2026年1月

一波新的网络攻击正瞄准那些寻找免费软件的用户,把他们的电脑变成不情愿的带宽共享参与者。安恒实验室安全情报中心(ASEC)发布警告称,威胁组织 Larva-25012 正在通过分发伪装成热门文本编辑器 Notepad++ 的恶意软件来实施攻击。
这是一种典型的 “代理劫持(Proxyjacking)” 攻击:攻击者在受害者电脑上悄悄安装软件,盗用其网络带宽来牟利。
该活动主要针对搜索破解版或盗版软件的用户。攻击者将受害者诱骗到 “伪装成提供破解 / 盗版软件下载的虚假网站”。这些网站通常声称自己 “界面友好、资源全面”,提供各种工具的恶意安装包,例如 AutoClicker、SteamCleaner,以及最引人注目的 Notepad++
当用户下载并运行名为 Setup.zip 的文件时,他们得到的远不止一个文本编辑器。“通过 Setup.zip 分发的版本同时包含 ** 正版 Notepad++ 安装程序(Setup.exe)** 和一个名为 TextShaping.dll 的恶意加载器 DLL。”
恶意软件使用 DLL 侧加载(DLL side‑loading) 技术来躲避检测。当受害者启动正版的 Notepad++ 安装程序时,它会无意中从同一文件夹加载恶意的 TextShaping.dll
随后,该 DLL 会在内存中解密一个有效载荷,最终安装 DPLoader(一种下载器木马)。“一旦在 Windows 任务计划程序中注册,DPLoader 就会持久化执行,并从其 C&C 服务器获取指令。”
为了保持隐蔽,恶意软件还会主动篡改系统防御。“脚本会修改 Windows Defender 策略,包括添加排除路径、禁用安全通知,并阻止恶意软件样本提交。”
该活动的最终目的不是勒索或窃取数据,而是牟利。攻击者会安装 代理软件(Proxyware),让受害者的网络连接被 “共享” 出去。
“代理劫持指的是在未经同意的情况下,在受害者机器上安装 Proxyware,从而让攻击者通过盗用受害者的网络带宽来赚钱。”
恶意软件会安装已知的代理软件,例如 InfaticaDigitalPulse。为了伪装得更逼真,Infatica 代理会被注册为名为 “Microsoft Anti‑Malware Tool” 的计划任务,让普通用户误以为它是一个合法的系统进程。
Larva-25012 还在不断升级攻击手段。ASEC 研究人员指出,攻击者 “正在积极更改技术以躲避检测 —— 例如将 Proxyware 注入 Windows 资源管理器进程,或使用基于 Python 的加载器”。

对用户来说,这是一个明确的提醒:

从不明来源下载软件往往伴随着隐藏的代价 —— 这次,是你的网络带宽。

一款新型剪贴板劫持程序正利用 Discord 社区的用户信任,暗中盗取游戏玩家与直播博主的加密货币资产。
此次攻击活动的核心是一款伪装成直播辅助工具或安全工具的恶意 Windows 程序,一经安装便会在后台静默监控用户剪贴板,伺机捕获用户复制的加密货币钱包地址
当受害者将钱包地址粘贴至加密货币交易所、钱包应用或支付输入框时,该恶意软件会将其替换为攻击者控制的地址,在无明显痕迹的情况下完成资金转移。
被安全研究人员标记为RedLineCyber的攻击团伙,将目标锁定在与游戏、博彩及加密货币直播相关的 Discord 服务器。
该团伙会主动与服务器成员建立信任关系,伪装成工具开发者,通过私下渠道发送名为Pro.exepeeek.exe的恶意文件。
他们向受害者谎称,这款工具能在直播过程中协助管理或保护钱包地址,让程序看似具备实用价值,从而降低用户的警惕性。
在这番看似友好的推销背后,实则是一场针对性极强的盗窃行动 —— 受害者只需一次粘贴操作的疏忽,账户内的交易资金就可能被悄悄转空。
CloudSEK 的安全分析师在监控网络犯罪分子活跃的地下社区与 Discord 频道时,发现了这一攻击活动。

在此次人工情报排查工作中,研究人员识别出该团伙伪造的RedLine Solutions虚假身份,并追溯到这款恶意软件的本源:一款由PyInstaller打包的 Python 基可执行程序。

研究人员的分析证实,该程序并非传统的信息窃取类恶意软件,其攻击行为高度聚焦于单一目标:篡改与主流加密货币相关的剪贴板数据

此次攻击的危害性极大,原因在于其精准瞄准了用户注意力最薄弱的操作环节。许多直播博主与高频交易用户在复制粘贴冗长的钱包地址时,并不会逐一核对每一个字符。
该恶意软件运行时无命令与控制通信流量,且仅占用极少的系统资源,因此能在设备中长期潜伏,伺机等待高价值的资金转账操作。
从攻击者预置钱包地址关联的区块链交易记录来看,比特币、以太坊、索拉纳、狗狗币、莱特币及波场等主流加密货币,均已出现资产被盗的相关记录。

