这里记录每周值得分享的科技内容，周五发布。 本杂志开源[1] ，欢迎投稿[2] 。周刊另有《谁在招人》[3] 服务，发布程序员招聘信息。合作推广请邮件联系[4] （yifeng.ruan@gmail.com[5] ）。封面图 上图是2022年世界旅行类摄影师比赛的获奖者。Najin 是非洲中部仅存的两头白犀牛之一，已经33岁了，为了保护它不被偷猎者杀害，肯尼亚政府专门为它安排了守卫。他们形影不离，中午一起在非洲大草原上休息。（via[6] ）本周话题：一次尴尬的服务器被黑 本周一凌晨（2月13日），我的个人网站服务器被黑了。 由于入侵者没有触发报警机制，我也没察觉。一觉醒过来，看到好多网友的邮件，让我快去看看网站，访问任何一个网页，都会跳转到 xxx 的外部网址，令人极度尴尬。 我查了一下服务器，发现果然如此。事态很严重，对方拿到了网页目录的写入权限，将我的所有 HTML 网页都删除了原始内容，写入了他的跳转代码window.onload=＂...＂。 但是，数据库没有遭到破坏，加上没有 SSH 的异常登录报警，因此我判断，对方没有拿到服务器的登录权限，只是利用了 Web 服务的漏洞。 我的第一感觉不是恐慌，也不是愤怒，而是无奈。担心已久的事情，终于发生了。 很多朋友知道，我的个人网站至少有10年没有修改过样式了。不是不想改，而是没法改，或者说改起来很麻烦。 原因是我的后台软件采用了早期著名博客软件 MovableType，它的历史比 WordPress 还要悠久。后者已经是老古董了，你就知道它有多老了。当然，这说明我也老了，当年选择它的时候，我还是学生。 MovableType 早就停止发展了，转让给了一个日本公司，所有用户都要缴费，才能收到代码补丁。我没缴费，所以我的个人网站的后台早就老化了。 软件老化本身不是大问题，只要还能正常运行，并且你也不需要新功能，那么就能平安无事地过下去。真正的问题是它的依赖都过时了。 它依赖的底层系统和组件，都严重过时。我试过把它迁移到新系统，结果各种报错，不得不一直运行在很老的系统上。 我一直知道老系统不安全，但是又不敢升级。担心的事情最终还是爆发了。 前两年，我已经被攻击过一次，当时心存侥幸，只做了一些服务器加固，还是没升级，直到现在。 这次被攻击，我就想如法炮制。网站有定期快照，被黑后，我回滚到最近一次快照，又改了一些服务器设置，星期一中午就把网站恢复上线了，心想最好这次也能蒙混过关。 但是，对方大概一直在线盯着我，上线一小时之内，又被一模一样地黑了。 这时，我知道大事不好，只能将网站再次下线。好在上次被攻击时，我做过一个临时公告页面，这次还能用，把域名指向它即可。 此后整整一天，我一筹莫展，做好了最坏打算，个人网站可能要长时间下线。在此期间，只能通过临时页面发布内容。 到了星期二下午，我越想越憋气，最后还是不死心，一咬牙决定升级服务器，死马当作活马医。 我一口气把底层系统和依赖组件，都升级到了最近的版本，整整装了一个多小时。这次很神奇，网站没有奇怪的报错，居然能正常运行。惊喜之余，我就把网站恢复上线了，到目前为止都是正常的。 说实话，我不肯定漏洞已经被修复了。如果接下来，服务器再次被黑，我就没辙了，只能长时间下线网站了，然后加快原本就打算今年要做的事情：自己重写博客架构，改成彻底的静态网站。 这次的教训有很多，如果大家也想做一个独立博客，我有两点建议。 （1）不要自己管理服务器。 服务器管理是一个非常繁琐的专门工种，如果不是专业的运维工程师，很难做好。退一步说，即使你拥有这方面的专业知识，也不值得把大量时间和精力投入在自己的博客服务器上。网络世界是一个黑暗森林，到处都有人向你打冷枪，防不胜防，解决方法就下一条。 （2）使用专业的云服务商。 现在大部分云服务器商，都有静态网站托管服务，把静态网页托管在它们那里，省时省心。如果你需要后端动态生成内容，那就使用云函数（叫做 FaaS），通过服务商提供的边缘计算、而不是你的主机自带的 CPU 算力。科技动态 1、老飞机的模拟飞行[7] 微软公司有一款著名的游戏《微软模拟飞行》，玩家可以模拟操纵各种飞机，在世界各地实景飞行，效果非常逼真。 游戏制作团队最近盯上了博物馆里面的老飞机，其中就有著名的休斯 H-4 大力神巨型水上运输机。 这是有史以来最大的飞机，跟足球场差不多大小。它只在1947年飞行过一次，短暂脱离水面数十秒，然后就放在仓库里，直到报废后移入博物馆。 微软公司把这架飞机搬入了游戏，玩家现在可以模拟驾驶它，体验一下这架传奇飞机的驾驶感受。下图就是游戏画面。 制作团队下一步准备把更多的老飞机搬入游戏，＂复活＂那些再也不可能上天的飞机。目前，已经完成了大约300架老飞机的扫描。 2、迪斯尼的年龄调整算法[8] 迪斯尼公司发布了一个影视专用的年龄调整算法，可以让演员变得更年轻或更年老。 