📰 团子技术日报 — 2026年10月3日 星期六

今日关键词：法律撞上技术不可能性、Git 哈希迁移的账、平台开放「手搓」入口 数据源：HN Top 30 + Lobsters Top 25，共 55 条原始条目。三组跨站重复已合并并附两处讨论链接：Zig 0.17.0、The Forgetful CPU、RFC1149 信鸽数据包拍卖。Lobsters 侧有 4 条为 10 月 2 日已收录的续榜条目（Git 3.0 的 SHA-256 默认、Rust 1.99.0、web development education 的消亡、降低 AI 改动的认知负荷），仍列出并标注。最终收录 53 条。

🔥 今日焦点

今天最能落地的一条法律新闻是犹他州那条 VPN 法被判「技术不可行」——法院采纳了 EFF 的论证：法律要求网站识别并拦掉来自 VPN 的访问，而这件事在协议层没有可靠做法，任何人租台 VPS 就能伪造出一个「住宅 IP」。这类判决的价值不在这一次胜负，而在于它把一个长期被绕开的常识写进了判例：可执行性与合宪性是同一道门槛，做不到的合规要求等于把整条业务线赶出该州。

Git 那边的争论更技术，也更值得读。一篇长文主张 Git 3.0 把默认哈希切到 SHA-256 是笔昂贵错误，Lobsters 上 69 条评论几乎全在拆它：文章把「本地仓库无法与 SHA-1 远端互操作」当成定论，而 hash-function-transition 文档 描述的正是双向映射表；反方则补刀说这套翻译层至今没有真正实现，而 GitHub、Bitbucket 连 SHA-256 支持都没上，不是因为缺人。同一件事的两侧都成立，只是文章没把「已实现」和「已设计」分开。

平台侧的动作集中在同一天：Apple 放出 Pass Designer，让商家自己画 Wallet 通行证；OpenAI 的 Sites 上了首页（200 条评论）；Black Forest Labs 发 FLUX 3，主打的卖点是可以把元素摆到你指定的位置。生成能力正从「对着对话框描述」搬到「自己在画布上摆」，这个转向对做工具的人是明确信号——下一轮竞争点在空间控制与约束的表达方式，而不在模型本身多聪明。

🔒 法律、安全与隐私

  • 法院支持 EFF：犹他州 VPN 法要求的是技术上不可能的事 — Court agrees with EFF: Utah’s VPN law demands a technical impossibility。424 points/190 comments（HN）。判决认定法律要求平台在全国范围拦掉 VPN 流量、否则退出该州，而 VPN 与普通托管服务在协议层无法区分。💬 评论区的技术反驳比判决更直接：所谓「要求 VPN 服务商主动上报并给流量打标签」在现实中等于让自建 VPS 的用户合法化绕过；也有人点出立法动机——不是要平台合规，是要它们活不下去。
  • Greg Kroah-Hartman：LLM 时代的安全 — Greg Kroah-Hartman – Security in the LLM Age [video]。149 points/33 comments（HN）。内核稳定分支的维护者出来讲 AI 写代码进内核之后，安全审查的口径变化。这类视频的价值通常在提问环节，不在幻灯片。
  • GrapheneOS 修好了 Android 17 QPR1 的内核性能回退 — GrapheneOS has fixed the Android 17 QPR1 kernel performance regression。88 points/28 comments（HN）。官方论坛帖。上游内核的性能回退被一个小团队先定位先修掉，这件事本身就是对「上游优先」流程的一次考问。
  • macOS 的完全磁盘访问权限有新变化 — Updates to Full Disk Access in macOS。8 points/9 comments（Lobsters）。Apple 开发者公告，收紧的还是应用可以伸手去读的目录范围；但公告的语气比改动本身更值得留意。
  • 我被盯上了：用 git post-checkout 钩子偷凭据 — I got targeted: Trying to get your credentials via a git post-checkout hook。3 points/0 comments（Lobsters）。攻击者往仓库里塞了个 post-checkout 钩子，克隆即执行。分数低但手法值得记住：钩子目录一直在 .git 里，没人 review 得动。
  • Docker 分层里被藏起来的那些设计妥协 — The hidden design compromises of Docker layers。9 points/10 comments（Lobsters）。把镜像层叠的存储模型拆开看，讲清哪些限制是 unionfs 的锅、哪些是分发格式的锅。做 CI 缓存的人应该读。