感染机制与剪贴板劫持逻辑

受害者运行Pro.exe后,恶意软件会在 Windows 系统的 **% APPDATA%** 目录下创建名为CryptoClipboardGuard的文件夹,并将自身添加至当前用户注册表的开机启动项中。
这一操作能确保恶意软件随系统开机自动运行,在后台持续潜伏且无任何可视窗口
该可执行程序内置了独立的 Python 运行环境与经过混淆处理的字节码,即便目标设备未安装 Python 环境,程序仍能正常运行。
程序启动后会进入高频检测循环,每秒约三次扫描用户的剪贴板内容。
每当剪贴板内容发生变化,恶意软件会通过Base64 编码的正则表达式,对内容进行扫描,匹配各大主流加密货币的钱包地址格式。
一旦检测到有效钱包地址,程序会立即将剪贴板内容替换为该加密货币对应的攻击者预置钱包地址,并将此次替换操作记录在 **% APPDATA%\CryptoClipboardGuard** 目录下的activity.log日志文件中。
由于地址替换发生在复制与粘贴的间隙,大多数受害者直到发现资金转入错误的钱包,才会察觉地址被篡改 —— 而此时,资金转账操作已无法撤销。

互联网系统协会(ISC)已针对 BIND 9 发布高严重性安全公告。BIND 9 是支撑互联网大量 DNS(域名系统)基础设施的核心软件。新发现的漏洞 CVE-2025-13878 允许远程攻击者通过发送单个恶意数据包即可导致 BIND 服务器崩溃,可能引发大规模 ** 拒绝服务(DoS)** 中断。
该漏洞的 CVSS 评分为 7.5,并被标记为 “可远程利用”,意味着攻击者无需本地访问或身份验证,即可从互联网任意位置触发崩溃。
漏洞存在于 BIND 的核心守护进程 named 处理特定类型 DNS 记录的方式中。根据公告,问题由与 BRIDHHIT 记录相关的无效数据结构触发。
公告指出:“畸形的 BRID/HHIT 记录可导致 named 意外终止。”
虽然这些记录类型不像标准 A 或 AAAA 记录那样常见,但解析器无法正确处理其损坏版本,从而在软件中形成一个脆弱点。
该漏洞的影响直接且具有破坏性。攻击者只需发送一个特制查询,即可迫使 DNS 服务器关闭。
公告警告:“攻击者可以通过发送导致记录损坏或恶意的请求,使 named 崩溃。”
此风险适用于所有 BIND 部署场景。ISC 确认:“权威服务器和递归解析器均受此漏洞影响”,没有任何配置能完全避免崩溃风险。
该漏洞由 Marlink Cyber 的 Vlatko Kosturjak 报告。
网络管理员被敦促立即检查其 BIND 版本。受影响的分支如下:
  • BIND 9.18:版本 9.18.40 至 9.18.43
  • BIND 9.20:版本 9.20.13 至 9.20.17
  • BIND 9.21:版本 9.21.12 至 9.21.16
支持的预览版也受到影响。
幸运的是,目前 “尚未发现任何野外活跃利用”。然而,鉴于 BIND 的广泛使用,各组织不应等待,应立即修补。
ISC 建议用户 “升级到与你当前 BIND 9 版本最接近的已修复版本”,具体为:
  • 9.18.44
  • 9.20.18
  • 9.21.17

思科已向全球网络管理员发出紧急警告:其核心通信软件中存在一个严重远程代码执行(RCE)漏洞,目前正被黑客积极利用。该漏洞编号为 CVE-2026-20045,允许未授权攻击者接管受影响设备,并可能将权限提升至 root
该漏洞直击企业通信的核心,影响包括 Cisco Unified Communications Manager(Unified CM)Cisco Unity Connection 在内的重要平台。
虽然该漏洞的 CVSS 基础评分为 8.2(通常归类为 “高”),但思科已将威胁等级提升为 严重(Critical)。厂商解释称,这一调整反映了该漏洞的破坏性潜力。
根据公告:“思科已将此安全公告的安全影响等级(SIR)定为严重,而非评分所示的高。” 原因是:“利用此漏洞可能导致攻击者将权限提升至 root。”
漏洞存在于受影响设备的 Web 管理界面 中,源于对传入流量的输入验证不当。“此漏洞是由于在 HTTP 请求中对用户提供的输入验证不充分造成的。”
攻击者无需登录即可触发漏洞。通过 “向受影响设备的 Web 管理界面发送一系列特制的 HTTP 请求”,对手可以绕过安全控制。
一旦成功进入系统,后果可能是彻底的。“成功利用此漏洞可能允许攻击者获得底层操作系统的用户级访问权限,然后将权限提升至 root。”
该漏洞影响范围广泛,以下产品无论配置如何均受影响:
  • Unified CM(CallManager)
  • Unified CM Session Management Edition(SME)
  • Unified CM IM & Presence Service
  • Unity Connection
  • Webex Calling Dedicated Instance
由于已确认存在野外利用,修补并非可选。思科已为 14 版和 15 版发布软件更新,同时指出 12.5 版用户必须 “迁移到已修复的版本”。
鉴于当前活跃的威胁环境,“思科强烈建议客户立即升级到已修复的软件版本以缓解此漏洞。”