这种算法可以让老年演员扮演年轻人，反之亦然。 现在的观众必须明白，你看到的一切都可能是假的。相貌可以美颜，年龄可以加减，背景可以绿幕，没有什么是做不到的。 3、儿童游乐场[9] 儿童游乐场通常都是一些传统设施，比如滑梯、秋千、双杠、跷跷板等。 一位新西兰建筑师认为，这些设施都没有乐趣，模仿大自然的环境才是更好的选择。 他就设计了一个类似野外环境的儿童游乐场。 游乐设施都搭建在巨石之上，但其实没有看起来那么危险，巨石都由钢棒进行固定，地面采用有弹性的橡胶地板，不会摔伤。 开张一个月以来，孩子们很爱玩，没有人受伤。 4、智能绷带[10] 传统绷带无法知道伤口愈合情况，有时解开绷带，才发现药物无效，伤口还在溃烂。 为了解决这个问题，一个国际研究团队开发了智能绷带。 这种智能绷带采用超薄、可弯曲的电路板，会自动侦测伤口愈合程度，根据细菌的繁殖情况释放抗生素或其他药物。 它带有无线模块传送数据，为了轻薄，它不带有电池，通过天线接收能量。 文章 1、Next、Nuxt、Nest的区别[11] （英文） Next.js、Nuxt、NestJS 是三个流行的 JS 框架，本文解释它们的区别。 2、为什么业界转向内存安全语言[12] （英文） 本文介绍大公司使用内存安全语言（Java、Rust 和 Kotlin）替代 C/C++ 的情况。 3、如何使用 360 相机生成航拍图像？[13] （英文） 作者介绍如何使用 OpenDroneMap 这个软件，为 360 相机拍摄的视频建模，合成为航拍视角的空间图像模型。 4、打造我的家庭办公环境[14] （英文） 作者详细介绍，自己怎么在家里布置一个舒适的电脑工作环境。 5、我如何以 SerenityOS 谋生[15] （英文） 作者是开源软件 SerenityOS 的作者，2021年开始，全职投入开源开发。他介绍自己怎么谋生。 6、我的个人 IT 基础设施[16] （英文） Mathematica 软件的创始人 Stephen Wolfram 介绍自己家里的 IT 基础设置，他常年在家办公。 他还自制了一个＂步行桌＂（上图），可以在散步的时候，使用笔记本电脑。 7、Playwright 如何绕过登录验证码[17] （英文） Playwright 是一个无头浏览器框架，可以编写脚本，对网站 UI 进行自动化测试。有些网站的登录，需要身份验证器的一次性验证码，怎么绕过去呢？ 8、使用 Ruby 语言理解网络堆栈[18] （英文） 本文使用 Ruby 语言示例，解释网络基本概念。第一部分解释 UDP 协议，写得很好。工具 1、Convex[19] 一个类似 Firebase 的状态管理服务，前端状态可以存在它的服务器上，然后你的所有客户端都可以得到状态的实时更新。 2、兔年定制头像[20] 上传照片，合成一张兔年头像，多种样式可选，代码开源[21] 。（@xiaoli1999[22] 投稿） 3、ElasticView[23] 一款 ElasticSearch 的桌面客户端，用来监控 ES 状态和操作。（ @lin2415016[24] 投稿） 4、RATH[25] 开源的数据分析和数据可视化工具，只需要导入数据，它自动进行数据分析，找出规律，生成可视化视图。（@AntoineYANG[26] 投稿） 5、tl-rtc-file-tool[27] 一个 Web 应用，演示了基于 WebRTC 的各种媒体流传输功能，代码开源[28] 。（@iamtsm[29] 投稿） 6、EasyNode[30] 简易的个人 Linux 服务器管理面板（基于Node.js），前后端都开源。（@chaos-zhu[31] 投稿） 7、vscode-gptcommit[32] VS Code 插件，使用 GPT 模型自动生成 Git 提交说明。（@pwwang[33] 投稿） 8、Tweek Calendar[34] 一个最简化的任务管理 Web App，非常简洁精美。 9、BetterDisplay[35] 一个开源的 MacOS 应用，可以精细调节苹果电脑的各种显示参数。 10、berty[36] 一个群聊应用，最大特点就是不需要互联网，通过低功耗蓝牙通信，很适合小范围内的现场广播。资源 1、Mastering Bitcoin[37] （第二版） 免费的英文电子书，介绍加密货币的原理。 2、satellite-track[38] 基于 Web 的卫星轨道可视化项目，可以查看不同类别的卫星，代码开源[39] 。（@jiangteng2019[40] 投稿） 3、tabler-icons[41] 这个网站提供免费的图标，目前有1900多个，所有图标都是统一风格，简单美观。 