🤖 AI 与模型

  • FLUX 3 发布：主打的卖点是「把元素摆在你指定的位置」 — FLUX 3 Image。243 points/54 comments（HN）。Black Forest Labs 的新图像模型，控制维度从提示词转向空间约束。💬 评论区把它和 InvokeAI、以及 6 月开源的 Ideogram V4 放在一起比：后者也能做位置控制，代价是得手写一份笨重的 JSON 描述包围盒；有人反过来指出，现在可以直接让 LLM 生成这些包围盒，甚至让 agent 批量跑多次再挑结果。另一半评论在骂 ComfyUI 的节点图——「我用过的最敌对的用户体验之一」。
  • ChatGPT 里的 Sites — Sites in ChatGPT。174 points/200 comments（HN）。今日讨论量最大的一条。💬 有用户说用了几个月，「几分钟想法、一小时能玩」的原型已经成了习惯，顺手贴了个自己在音乐会上想出来的六维迷宫小游戏；反方论点也扎实：WordPress 和 Wix 早就让建站变简单，问题从来不是门槛，是发布六个月后变成没人敢动的一堆垃圾。
  • AI 第一次在预算内打赢史上最强的 Stratego 玩家 — With most information hidden, the game Stratego had stumped AI until now。136 points/58 comments（HN）。军旗类游戏的特点是信息大多不可见，正好卡在「策略推理」与「不完全信息博弈」的交叉口上。研究方强调的不是赢了，是成本低。
  • 用 GLM 5.3 Flash 写一个月代码的实录 — One month coding with GLM 5.3 Flash。85 points/63 comments（HN）。Wagtail 团队的第一手记录，不是跑分对比。这类「一个团队用一个模型做完真项目」的复盘，比任何榜单都更能说明模型在生产里卡在哪。
  • Show HN: 给 Opus 5.5 一块模拟画布 — Show HN: Giving Opus 5.5 a simulated paint canvas。174 points/58 comments（HN）。不把模型当画图工具，而是给它一套可以来回涂抹、撤销的交互状态机——用序列化的动作替代一次成型的输出，是 agent 做创作类任务时更自然的形态。
  • AI2 开源 AstaBrief：把报告生成模型放出来 — Open-sourcing AstaBrief, the fast report-generation model in Asta。6 points/discuss（HN）。面向长文摘要与结构化报告的小模型，权重开源。分数还没起来，值得盯后续被集成的方式。
  • Show HN: 开源乐高 AI 生成器 — Show HN: Made an open-source Lego AI generator。48 points/29 comments（HN）。输出的是合法的 LDraw 件号与拼装关系，不是渲染图——生成模型的输出得先能通过物理约束，才有资格叫设计工具。
  • Muse Gadgets — Muse Gadgets。71 points/38 comments（HN）。又一家把「说一句就出一个可交互小工具」做成产品的，赛道已经不缺玩家，缺的是部署与维护的那一环。
  • Figure 宣布退役 F.02 — F.02 Decommission。49 points/14 comments（HN）。人形机器人公司把上一代平台下线的公告，等于给自家硬件的迭代周期公开打了个时间戳。
  • Harness 才是公司 — The Harness Is the Company。46 points/36 comments（HN）。论点直接：模型会趋同，能沉淀下来的只有包在模型外面的那层壳——工具定义、状态管理、评测、失败处理。和今天另一条 agent 主题的帖子可以对着读。
  • agentic coding 的四骑士 — The Four Horsemen of Agentic Coding。19 points/1 comment（Lobsters）。给 agent 写代码带来的四类系统性风险起了名字，命名不一定准，但把「模型变强了，工程问题就消失」这个错觉按住了。
  • JetBrains Air：为 agentic 开发搭一整套产品 — JetBrains Air: Building a System of Products for Agentic Software Development。5 points/0 comments（Lobsters）。IDE 厂商的正式表态。对已经在用 agent 干活的人来说，关键问题是这套东西要不要重买一遍你现在已有的能力。
  • 降低 AI 改动的认知负荷 — Reducing the cognitive load of AI changes。48 points/18 comments（Lobsters）。续榜条目（10-02 已收录）。生成速度远高于审查速度时，瓶颈从「写得出」变成「看得过来」。