威胁行为者正将 Visual Studio Code 变为攻击平台,借助其完善的扩展生态系统,向开发者工作站植入多阶段恶意软件
此次最新攻击活动被命名为伊夫林窃取程序,该恶意程序隐匿于一款恶意扩展中,通过数个精心设计的攻击阶段,向目标端投放一款具备隐秘性的信息窃取工具。
攻击者的目标并非普通终端用户,而是开发者群体—— 这类人群往往掌握着源代码、云控制台及加密货币资产的核心访问权限。
攻击从受害者安装一款伪装成实用或无害的植毒 Visual Studio Code 扩展开始,该扩展会在后台释放伪造的 Lightshot.dll 组件,随后这一组件会被正版截图工具 Lightshot.exe 加载运行。
此后恶意软件攻击链逐步展开,不仅会远程获取新的攻击载荷、执行隐藏的 PowerShell 命令,还会为最终实现大规模数据窃取的伊夫林窃取程序可执行文件搭建运行环境。
趋势科技分析师指出,攻击者将用户对Visual Studio Code 应用市场的信任当作可利用的武器,以恶意扩展为载体构建完整攻击链,实现从初始加载器启动到最终数据窃取的全流程攻击。
攻击者通过滥用 Lightshot 这类开发者常用工具,并采用仿签名的导出方式,让攻击第一阶段融入开发者的正常操作流程,同时在后台悄然为后续的入侵环节做准备。

伊夫林窃取程序完全执行后,会从受感染设备中窃取浏览器密码、Cookie、加密货币钱包、即时通讯会话记录、VPN 配置文件、Wi-Fi 密钥及各类敏感文件

同时该程序还会捕获设备截图和详细的系统信息,将所有数据压缩为单个压缩包后,上传至攻击者控制的 FTP 服务器。

对企业而言,仅一台开发者笔记本电脑被感染,就可能导致源代码、云访问令牌及生产环境凭证泄露,让一次工具链的使用疏漏,演变为波及范围广泛的安全入侵事件。

多阶段感染链的技术细节

攻击的第一阶段隐藏在恶意 Visual Studio Code 扩展内,伪装为 Lightshot.dll 文件,每当用户进行截图操作时,该文件就会被 Lightshot.exe 调用执行。
该下载器被触发后,会执行一条隐藏的 PowerShell 命令,从远程域名拉取名为 iknowyou.model 的第二阶段攻击文件,将其另存为 runtime.exe 并运行。
伊夫林窃取程序的攻击载荷会在设备中创建AppData\Evelyn 文件夹,向 Edge 和 Chrome 浏览器注入 abe_decrypt.dll 文件,最终将窃取的数据打包为 ZIP 压缩包,通过 FTP 协议完成上传。

在现代企业级应用开发中,对数据进行动态加工和转换是常见的需求。
低代码开发作为一种新兴的快速开发方式,提供了函数公式能力,通过函数+入参的方式,用户可以像使用Excel公式一样轻松实现复杂业务逻辑的自动化处理。
在JVS中,函数公式(DataOpter)是核心通用的基础能力,其中逻辑引擎、表单引擎、列表页、流程引擎、数据加工引擎等都拥有这个能力,,用于动态的对数据进行加工,系统本质上是通过groove 的脚本实现的。接下来我们重点讲解函数公式的核心功能。

公式的编辑框

如下图所示,函数公式是通过 函数+入参的方式,实现对数据的映射转换,在编辑框中可以支持手动录入:
图片
编辑框中支持手动输入,系统会根据关键词进行提示,提示的内容包括数据与函数
图片
函数框会对公式配置的结果进行语法校验,如果校验不通过,系统会提示语法判断结果,校验不通过是不能保存的
图片

公式的数据引用

不同的场景下,接入的数据引用来源不同,表单场景下使用公式时,那么左侧的数据引用框架可以选择 上下文的数据、系统的基础数据、表单的数据等; 在流程引擎中使用公式配置时,系统接入了流程的基础数据、上下文的数据等; 在ELT 数据加工引擎中,使用公式时,可以选择到 用户的基本信息、字段的相关数据等
图片