4、Some Assembly Required[42] 一份图文并茂的汇编语言英文介绍，针对零基础的初学者，半小时可以读完，并附有代码示例，以便进一步学习。 5、快速涂鸦[43] 一个谷歌推出的小游戏。系统告诉你一个词语（比如自行车、眼镜、轮船……），让你在网页上把它画出来。人工智能会猜测你画的是什么，只要猜对了，就说明你画得很像。图片 1、奥尔梅克头像[44] 1930年代，危地马拉发现了埋在地下的巨大头像，高度都在2米到3米。 考古学家认为，它们是古代奥尔梅克人制作的，时间大约距今3000年到5000年之前。 经过几十年的发掘，目前一共发现17个头像，现在都陈列在博物馆[45] 。 文摘 1、苹果收购 NeXT 的往事[46] 二十五年前的1996年12月20日，我在 NeXT 公司担任系统工程师。该公司是乔布斯在1985年创立的，我是该公司在加拿大仅有的三名员工之一。 当时我们都没有手机，公司给我们的大多数信息都通过一个叫做 Audix 的语音邮件系统传送。我们接受消息时，就拨打 1-800-345-5588 这个号码，收听语音邮箱里面的公司留言。 那天，我们突然收到了一条紧急消息，所有员工都必须在下午2点拨打这个号码，要公布一个重大事件。当时我正在街上，不得不到处寻找一个可靠的固定电话，最后找到了一个博物馆的付费电话。 到了下午2点，我们被告知 NeXT 已被苹果公司以4亿美元的价格收购。（事后回想，正确的说法应该是苹果付给 NeXT 4亿美元，让后者去收购自己。几年后，大约70%的苹果副总裁都来自 NeXT。） 我震惊了，没想到事情会这样。 当时，NeXT 公司其实很困难。创始人乔布斯似乎把所有的时间，都花在他的另一家公司 Pixar。虽然 NeXT 还有一些盈利，但主要来自销售 WebObjects（一个 Java 应用服务器）。乔布斯对外宣称的革命性新工作站和操作系统都实现不了，现在他只能靠销售价格为5万美元企业服务器软件维持公司，这一定让他感到很沮丧。 苹果公司似乎也陷入了死亡漩涡，并且已经非常接近资金枯竭。 苹果最感兴趣的是 NeXT 的 NeXTSTEP 操作系统，该操作系统最初与 NeXT 工作站一起提供，但已被移植到英特尔 CPU。说实话，我们在 NeXT 的人其实不怎么用这个系统。 NeXT 的每个人都不清楚这次合并是否会奏效，好在结果很不错。合并发生在苹果的历史低点，一旦乔布斯重新担任苹果 CEO，一场难以置信的技术和业务转变就开始发生了。 NeXT 的软件和硬件成为苹果一切产品的基础。NeXTSTEP 操作系统替代了 Mac OS，成为了 Mac OS X 的基础；NeXT 的 Project Builder 和 Interface Builder 变成了 Xcode；NeXT 对 Objective-C 语言的热爱最终创造了 Swift。 合并时，NeXT 大约有 400 名员工，而苹果只有几千人。今天，苹果有16万员工，我很好奇多少 NeXT 工作人员还留在苹果，我知道十几个，可能还有更多，会到100人吗？言论 1、 我是 React 用户，最让我烦恼的是，React 团队对开发者面对的实际问题，似乎一无所知，只关注一些不那么重要的事情。 他们设计了很多新的做法（比如事件处理、数据获取等等），确实可以更快地加载网页。但是让开发者关注这些东西，对于高级用途来说，这是完全错误的。 -- 《拯救 React》[47] 2、 领导者的作用不是行使权力，而是分配权力。 有效的领导者通过设定方向、确定人员（找到具有正确技能和背景的人）、授权他人、确保决策执行，来节省自己的时间，并扩大自己的影响。 -- 《我的创业箴言》[48] 3、 在程序员心中，他们认为自己是建筑师。当他们来到一个新地方，他们想做的第一件事就是推平这个地方，并建造一些宏伟的东西。 程序员对渐进式翻新不感兴趣：修修补补、改进、在花坛种上绿植……他们不想做这些事，他们总是想扔掉旧代码并重新开始，原因并非是认为旧代码一团糟，而是编程的一个基本法则：阅读代码比编写代码更难。 -- Joel Spolsky[49] 4、 开发 Chrome 浏览器时，有一次我们讨论，应该允许网页重定向多少次。有人提出设为10次，超过这个数字，Chrome 就会放弃加载网页。然后，另一个人说不行，必须设为30次，否则《纽约时报》网站就会停止工作。于是，Chrome 的重定向上限就是30次。 -- 《我在 Chrome 团队的10年》[50] 5、 曾经有一段时间，成为一名全栈开发人员是可能的，可以做到对中等复杂系统的每一层都有很好的熟悉度。 但是，今天的系统涉及太多的组件，想要掌握每个堆栈的每个组件，是不切实际的。正如一位开发者所说：＂程序员现在不得不在数百个 API 之间充当某种巨大的手动管理层。