💻 语言与编译器

  • Zig 0.17.0 发布 — Zig v0.17.0。153 points/75 comments（HN、Lobsters 25 points/3 comments）。距离 1.0 还有多远，看 release notes 里破坏性改动的密度比看路线图准。Zig 的发行说明一直是可以当语言设计文档读的那种。
  • Announcing Rust 1.99.0 — Announcing Rust 1.99.0。75 points/20 comments（Lobsters）。续榜条目（10-02 已收录，分数在涨）。💬 评论区已经在预告 1.100：自定义分配器和 never type 同时稳定；还有人纠正记者的用词——C 那边叫 varargs，C++ 才有 variadics，把 Rust 的新特性和稀泥地叫「C variadics」会让两边的人都糊涂。
  • Generic Const Args 与你 — Generic Const Args and You。23 points/3 comments（Lobsters）。Rust 官方 inside-rust 的科普帖，讲 const N: usize 这类泛型常量参数到底能表达什么、不能表达什么。
  • 写给软件工程师的 Lean 证明解剖 — Anatomy of a Lean proof for software engineers。60 points/4 comments（HN）。用程序员熟悉的语言拆一份完整证明，不谈数学哲学，只讲每一步在干什么。
  • 让 Futhark 离开 GPU — Keeping Futhark off the GPU。6 points/0 comments（Lobsters）。数据并行语言的后端问题：不是所有负载都值得上显卡，编译到 CPU 的路径要单独认真做。
  • 给 JavaScript/TypeScript 的可读正则 — Readable Regular Expressions for JavaScript/TypeScript, Inspired by Emacs’ rx。10 points/2 comments（Lobsters）。把 Emacs 的 rx 思路搬进 TS，用结构化表达式反向生成正则——正则难维护的根因是它只有一种写法和一种调试方式。
  • 健忘的 CPU（在 M4 上跑 Linux） — The Forgetful CPU (Linux on M4)。6 points/discuss（HN、Lobsters 38 points/0 comments）。M 系列 Mac 上跑 Linux 的持续记录，两个站点都上了榜，说明这条路径的读者基数比想象中大。