函数选择器

函数选择器点击函数框中的公式后,公式会自动的提交到编辑框中,在公式说明框中会对该公式进行详细说明
图片

函数的嵌套

函数是可以多层嵌套使用的,也就是一个函数的输出是另一个函数的输入,函数的使用是从内向外的逐层计算,得到结果的
图片

函数的测试

在设置了函数公式配置后,可以点击测试按钮,系统可以模拟仿真执行的结果,这样便于判断配置的正确性,如下图所示:
图片
点击测试后,如果需要 业务的相关数据,那么系统会弹出输入框,在录入测试数据后,模拟相关业务背景数据,然后再计算:
图片
提交后,系统会展示模拟执行的结果
图片
在线demo:https://app.bctools.cn
基础框架开源地址:https://gitee.com/software-minister/jvs

浅谈 Opencode + Oh My Opencode 工作时的 SOP 与 Workflow

总述

在使用 Opencode 的过程中,开发效果的好坏,确实在很大程度上取决于模型本身的智能水平。模型越聪明,理解需求、补全上下文、处理复杂逻辑的能力就越强,这点毋庸置疑。

但现实情况往往没那么理想。不是每个人都能稳定使用 Claude 或 GPT 的最新模型;即便能用,在高强度调用、上下文越来越长的情况下,模型也很容易开始 “走神”—— 出现幻觉、理解跑偏,甚至一本正经地胡说八道。

当你发现模型开始反复犯低级错误,或者对同一个需求给出前后矛盾的实现方案时,问题往往不在你,而在于:
你默认模型 “应该懂”,但它其实已经跟不上了。

这时候,单纯追求更强的模型,并不能从根本上解决问题。真正能兜底的,是一套清晰、稳定、可复用的 SOP(Standard Operating Procedure),以及基于 SOP 形成的 Workflow。

简单说一句就是:

模型负责输出,人负责把路铺好。


为什么越熟练,反而越需要 SOP

很多人在刚接触 Opencode 时,会觉得 SOP 是个 “新手才需要的东西”。
等自己用顺了,就开始随意对话、即兴发挥,哪里卡了就往模型里一股脑儿丢。

这种方式在小脚本、一次性需求里问题不大,
但只要项目稍微复杂一点,SOP 缺失的后果就会逐渐显现:

  • 模型对当前任务的理解不稳定
  • 不同轮对话输出风格和实现思路不一致
  • 修复一个问题,引入两个新问题
  • 过几轮之后,连模型自己都 “忘了现在在干嘛”

SOP 的存在,并不是为了限制模型的能力,而是为了减少不必要的理解分支
你提前告诉它当前阶段该做什么、不该做什么,反而能让模型把有限的注意力用在真正重要的地方。

从这个角度看,SOP 不是 “给模型用的”,
而是给人省心用的


SOP 和 Workflow,本质上解决的是两个问题

这里需要稍微区分一下这两个概念。

  • SOP 更像是一组 “约定俗成的操作规则”
    比如:每次开始前先让模型复述目标、禁止未经确认的大范围重构、输出必须标注修改点等。
  • Workflow 则是你在实际工作中形成的一种节奏
    什么时候该拆需求,什么时候该写代码,什么时候该停下来做确认。

SOP 偏静态,Workflow 偏动态;
一个负责 “别乱来”,一个负责 “往前走”。

在 Opencode + Oh My Opencode 的组合里,这两者往往是一起生效的。


我的 SOP

说明

  • 以下 SOP 均由 GPT5.2 模型给出并由本人在使用过程中润色改造
  • 所有内容均为可直接复制使用的工程指令
  • 不包含分析、解释或背景说明
    • 在开始使用 SOP 前应当完成项目初始化,推荐使用 Opencode 官方指令 /init
  • SOP 为原子级,Workflow 为高频组合
  • 指令中 ulw 命令为 oh my opencode 插件特有指令,详情可以移步 oh-my-opencode/README.zh-cn.md at dev · code-yeongyu/oh-my-opencode

SOP-01:工程启动 / 陌生任务分析

ulw #start
首先完整阅读 AGENTS.md,不要跳过。

然后按以下顺序执行分析:
1) 扫描整个仓库结构,识别项目入口、核心模块、分层与边界
2) 定位与当前任务直接相关的模块、文件和入口点
3) 用 3–5 条要点总结当前实现:
   - 每条描述一个职责或核心逻辑
   - 关注数据流、控制流和隐含假设
4) 标出不清晰、强耦合或潜在高风险区域
5) 提出至少 2 种可行推进方案:
   - 每种方案包含:优点、缺点、主要风险
6) 选择风险最低的方案,并给出明确的执行计划

约束:
- 在完成以上步骤前,不要修改任何代码
- 不要提前实现或重构


SOP-02:仓库探索 / 代码定位

ulw #scan
@explore:

