Notes131 篇
速记
轻量工程笔记专栏。只写可核实的工程 / 产品事实与可执行要点;与 Blog 管线分离,博客公开发布仍关闭。
- 2026-10-16约 828 字
Spec 驱动开发:用验收标准替换模糊 Prompt
规格与 Definition of Done 让 Agent 可验证;真用户流 / E2E 优于「测试被改绿」。
阅读 → - 2026-10-16约 934 字
最小 Runbook:告警到行动
每条告警对应:影响、排查、缓解、升级。
阅读 → - 2026-10-16约 931 字
多 Agent 并行任务编排:拆分、汇总与边界
把大任务拆成并行线程、汇总进度与产物;用规则文件、权限边界和用量控制管住工程风险。
阅读 → - 2026-10-16约 856 字
MCP:给 Agent 用的工具协议(白话)
Model Context Protocol 让模型按约定调用外部工具;和浏览器本地小工具如何分工。
阅读 → - 2026-10-16约 825 字
LLM / Agent 成本与 FinOps:可执行控制清单
token、空转子任务与模型路由如何推高账单;一份可落地的成本控制清单。
阅读 → - 2026-10-16约 815 字
前端状态机 + AI 生成:用显式转移代替散落 Boolean
明确状态与转移提升可测试性;让 AI 生成 UI 逻辑时少制造互斥 bug。
阅读 → - 2026-10-16约 600 字
校验分层:边缘到领域
语法校验在边缘;业务不变量在领域层。
阅读 → - 2026-10-16约 833 字
Cloudflare cf CLI 与静态 Pages 部署
用官方 CLI / API 做静态站 Direct Upload,和 0xKEV 自己的发布路径怎么对齐。
阅读 → - 2026-10-16约 902 字
Agent 沙箱 vs 完整 VM:隔离、成本与本地工具调用
临时沙箱、轻量运行时与完整虚拟机如何取舍;怎样把本地工具调用做得更安全。
阅读 → - 2026-10-16约 837 字
Agent 编码环境:文件系统与并行 I/O 吞吐
多 Agent 并行时,文件系统布局与环境选择如何影响吞吐;工程向优化清单。
阅读 → - 2026-10-16约 813 字
给 AI 编码助手数据库权限:最小特权
助手若持有生产写权限,误操作成本极高;用只读账号与本地工具降低风险。
阅读 → - 2026-10-15约 945 字
重试加抖动:避免雷群
同步重试会对齐打下游;加随机抖动。
阅读 → - 2026-10-15约 938 字
文档即代码:Markdown 进仓库
规格与 Runbook 和代码同审;预览后再合。
阅读 → - 2026-10-14约 626 字
错误预算思维:发布节奏
可靠性与速度权衡;用可测指标约束发布。
阅读 → - 2026-10-14约 942 字
舱壁隔离:线程池分开
关键与非关键调用隔离资源,避免互相拖死。
阅读 → - 2026-10-13约 606 字
特性开关:清理与爆炸半径
开关长期不清会变成永久分支地狱。
阅读 → - 2026-10-13约 941 字
熔断:快失败保护自己
下游持续失败时停止调用,一段时间再试探。
阅读 → - 2026-10-12约 942 字
超时处处设:客户端到依赖
无超时的调用会占满线程/连接。
阅读 → - 2026-10-12约 607 字
限流:返回头与退避
429 与 Retry-After;客户端指数退避。
阅读 → - 2026-10-11约 949 字
输入大小限制:防内存打爆
上传与 JSON 体设上限;流式处理大文件。
阅读 → - 2026-10-11约 608 字
幂等键:支付与重试
网络重试导致重复副作用;用幂等键去重。
阅读 → - 2026-10-10约 932 字
安全响应头基线
X-Content-Type-Options、Referrer-Policy 等一揽子。
阅读 → - 2026-10-10约 614 字