🛠️ 工具与基础设施

  • Git 3.0 把默认哈希换成 SHA-256，将是一个代价高昂的错误 — Git 3.0’s upcoming SHA-256 default will be a costly mistake。75 points/69 comments（Lobsters）。续榜条目。💬 评论区就是这篇文章的审稿意见：文章断言 SHA-1 与 SHA-256 仓库无法互操作，而官方 hash-function-transition 文档恰恰描述了双向映射表和索引级翻译；但另一方指出这套机制至今没有实现，且商业托管方连 SHA-256 支持都没上——问题不是时间不够，是没人觉得必要。
  • Show HN: ds4 —— 在本地跑 LLM，作者是 Redis 的创造者 — From the creator of Redis; run LLM locally with ds4。111 points/31 comments（HN）。antirez 的新项目。一个写出过最广泛部署的键值存储的人，转去解决本地推理的工程体验，值得看他选了哪些取舍。
  • Waterfox 6.7.5 加了内置订阅阅读器 — Waterfox 6.7.5 Adds a Built-in Feed Reader。53 points/15 comments（Lobsters）。把 Firefox 当年砍掉的 Live Bookmarks 重新做回来，还叠了个阅读视图。💬 评论区补上实用信息：Firefox Sync 目前会把 Live Bookmarks 同步成空文件夹，多设备用户还等不到完整方案。
  • IANA 关于 example.com 为什么改版的回信 — IANA’s email about why example.com changed。137 points/56 comments（Lobsters）。今日 Lobsters 最高分。新版页面给每个字母挂了个延迟 3 毫秒的透明度动画，结果文字选不中、复制不了。💬 评论区把它归档成一个经典类别：Pause, Stop, Hide 类可访问性缺陷——动画没有停止途径；有人翻出 web.archive 对比几天前的版本，指出连「Avoid use in operations」这句话也是去年才加的。
  • GitHub 仓库首页现在会显示无障碍标签页 — GitHub repository landing pages now show an accessibility tab, if provided。7 points/0 comments（Lobsters）。位置小、意义不小：无障碍声明从此有了一个固定的曝光位，做的人有回报，不做的人的空白也很显眼。
  • SequenceHash：给普通人的 multihashing — SequenceHash: multihashing for the rest of us。9 points/1 comment（Lobsters）。Trail of Bits 的方案，目标是让标识符在哈希函数轮换时不失效，同时不引入新的全局协调。
  • Show HN: Pyxel —— 带内置美术与音效编辑器的 Python 复古游戏引擎 — Show HN: Pyxel – A Python retro game engine with built-in art and sound editors。52 points/5 comments（HN）。引擎和工具链打包成一个窗口，从画像素到出声都不用换软件——这类「全在一个程序里」的设计在今天的工具生态里越来越少。
  • 用 Gleam、Org-Mode 和 Pandoc 写博客 — Blogging with Gleam, Org-Mode and Pandoc。40 points/9 comments（HN）。静态站的又一条自制流水线，价值在于把三个各自有明确边界的东西接起来的胶水代码有多少。
  • Klassik 把 KDE 3 桌面复活到 Plasma 6 上 — Klassik Revives the KDE 3 Desktop on Modern Plasma 6。4 points/0 comments（Lobsters）。外观复刻做在当前的 Plasma 上，而不是维护一份二十年前的代码——比多数怀旧项目务实。
  • 用 Rust 驱动 GDEH0154D67 墨水屏 — Driving the GDEH0154D67 e-paper display with Rust。3 points/0 comments（Lobsters）。从时序图开始啃数据手册，把一块具体型号的屏点亮并写清踩到的坑。
  • 如果我们不再用 GPU 会怎样？（视频） — What if we stopped using GPUs? [video]。33 points/8 comments（HN）。讨论算力结构的另一条路径，和同一天 FLUX 3 这种「模型侧继续吃显卡」的发布放在一起看，正好是两个方向。
  • Full Disk Access 的改动影响面比公告写的大 — Updates to Full Disk Access in macOS（续）。同一条公告的工程侧后果：依赖沙箱外目录做同步、备份、索引的应用都要重新走一遍授权流程。

🌐 Web 与平台

  • Apple Pass Designer：商家自己画 Wallet 通行证 — Apple Pass Designer。253 points/177 comments（HN）。官方工具，让非开发者也能做登机牌、会员卡那样的通行证。💬 评论区首先质疑这件事为什么重要（「这看起来很微不足道」），随后转向实际障碍：看似网页工具，实际仍需要 Apple 开发者计划的签名证书，100 美元订阅绕不开；有人顺手给出替代方案（SuperCards、Pass4Wallet），也有人提醒 iOS 27 的 Wallet 已经可以本机直接建临时通行证。
  • web development 教育的消亡 — The death of web development education。47 points/8 comments（Lobsters）。续榜条目（10-02 已收录）。讲的是行业把新人培养这一环外包给了运气和自学。
  • 写给初入行的软件工程师的建议 — Advice to a beginning software engineer。3 points/2 comments（Lobsters）。和上一条正好相反的一端：一条条列清楚新人前几年该干什么，没有一句「保持热爱」。
  • Thrust vs. Steer：又一个达克效应的轶事案例 — Thrust vs. Steer (or: Yet Another Anecdotal Case of the Dunning-Kruger Effect)。9 points/0 comments（Lobsters）。两个相近概念的混用如何在团队里变成长期的技术债。

