023：5 个实战项目从零构建完整 CLI 工具集 2023-11-09
6 Go 零拷贝读取器实战与原理解析 2025-07-03
7 VS Code 中 MCP 服务器的开发者快速入门 2025-07-02
8 Golang 10 个效率工具 2026 - 代码管理到性能优化实战 2024-11-09
9 Golang gopsutil 使用指南 - CPU/内存/磁盘/网络指标获取实战 2024-09-09
structured-logging
password-manager
reinforcement-learning
agent-lightning
interoperability
function-calling
memory-poisoning
prompt-injection
ai-coding-tools
context-engineering
prompt-engineering
spec-driven-development
harness-engineering
agent-framework
durable-execution
human-in-the-loop
cost-optimization
Vector-Database
Platform Engineering
Component-Model
service-discovery
circuit-breaker
reactive-programming
penetration-testing
incident-response
Prompt Engineering
vector-database
Function Calling
memory-management
memory-allocation
standard-library
ai-infrastructure
distributed-tracing
web-development
distributed-lock
Protocol Buffers
desktop development
essential tools
language-design
static-analysis
language-engineering
functional-programming
language-features
session-security
dependency-injection
high-concurrency
machine-learning
fault-tolerance
systems-programming
row level security
kata-containers
platform-engineering
semantic-search
vulnerabilities
threat-intelligence
request-smuggling
hardware-wallet
vulnerability-research
container-security
authentication-bypass
privilege-escalation
deserialization
campaign-classic
marketing-automation
workflow-engine
orkes-conductor
nightmare-eclipse
phantom-join-key
network-security
credential-theft
internal-pentest
active-directory
lateral-movement
offensive-security
package-registry
agentic-browsing-audits
defensive-security
memory-amplification
nvidia-nemoclaw
account-takeover
autonomous-attack
credential-stealer
Context Engineering
game-development
software-engineering