1) 自顶向下扫描仓库结构
2) 识别与目标主题相关的模块、包和目录
3) 梳理主要调用链和依赖方向
4) 标出变更影响最大的 3 个区域并说明原因

约束:
- 仅做分析
- 不给实现或修改建议


SOP-03:技术调研 / 最佳实践

ulw #research
@librarian:

1) 查找该主题的官方文档或权威推荐做法
2) 对比 2–3 种成熟方案
3) 总结每种方案的适用场景与风险
4) 输出可直接用于当前项目的结论

约束:
- 避免长引用
- 只输出可执行结论


SOP-04:架构 / 方案决策

ulw #design
@oracle:

1) 在当前项目约束下提出 2–3 种设计或架构方案
2) 对每种方案说明:
   - 适用前提
   - 主要风险
   - 对现有代码的侵入程度
3) 推荐最安全的方案并说明原因
4) 明确不推荐其他方案的理由


SOP-05-FE:前端功能开发(使用 ui-ux-pro-max)

ulw #dev-fe
本任务是前端功能开发,加载skill:ui-ux-pro-max并根据这个技能的指引来进行 UI/UX 设计。

第 0 步:需求与界面范围确认
1) 用 3–6 条要点明确功能边界与用户路径
2) 列出必须态与异常态(loading / empty / error / 权限 / 网络失败)
3) 明确接口依赖与字段使用方式

第 1 步:UI/UX 设计(ui-ux-pro-max)
1) 产出页面结构与组件拆分
2) 明确交互细节与反馈机制
3) 定义各状态下的 UI 行为
4) 考虑可用性与可访问性

第 2 步:实现计划
1) 明确组件、路由、状态管理与请求层改动点
2) 拆分为可运行的增量步骤

第 3 步:增量实现
- 每一步完成后项目必须可运行
- 每一步完成后汇报:
  - 修改的文件
  - 实现的可观察行为
  - 修改原因
  - 下一步计划

约束:
- 优先复用现有组件与样式
- 不做顺手重构
- 避免过度抽象

完成标准:
1) 最小自测清单(主流程 + 异常态 + 边界态)
2) 核心交互演示路径
3) 接口字段与错误处理记录


SOP-06-BE:后端功能开发

ulw #dev-be
本任务是后端功能开发。

第 0 步:业务与契约确认
1) 明确输入、输出、业务规则、权限与幂等性
2) 列出数据模型变更与迁移策略
3) 明确错误码与异常语义

第 1 步:API 契约设计
1) 定义 endpoint、method、参数与响应结构
2) 明确分页、排序、过滤规则
3) 明确鉴权与资源所有权校验

第 2 步:测试准备
1) 补充最小测试或复现用例
2) 覆盖正常、异常、权限与边界情况

第 3 步:增量实现
- 每一步完成后服务必须可运行
- 每一步完成后汇报:
  - 修改的文件
  - 可验证结果
  - 修改原因
  - 下一步计划

约束:
- 优先复用现有架构与库
- 不做顺手重构
- 数据变更必须可回滚

完成标准:
1) 最小验证步骤
2) API 契约摘要
3) 影响范围说明


SOP-07:前后端对接 / 联调

ulw #dev-integration
本任务是前后端对接与联调。

第 0 步:冻结接口契约
1) 输出统一接口契约
2) 明确字段类型、必填性、默认值、空值语义
3) 明确错误码与错误结构
4) 明确鉴权方式与过期策略

第 1 步:联调准备
1) 后端提供可联调环境或 Mock
2) 前端完成请求封装与校验
3) 明确接口版本与兼容策略

第 2 步:联调闭环
1) 走通主流程
2) 覆盖异常场景(权限、参数、5xx、超时、空数据)
3) 明确 loading、重试、降级与幂等策略

第 3 步:对账与验收
1) 对账字段、单位、精度、时区
2) 对账分页、排序与筛选边界
3) 对账权限与越权访问

每一步完成后汇报:
- 修改的前后端文件
- 已打通的路径
- 当前阻塞点
- 下一步计划

完成标准:
1) 联调验收清单
2) 最终接口契约摘要
3) 最小复现链路


SOP-08:高风险重构(分析)

ulw #refactor
在修改任何代码前:
1) 找出所有相关定义与引用
2) 区分公开 API 与内部实现
3) 评估影响范围、风险点与迁移顺序

约束:
- 未确认前不要修改代码


SOP-09:高风险重构(执行)

ulw #refactor-exec
1) 如缺少测试,先补充
2) 按迁移顺序逐步修改
3) 每一步完成后说明:
   - 本步修改内容
   - 安全性理由
   - 可运行证据
   - 下一步计划