API 分页:offset 与游标
深分页性能差时改游标;约定稳定排序。
阅读 → - 2026-10-09约 602 字
表单无障碍:标签与错误提示
label 关联、错误文案、焦点顺序是基础。
阅读 → - 2026-10-09约 939 字
404 监控:发现死链与攻击探测
高频 404 可能是坏内链或扫描;分开看。
阅读 → - 2026-10-08约 932 字
边缘重定向:_redirects 维护
旧文档路径 301 到新 IA;避免链断裂。
阅读 → - 2026-10-08约 610 字
设计令牌:色板与间距统一
CSS 变量集中管理,暗色/亮色切换更稳。
阅读 → - 2026-10-07约 948 字
前端加载态:避免空白闪烁
骨架屏与禁用重复提交;状态机优于多布尔。
阅读 → - 2026-10-07约 943 字
CDN 刷新策略:精準优于全站
只刷新变更路径,减少回源风暴。
阅读 → - 2026-10-06约 608 字
模型路由:贵模型用在刀刃上
分类与格式化走小模型;难推理再升级。
阅读 → - 2026-10-06约 605 字
日志保留:热温冷与成本
全量热存很贵;分级保留。
阅读 → - 2026-10-05约 948 字
云成本标签:分摊到团队
资源打标签才能做账;未标记即未知成本。
阅读 → - 2026-10-05约 637 字
提示注入卫生:不信任外部文本
网页/邮件内容可能含指令;工具层强制策略。
阅读 → - 2026-10-04约 943 字
容量规划轻量法:先测瓶颈
垂直加机器前先找瓶颈资源。
阅读 → - 2026-10-04约 624 字
Agent 工具白名单:默认拒绝
只暴露必要工具;写操作二次确认。
阅读 → - 2026-10-03约 603 字
值班交接:最小信息包
进行中事件、风险变更、联系人一次交清。
阅读 → - 2026-10-03约 622 字
CI 密钥扫描:提交前拦截
防 API Key、私钥进 Git;钩子与扫描并用。
阅读 → - 2026-10-02约 943 字
复盘模板:时间线与改进
无指责复盘;改进行动要有主人与日期。
阅读 → - 2026-10-02约 627 字
CI 缓存与确定性构建
缓存加速要对;污染缓存会导致「只在 CI 挂」。
阅读 → - 2026-10-01约 610 字
指标与 SLI:别只堆平均线
延迟看分位;错误率与饱和度一起看。
阅读 → - 2026-10-01约 939 字
蓝绿部署概念与库变更注意
两套环境切换;共享数据库时仍要兼容迁移。
阅读 → - 2026-09-30约 949 字
结构化日志:字段约定
JSON 行日志便于检索;先定字段字典再打。
阅读 → - 2026-09-30约 947 字
防抖节流:输入与滚动
搜索输入防抖;滚动节流;别堵主线程。
阅读 → - 2026-09-30约 606 字
金丝雀发布:小流量验证
先放部分流量,看错误率再全量。
阅读 → - 2026-09-29约 605 字
Shell 引号与空格:脚本防呆
未引号变量遇空格会裂词;管道与 xargs 也要小心。
阅读 → - 2026-09-29约 923 字
API 语义化版本:兼容承诺
主版本破坏兼容;先行版标明不稳定。
阅读 → - 2026-09-29约 937 字
焦点可见:键盘用户友好
去掉轮廓时提供 :focus-visible 样式。
阅读 → - 2026-09-28约 938 字
OpenAPI 契约优先
先定契约再生成客户端;减少口头对接。
阅读 → - 2026-09-28约 948 字
Linux 权限:chmod 符号与数字
脚本可执行位与密钥文件 mode 是基础卫生。
阅读 → - 2026-09-28约 939 字
暗色模式测试清单
对比度、边框、阴影在浅/深两套都要看。
阅读 → - 2026-09-27约 942 字
文案结构:中英键与占位
翻译键稳定;插值防注入。
阅读 → - 2026-09-27约 943 字