🔬 科学与其他

  • 一颗恒星和四颗行星的十二年连续影像 — A 12-year sequence of telescope images of a star and four planets orbiting。146 points/32 comments（HN）。十二年攒成一段动画，看着几颗行星把各自的周期走完一遍。系外行星的轨道周期动辄以年计，这类影像的时间成本无法压缩。
  • 细胞身份的丧失驱动人类衰老：两篇新论文 — Loss of cell identity drives human aging: Two new papers。142 points/32 comments（HN）。把衰老解释为细胞逐渐忘记自己是什么细胞，两篇论文同月出来互相支撑。Eric Topol 的解读一贯适合当索引而不是当结论。
  • 冯·诺依曼的传说（1973） — The Legend of von Neumann (1973) [pdf]。229 points/134 comments（HN）。Halmos 写的追忆。💬 评论区最好的一条是 Teller 的转述：冯·诺依曼会跟 Teller 三岁的儿子平等地聊天，「我有时怀疑他跟我们也用同一套原则」；另一条把话题引向学科割裂——上世纪九十年代有人往糖尿病学期刊投论文，内容是把积分学重新发现了一遍。
  • STS-51-F 的 Abort-to-Orbit（1985） — STS-51-F Abort-to-Orbit (1985)。29 points/9 comments（HN）。航天飞机主发动机在发射后失效一台，任务靠剩余两台与应急程序继续完成。应急方案不是写在手册附录里的，是发射前就算好的。
  • 威尼斯的战败催生了世界上第一个债券市场 — Venice’s failed war against Constantinople led to the first bond market。55 points/16 comments（HN）。为了补战争亏空而发明的可转让债权，后来的事写在了整个金融史里。
  • IEA 2026 电气化专题报告（PDF） — Electrification Special Report 2026 [pdf]。9 points/discuss（HN）。数据和假设都在附录里，比摘要有用。

🎮 社区与轻度

  • Mike Tomlin 用十二年建了一座 Minecraft 城市 — Mike Tomlin spent 12 years building a Minecraft city。172 points/45 comments（HN）。一位 NFL 主教练的长期副业，被报道出来才为人所知。构建类游戏最真实的一面是时间尺度——十二年的工程量没人能代打。
  • RFC1149 信鸽数据包的实物正在佳士得拍卖 — The first packet sent via RFC1149 avian carrier is up for auction at Christie’s。31 points/3 comments（HN、Lobsters 54 points/10 comments）。BLUG 当年真的把数据包塞进物理帧交给鸽子。💬 Lobsters 上有人回忆 2001 年在挪威小城靠 Slashdot 看到这件事，第一次意识到世界上还有同类；也有人提议退休后自己找人训练鸽子做一次——顺便提了 RFC2549 和 RFC6214 两个续篇标准。
  • 这周末你在做什么？ — What are you doing this weekend?。20 points/55 comments（Lobsters）。Lobsters 的周末例行帖，55 条评论，是这个站点日常密度最高的一类内容。
  • 关于中国的社会现实 — On social reality in China。116 points/110 comments（HN）。LessWrong 上的长文，评论数接近分数。争议性话题，只做收录，不展开。
  • Lobsters 访谈 Sjamaan — Lobsters Interview with Sjamaan。2 points/0 comments（Lobsters）。社区访谈系列，聊的是一个人和一个语言生态十几年的事。

📌 今日总结

今天的主线是可执行性成为判据。法院用「协议层做不到」否掉一条 VPN 法，Git 的 SHA-256 之争最后落到「翻译表到底实现了没有」，example.com 的新版把文字动画做到了不可选中——三件不同领域的事，扣分点都发生在从纸面到执行的那一步。这也解释了为什么今天 AI 侧的讨论明显偏工程：GLM 5.3 Flash 的一个月实录、给模型一块可撤销的画布、把「harness 才是公司」写成标题，都没在谈模型能力上限，在谈怎么把它接住。

如果只读三篇，按这个顺序：

  1. 法院支持 EFF：犹他州 VPN 法要求的是技术上不可能的事 —— 判例把「做不到的合规要求」写成了法律障碍，影响面覆盖所有按 IP 猜来源的实名体系。
  2. Git 3.0 把默认哈希换成 SHA-256，将是一个代价高昂的错误 —— 正文值得读，评论区更值得读：69 条里大部分是在给原文补上它漏掉的官方文档。
  3. IANA 关于 example.com 为什么改版的回信 —— 世界上最简单的那个网页被改坏了，原因和修法都写在评论里。

横向共振信号有一条：界面的默认状态正在被重新定价。example.com 用逐字动画换来不可选中，macOS 的完全磁盘访问把默认值往外收，GrapheneOS 花力气把上游内核的性能回退修回来——都是同一件事的三个方向：默认值选错之后，纠正它的成本远高于当初选对。