SOP-10:Bug / 异常排查

ulw #debug
1) 列出最可能的 3 个根因并排序
2) 为每个根因提供最小验证方法
3) 只修复被验证的根因
4) 说明其他假设被排除的原因

完成后:
- 给出回归验证步骤


SOP-11:提交前自检

ulw #review
1) 列出修改的文件与关键差异
2) 指出潜在风险与边界情况
3) 检查是否符合 AGENTS.md
4) 给出回滚方案
5) 给出最小本地验证命令


SOP-12:任务闭环

ulw #wrap
1) 确认目标是否完成
2) 按文件或模块总结关键变更
3) 列出风险与覆盖情况
4) 给出验证步骤
5) 给出回滚方案
6) 建议 AGENTS.md 的补充(仅新增)


关于 #xxx 这类指令

#xxx 是什么?
#start#plan#review 这一类 #xxx,本质上只是给模型看的阶段标签
它们不参与具体内容,只用来告诉模型:现在处在什么阶段,该怎么配合你工作


为什么要这样做?
因为模型默认会把所有对话当成一整段连续上下文来处理。
一旦讨论过多、来回修改几次,它就很容易把已经不重要、甚至已经作废的内容继续当成前提。

#xxx,等于是提前告诉模型:

“接下来换个阶段思考,别按刚才那套逻辑继续往下跑。”


这么做的必要性是什么?
这类指令的意义不在于 “让模型更聪明”,而在于减少跑偏和误解

在任务切换频繁、上下文偏长的情况下,一个清晰的阶段标记,往往比多写几段解释更有效。
成本很低,但能明显提升稳定性,尤其适合长期、反复使用。


SOP 之外,更重要的是 Workflow 的 “手感”

有了 SOP,并不代表事情就会自动变顺。
真正拉开差距的,往往是你如何把这些规则串成一套顺手的流程

很多人 Workflow 混乱,并不是能力问题,而是节奏问题:

  • 需求还没想清楚,就开始让模型写代码
  • 代码刚能跑,又急着往上堆功能
  • 出问题时,直接整段推翻重来

相比之下,一个成熟的 Workflow 往往更 “慢”,但更稳:

  • 先对齐理解,再动手
  • 先最小可用,再逐步完善
  • 每一步都能随时停下来回滚或修正

Oh My Opencode 在这里扮演的角色,其实很清晰:
它不是帮你 “多写点代码”,而是帮你守住流程的下限


我的 Workflow

# 接手陌生项目
ulw #start #scan

# 标准新功能(前后端)
ulw #start
→ ulw #dev-be
→ ulw #dev-fe
→ ulw #dev-integration
→ ulw #review
→ ulw #wrap

# 仅前端功能
ulw #start
→ ulw #dev-fe
→ ulw #review
→ ulw #wrap

# 仅后端功能
ulw #start
→ ulw #dev-be
→ ulw #review
→ ulw #wrap

# Bug 修复
ulw #debug
→ ulw #review
→ ulw #wrap

# 高风险重构
ulw #start
→ ulw #refactor
→ ulw #refactor-exec
→ ulw #review
→ ulw #wrap

# 技术选型
ulw #research
→ ulw #design


把模型当成同事,而不是许愿池

最后一个很重要的心态转变是:
不要把模型当成全知全能的存在,而要把它当成一个执行力强、但容易跑偏的同事。

你需要做的不是 “多问”,而是:

  • 把问题拆清楚
  • 把边界讲明白
  • 在关键节点做确认
  • 发现偏离及时拉回来

SOP 和 Workflow,本质上就是你和模型之间的协作协议。


结语

模型会更新,能力会上涨,也可能随时被限流;
但一套成熟的 SOP 和顺手的 Workflow,会长期存在。

Opencode + Oh My Opencode 真正提供的,不是 “写代码的捷径”,
而是一种在不完美模型条件下,依然能稳定推进工作的方式

当模型不再可靠时,
流程,才是你最后的安全绳。


出处与使用说明

本文内容及其中的 SOP / Workflow 由 @HappyCoding 原创整理并在 LinuxDo 首发。
允许在保留原始出处的前提下复制、修改与二次分发,
不建议在未注明来源的情况下直接商用。


📌 转载信息
原作者:
HappyCoding
转载时间:
2026/1/23 10:25:18

记录一下在香港云服务器上配置 Dify 访问 Gemini API 的过程

当时买的时候想着香港位置更近当代理使的,最近新创了个 google 账户正好有赠金,就打算部署个 Dify 玩玩,但香港 IP 直接访问 gemini API 会返回 400 user location not support 错误,于是在站内搜了下给 Dify 容器配置代理的教程: 【最新适配】Dify 海外模型代理配置(一次通关). 过程太复杂了懒得折腾,于是考虑直接修改 baseURL, 用手头另一个日本的服务器转发.

但直接在 nginx 中配置转发后发现还是 400 错误,我还以为没配成功,最后在日本服务器试了下发现可能因为是机房 IP, 直接访问也是 400, 只能考虑用 cloudflare WARP 出站.