GraphQL 复杂度与深度限制
防恶意嵌套查询打爆后端。
阅读 → - 2026-09-27约 934 字
Cookie 安全标志:HttpOnly / Secure / SameSite
会话 Cookie 属性配错会导致窃取或跨站发送。
阅读 → - 2026-09-26约 946 字
WebSocket:心跳与重连
长连接需要心跳检测半开;指数退避重连。
阅读 → - 2026-09-26约 949 字
静态站客户端搜索索引
构建生成 search-index.json;控制体积。
阅读 → - 2026-09-26约 600 字
Content-Type 与 MIME:上传下载一致性
错误 MIME 导致浏览器当下载或脚本误执行风险。
阅读 → - 2026-09-25约 940 字
前端分页 UI:与 API 契约对齐
页码与游标模式别混;加载更多模式。
阅读 → - 2026-09-25约 936 字
条件请求:ETag 与 304
省带宽的协商缓存;正确算校验子。
阅读 → - 2026-09-25约 638 字
CORS 与预检:前端联调清单
本地开发跨源失败时,先分清简单请求与预检。
阅读 → - 2026-09-24约 938 字
N+1 查询:识别与修复
循环里查库是性能杀手;改为批量或连接。
阅读 → - 2026-09-24约 612 字
HTTP 缓存头:Cache-Control 实务
静态资产与 API 的缓存策略分开设计。
阅读 → - 2026-09-24约 931 字
客户端 SDK:默认重试要克制
库默认疯狂重试会放大故障;可配置。
阅读 → - 2026-09-23约 620 字
数据库角色分层:只读、迁移、应用
应用账号、迁移账号、人肉 DBA 账号分离。
阅读 → - 2026-09-23约 938 字
连接池:大小与超时
池过大打垮数据库;过小排队。
阅读 → - 2026-09-23约 938 字
API 网关超时与体大小
网关、进程、下游三级超时对齐。
阅读 → - 2026-09-22约 613 字
只读副本:延迟意识
读自己刚写的数据可能读到旧值;会话一致性策略。
阅读 → - 2026-09-22约 935 字
单仓与多仓:工程权衡
共享与独立发布的取舍;无绝对正确答案。
阅读 → - 2026-09-22约 633 字
备份恢复演练:只谈工程节奏
有备份不等于能恢复;定期演练与校验和。
阅读 → - 2026-09-21约 946 字
提交签名:可选增强
签名提交提高审计性;密钥保管是前提。
阅读 → - 2026-09-21约 625 字
执行计划与索引:基础阅读法
慢查询先看扫描类型与过滤率;索引不是越多越好。
阅读 → - 2026-09-21约 607 字
迁移扩展-收缩:零/低停机
先加兼容列与双写,再切换,后删旧。
阅读 → - 2026-09-20约 601 字
队列重试:退避与死信
毒消息别无限重试;进死信人工看。
阅读 → - 2026-09-20约 616 字
连接串解析:环境辨认
主机、库名、用户角色看清再连;防连错生产。
阅读 → - 2026-09-20约 949 字
分支保护:主线质量门禁
必检通过、限制强推、要求审查。
阅读 → - 2026-09-19约 629 字
WHERE 子句安全:批量更新前检查
UPDATE/DELETE 无 WHERE 是经典事故;清单化预防。
阅读 → - 2026-09-19约 604 字
健康检查:存活与就绪
liveness 与 readiness 分离,避免自杀循环。
阅读 → - 2026-09-19约 925 字
CODEOWNERS:审查责任
关键路径指定审查人,避免无人看。
阅读 → - 2026-09-18约 609 字
SQL 格式化:评审与防呆
长 SQL 先格式化再读;关键变更配合 explain 与备份。
阅读 → - 2026-09-18约 932 字
轻量 RFC:跨团队改动
先写提案再写代码;收集意见有窗口。