＂ -- 《更快的马》[51] 历史上的本周 你做过不在乎结果的项目吗？ （2022 No.195） 大家不出门，经济怎么办？ （2021 No.145） 漫游类的游戏，将会越来越多 （2020 No.93） 一篇好玩的论文 （2019 No.43）鸣谢 周刊得到国内新一代知识管理与协作平台 FlowUs[52] 的帮助，深表感谢。 FlowUS[53] = 文档 + 表格 + 网盘。你可以用它写文档、做主页、管理数据、存储文件等等。 每一期周刊同时发布在 FlowUs 专栏[54] ，欢迎大家也去开通自己的专栏和主页。 （完）References [1] 开源: https://github.com/ruanyf/weekly [2] 投稿: https://github.com/ruanyf/weekly/issues [3] 《谁在招人》: https://github.com/ruanyf/weekly/issues/2827 [4] 邮件联系: mailto:yifeng.ruan@gmail.com [5] yifeng.ruan@gmail.com: mailto:yifeng.ruan@gmail.com [6] via: https://www.tpoty.com/galleries/2022-winners/ [7] 老飞机的模拟飞行: https://www.yystv.cn/p/10140 [8] 迪斯尼的年龄调整算法: https://gizmodo.com/whats-next-arecibo-observatory-collapse-2-years-later-1849836610 [9] 儿童游乐场: https://www.core77.com/posts/117655/Artist-and-Structural-Engineer-Designs-Risky-Playground [10] 智能绷带: https://www.inverse.com/innovation/self-healing-bandage-wireless [11] Next、Nuxt、Nest的区别: https://www.twilio.com/blog/comparing-nextjs-nestjs-nuxt-gatsby [12] 为什么业界转向内存安全语言: https://www.darkreading.com/application-security/shift-memory-safe-languages-gains-momentum [13] 如何使用 360 相机生成航拍图像？: https://jakecoppinger.com/2022/12/creating-aerial-imagery-with-a-bike-helmet-camera-and-opendronemap/ [14] 打造我的家庭办公环境: https://arun.is/blog/desk-setup/ [15] 我如何以 SerenityOS 谋生: https://awesomekling.github.io/How-I-make-a-living-working-on-SerenityOS/ [16] 我的个人 IT 基础设施: https://writings.stephenwolfram.com/2019/02/seeking-the-productive-life-some-details-of-my-personal-infrastructure/ [17] Playwright 如何绕过登录验证码: https://blog.checklyhq.com/how-to-bypass-totp-based-2fa-login-flows-with-playwright/ [18] 使用 Ruby 语言理解网络堆栈: https://medium.com/geckoboard-under-the-hood/how-to-build-a-network-stack-in-ruby-f73aeb1b661b [19] Convex: https://www.convex.dev/ [20] 兔年定制头像: https://www.xiaoli.vip/rabbit/ [21] 开源: https://github.com/xiaoli1999/custom-rabbitImage [22] @xiaoli1999: https://github.com/ruanyf/weekly/issues/2898 [23] ElasticView: https://github.com/1340691923/ElasticView [24] @lin2415016: https://github.com/ruanyf/weekly/issues/2887 [25] RATH: https://github.com/Kanaries/Rath [26] @AntoineYANG: https://github.com/ruanyf/weekly/issues/2892 [27] tl-rtc-file-tool: https://im.iamtsm.cn/ [28] 开源: https://github.com/iamtsm/tl-rtc-file [29] @iamtsm: https://github.com/ruanyf/weekly/issues/2893 [30] EasyNode: https://github.com/chaos-zhu/easynode [31] @chaos-zhu: https://github.com/ruanyf/weekly/issues/2897 [32] vscode-gptcommit: https://github.com/pwwang/vscode-gptcommit [33] @pwwang: https://github.com/ruanyf/weekly/issues/2890 [34] Tweek Calendar: https://tweek.so/ [35] BetterDisplay: https://github.com/waydabber/BetterDisplay [36] berty: https://berty.tech/ [37] Mastering Bitcoin: https://github.com/bitcoinbook/bitcoinbook [38] satellite-track: https://jiangteng2019.github.io/satellite-track/ [39] 开源: https://github.com/jiangteng2019/satellite-track [40] @jiangteng2019: https://github.com/ruanyf/weekly/issues/2888 [41] tabler-icons: https://tabler-icons.io/ [42] Some Assembly Required: https://github.com/hackclub/some-assembly-required [43] 快速涂鸦: https://quickdraw.withgoogle.com/ [44] 奥尔梅克头像: https://www.miamighostchronicles.com/stranger-than-fiction/the-olmec-mystery [45] 博物馆: https://en.wikipedia.org/wiki/Olmec_colossal_heads [46] 苹果收购 NeXT 的往事: https://blog.hayman.net/blog/2021/12/20/apple-next-25-years-ago-today/ [47] 《拯救 React》: https://acko.net/blog/get-in-zoomer-we-re-saving-react/ [48] 《我的创业箴言》: https://hackernoon.com/optimize-for-alignment-not-control-great-leaders-serve-and-more-startup-mantras [49] Joel Spolsky: https://www.devshirt.club/developer-shirt/its-harder-to-read-code-than-to-write-it [50] 《我在 Chrome 团队的10年》: https://neugierig.org/software/blog/2022/12/chrome.html [51] 《更快的马》: https://redmonk.com/sogrady/2022/12/09/faster-horse/ [52] FlowUs: https://flowus.cn?promotionChannel=GW_RYF_01 [53] FlowUS: https://flowus.cn?promotionChannel=GW_RYF_01 [54] FlowUs 专栏: https://ruanyf-weekly.flowus.cn/?code=FLOWUS&promotionChannel=WX_RYF_00