我用的是 3x-ui, 出站规则里可以直接配置 WARP, 然后创建一个本地 http 入站,在路由规则里设置这个入站用 WARP 出站

最后让 AI 生成了个小脚本,得先把 nginx 的流程转到 flask 服务的端口,再用 flask 转给 3x-ui 上的代理,感觉也挺复杂,有没有佬知道更简便的方法

from flask import Flask, request, Response
import requests

app = Flask(__name__)

# 31699是3x-ui上配置的本地代理端口
PROXIES = {
    'http': 'http://127.0.0.1:31699',
    'https': 'http://127.0.0.1:31699'
}

# Gemini 官方 API 域名
TARGET_URL = 'https://generativelanguage.googleapis.com' @app.route('/<path:path>', methods=['GET', 'POST', 'PUT', 'DELETE']) def proxy(path):
    # 构造请求 URL
    url = f"{TARGET_URL}/{path}" # 获取原始请求的查询参数
    params = request.args
    
    # 获取原始请求的 Header,并移除 Host 避免冲突
    headers = {k: v for k, v in request.headers if k.lower() != 'host'}
    
    try:
        # 转发请求到 Google,并使用本地代理
        resp = requests.request(
            method=request.method,
            url=url,
            headers=headers,
            data=request.get_data(),
            params=params,
            proxies=PROXIES,
            stream=True,  # 支持流式输出
            timeout=300
        )

        # 构造响应给 Nginx
        excluded_headers = ['content-encoding', 'content-length', 'transfer-encoding', 'connection']
        headers = [(name, value) for (name, value) in resp.raw.headers.items()
                   if name.lower() not in excluded_headers]

        return Response(resp.iter_content(chunk_size=1024), resp.status_code, headers)

    except Exception as e:
        return str(e), 500 if __name__ == '__main__':
    app.run(host='127.0.0.1', port=5346)

📌 转载信息
原作者:
IIIIIII7
转载时间:
2026/1/23 10:22:07

众所周知,供应链管理已经成为企业降本增效、提升协同效率和增强抗风险能力的核心环节,而 SRM(供应商关系管理)系统,正是企业在供应链管理过程中,用来规范供应商协作、控制采购风险、提升整体效率的重要工具。

但面对市场上数量众多、功能差异明显的 SRM 系统,很多企业在选型时都会遇到同样的问题:哪些 SRM 系统是真正围绕供应链管理场景设计的?哪些更适合国内企业使用?是否有成熟、稳定、经过市场验证的产品可供参考? 如果逐一试用,不仅成本高,也非常耗费时间和精力。

因此,本文将结合 SRM 系统市场口碑、产品功能完整度以及实际应用体验,参考行业内常见的 SRM 系统榜单、厂商公开资料及用户反馈,对多款专注供应链管理的 SRM 系统进行整理和分析,帮助大家在选型过程中少走弯路。

本次测评主要围绕 系统的供应链适配度、功能实用性、用户体验以及市场认可度 等核心维度进行筛选,剔除了偏向通用管理或功能不成熟的产品,最终选出几款在业内表现较为突出的 SRM 系统进行重点介绍。

考虑到篇幅和阅读体验,本文不会对所有系统逐一展开,而是挑选其中综合表现更优、供应链场景覆盖更完整的几款 SRM 系统,重点说明它们的优势、适合的企业类型以及核心功能亮点。每款产品后也会附上官方信息,方便大家结合自身需求进一步了解和体验。那么,下面我们正式开始。

一、正远科技

如果要说国内在SRM领域有长期积累、并且真正从业务视角去设计系统的厂商,正远科技肯定排在前列。这家公司成立于2002年,在流程管理和供应链数字化领域已经深耕了二十多年,不是那些跟风做SRM的“新手”。

正远科技的SRM系统是基于自主研发的低代码平台产品研发的,最大特点就是围绕采购业务全流程设计,而不是简单把OA或者CRM改个名字。系统核心涵盖三大模块:供应商管理、价格管理、采购执行协同,基本把企业采购从寻源、定价、下单、对账到绩效评估的全过程都管起来了。

官网:https://www.zhengyuansz.com

为什么它值得重点说一说?

首先,它的流程引擎和表单设计能力特别强。采购过程中各种审批流、询价比价流程、合同评审流程,都可以通过可视化方式配置出来,企业自己就能调整,不用每次都找厂商开发。这对于业务经常变动的企业来说,实用性很高。

其次,它背后有正远低代码平台支撑。这意味着如果你有一些个性化需求,比如要和已有的ERP、财务系统对接,或者增加一些特定的质检流程、物流跟踪看板,都可以通过低代码方式快速搭建出来,开发成本降低、周期也大幅缩短。对于很多预算有限但又需要定制化功能的中大型企业,这个优势很明显。

第三,正远SRM不只是一个工具,更强调管理落地。它内置了供应商准入、分类、绩效评估体系,帮助企业把供应商从“资源”变成“伙伴”,实现从被动应付到主动管理的转变。系统还支持与招投标平台、电子签章等外部系统集成,形成采购闭环。

适合谁用?