阅读 → - 2026-09-18约 603 字
优雅停机:连接排空
发布时给旧进程时间结束请求,再杀。
阅读 → - 2026-09-17约 619 字
TOTP 二次验证:密钥保管与时钟
时间型 OTP 依赖共享密钥与时钟偏差容忍。
阅读 → - 2026-09-17约 612 字
时间:墙钟与单调钟
测耗时用单调钟;调度用 NTP 同步墙钟。
阅读 → - 2026-09-17约 926 字
架构决策记录 ADR
重要决策写一页:上下文、决定、后果。
阅读 → - 2026-09-16约 608 字
SVG 与光栅图选型
图标用 SVG;复杂照片用光栅+压缩。
阅读 → - 2026-09-16约 945 字
pre-commit:快反馈
提交前 lint/格式化/密钥扫描。
阅读 → - 2026-09-16约 638 字
口令与 Diceware:本地生成习惯
高熵口令本地生成;勿用不可信在线「生成器」传真口令。
阅读 → - 2026-09-15约 622 字
ID 选型:UUID / ULID / NanoID
主键与对外 id 的可读性、排序与泄露面权衡。
阅读 → - 2026-09-15约 947 字
localStorage 配额与敏感数据
浏览器本地存储有配额;勿存密钥明文。
阅读 → - 2026-09-15约 935 字
EditorConfig:缩进战争停火
统一缩进与换行,减少无意义 Diff。
阅读 → - 2026-09-14约 620 字
Service Worker 慎用清单
缓存策略配错会「改不掉旧站」;要有注销路径。
阅读 → - 2026-09-14约 940 字
Makefile/任务入口:统一命令
onboard 靠 make test / make lint;减少文档漂移。
阅读 → - 2026-09-14约 624 字
Cron 表达式:时区与夏令时陷阱
定时任务写错时区会导致「偶发」故障;先本地解释再上线。
阅读 → - 2026-09-13约 923 字
多阶段构建:最终镜像瘦身
构建工具留在中间阶段;运行镜像只含产物。
阅读 → - 2026-09-13约 606 字
字体加载:swap 与子集
自定义字体阻塞文本;font-display 与子集化。
阅读 → - 2026-09-13约 633 字
用 Diff 做补丁评审:可读性习惯
大改前提取焦点 Diff;忽略噪音,盯住契约与边界。
阅读 → - 2026-09-12约 632 字
正则校验边界:锚点、贪婪与拒绝服务
输入校验用正则时注意灾难性回溯与 Unicode。
阅读 → - 2026-09-12约 600 字
图片性能:尺寸与懒加载
过大图片拖慢 LCP;提供合适宽度。
阅读 → - 2026-09-12约 941 字
Docker 层缓存:指令顺序
少变层放前面;依赖安装与代码拷贝分离。
阅读 → - 2026-09-11约 945 字
安装脚本卫生:ignore scripts 场景
依赖生命周期脚本有供应链风险;CI 可收紧。
阅读 → - 2026-09-11约 638 字
哈希校验:下载完整性与去重
发布产物附校验和;本地重算比对,防截断与篡改误用。
阅读 → - 2026-09-11约 944 字
静态压缩:Gzip/Brotli 与体积
文本资源预压缩或边缘压缩,注意双重压缩。
阅读 → - 2026-09-10约 941 字
压缩炸弹意识
解压前看声明大小与压缩比;流式与上限。
阅读 → - 2026-09-10约 628 字
URL 编码与表单:+ 空格与百分号
querystring 互操作坑;先本地编码再拼请求。
阅读 → - 2026-09-10约 610 字
日志脱敏:字段级策略
手机号、令牌、口令在出日志前打码。
阅读 → - 2026-09-09约 608 字
YAML/JSON 配置漂移:如何对齐环境
多环境配置复制导致漂移;用可diff的规范格式与清单。
阅读 → - 2026-09-09约 945 字
密钥注入:环境变量与文件
十二要素:配置出代码;注意进程列表泄露。
阅读 → - 2026-09-09约 930 字
CSV 注入:表格导出注意
单元格以 =/+/-/@ 开头可能被表格软件当公式。
阅读 → - 2026-09-08约 937 字
Unicode 正规化:比较前统一
同一外观字符可能码点不同;NFKC 等策略。
阅读 → - 2026-09-08约 939 字
SSRF 意识:服务端请求白名单
用户提供 URL 由服务器去抓时,限制内网与协议。
阅读 → - 2026-09-08约 626 字
JSON 结构先辨形:嵌套、数组与空值
Agent 或脚本处理 JSON 前,先格式化并标出可空字段。
阅读 → - 2026-09-07约 612 字
SQL 注入防御:参数化绑定
拼接用户输入是根因;一律参数化。
阅读 → - 2026-09-07约 638 字
JWT 声明卫生:先看清再验签
解码 Payload 不等于验证;过期、受众与算法字段要分开处理。
阅读 → - 2026-09-07约 945 字
金额与整数:用最小货币单位
浮点算钱危险;用整数分/厘。
阅读 → - 2026-09-06约 934 字
XSS 防御:输出编码优先
按上下文编码;不要只靠输入黑名单。
阅读 → - 2026-09-06约 939 字
路径穿越:拼文件路径白名单
用户输入的文件名禁 ..;chroot 到允许目录。
阅读 → - 2026-09-06约 661 字
Base64 常见坑:填充、URL 安全与二进制
编解码失败多半是字母表或填充不一致;本地工具先验证再进脚本。
阅读 → - 2026-09-05约 642 字
静态站 Open Graph 与分享卡片
标题、描述、og 图如何在构建时注入,避免分享空白。
阅读 → - 2026-09-05约 934 字
邮件头注入意识
用户输入进 Subject/地址时过滤换行。
阅读 → - 2026-09-05约 945 字
内容安全策略 CSP 入门
限制脚本来源,缓解 XSS 影响面。
阅读 → - 2026-09-04约 603 字
证书到期:监控与续期节奏
HTTPS 证书过期是高可见故障;自动化续期+告警。
阅读 → - 2026-09-04约 663 字
静态站 robots.txt 与 sitemap 维护
搜索引擎入口文件怎么跟构建管线走;避免漏收新专栏。
阅读 → - 2026-09-04约 943 字
上传文件:类型与大小与存储
白名单扩展名;存非可执行区;病毒扫描可选。
阅读 → - 2026-09-03约 945 字
Webhook 签名校验
用 HMAC 验证来源;防重放加时间窗。
阅读 → - 2026-09-03约 698 字
自定义域挂 Pages:CNAME 与 HTTPS 要点
域名解析到 Pages 项目后,证书与缓存如何对齐;排障顺序。
阅读 → - 2026-09-03约 938 字
容器非 root:基础加固
镜像默认用户非 root;只读根文件系统可选手。
阅读 → - 2026-09-02约 604 字
SBOM 意识:知道自己在跑什么
生成软件物料清单,便于漏洞响应。
阅读 → - 2026-09-02约 936 字
PKCE:公共客户端 OAuth
移动/SPA 用 PKCE 降低拦截授权码风险。
阅读 → - 2026-09-02约 732 字
Pages Direct Upload 发版检查清单
JWT 上传、blake3 清单与部署成功态;发版前后自检避免半残站点。
阅读 → - 2026-09-01约 773 字
静态资源缓存破坏:?v= 与长哈希怎么选
发版后用户仍看到旧 CSS/JS,多半是缓存策略问题;用版本查询或内容哈希对齐。
阅读 → - 2026-09-01约 603 字
依赖锁定:可复现安装
锁文件提交;区分主版本升级与补丁。
阅读 → - 2026-09-01约 930 字
OAuth/JWT 与时钟偏差
exp 校验留 leeway;集群校时。
阅读 →