从公开信息看,正远科技服务过威高集团、南山集团、魏桥创业等一批大型制造集团,项目经验集中在制造业、工程、能源等领域。所以如果你是制造类企业,采购物料复杂、供应商数量多、对质量与交期要求高,正远这套系统应该能贴合你的业务场景。他们的实施团队也有PMP认证,项目交付经验比较扎实。

二、用友

用友作为国内企业管理软件的老牌厂商,其SRM解决方案通常与它的ERP产品深度绑定。如果你公司已经在使用用友的ERP系统(比如U8、U9、NC Cloud),那么继续选用友的SRM会是一个比较顺理成章的选择。

用友SRM的核心优势在于数据无缝对接和业务流程一体化。采购订单、库存信息、财务应付数据都能和ERP实时同步,避免了跨系统对接的麻烦和数据不一致的问题。对于中大型企业,这种一体化带来的效率提升和错误减少,价值很大。

在功能层面,用友SRM覆盖了供应商生命周期管理、采购寻源、招标管理、采购协同、库存协作等典型场景。它特别强调集团化管控,适合多法人、多工厂、跨地域的集团型企业,能够实现集中采购、分散执行的模式。

值得一提的是,用友近年来也推出了低代码开发平台YonBuilder,可以基于它快速构建或扩展SRM中的某些定制化模块,比如特殊的审批流程、供应商门户页面等。但要注意,用友整体方案的费用较高,部署周期也相对较长,更适合预算充足、追求系统稳定性和生态完整性的企业。

三、金蝶

金蝶的SRM解决方案,现在主要整合在金蝶云·苍穹这个PaaS平台里,产品名称通常是“金蝶云·星瀚”或“金蝶云·星辰”中的SRM模块。和用友类似,金蝶SRM也与自家的ERP、财务系统天生融合。

金蝶SRM的特点是云原生架构,部署和扩展比较灵活。它强调敏捷采购和协同效率,在供应商协同门户、移动审批、实时询价比价等方面做得比较轻快。对于快消、零售、现代服务业等采购品类相对标准、追求效率的行业,匹配度不错。

它的供应商管理模块也提供了从注册、认证、考核到淘汰的全周期管理工具。另外,金蝶在数据分析方面一直有优势,其SRM系统也能提供一些采购价格趋势分析、供应商绩效看板等数据化工具,帮助采购人员做决策。

如果你企业是金蝶ERP的用户,或者倾向于全栈采用一家云服务商的解决方案,希望系统架构现代、迭代速度快,金蝶云星SRM值得纳入考虑范围。不过,它的行业深度定制能力,相比专注垂直领域的厂商,可能还需要结合生态伙伴来完成。

四、SAP Ariba

提到SRM,很难绕开SAP Ariba。它是全球领先的采购云平台,尤其擅长直接物料采购和全球化供应链协同。如果你的企业业务遍布全球,需要管理众多海外供应商,进行国际寻源和招标,Ariba的网络效应和标准化流程非常有优势。

Ariba不仅仅是一个软件,更是一个连接买家和卖家的网络平台。买方企业可以通过Ariba Network发布需求,直接触达海量供应商;卖方也可以通过它接收订单、开具发票,实现端到端的数字化协同。这种网络价值是单体SRM系统很难比拟的。

功能上,Ariba在战略寻源、合同管理、支出分析等方面非常强大。但它的缺点也很明显:实施和运营成本高昂,流程设计偏重国际化标准,可能不太适应国内一些灵活、本土化的采购习惯。而且,系统较为复杂,对内部团队和供应商的数字化水平要求都比较高。

因此,SAP Ariba更适合那些跨国公司、大型集团,或者采购模式非常标准化、追求与国际接轨的企业。对于大多数国内中小型企业而言,它的“重量级”可能有些难以承受。

五、企企通

企企通是近年来在国内SRM SaaS市场比较活跃的一家厂商。它定位清晰,就是专注于供应链双边协同平台,核心解决企业与供应商之间的订单、交货、对账、质量等协同问题。

它的产品界面比较友好,操作轻量化,供应商上手门槛低。企业可以通过企企通快速搭建一个供应商门户,让供应商自助查询订单、送货预约、提交质检报告、跟踪付款状态等,大大减少采购员和供应商之间反复打电话、发邮件的工作量。

企企通采用SaaS订阅模式,初始投入成本低,部署快,特别适合那些想快速上线SRM核心协同功能、又不想在IT上投入太多的成长型企业。它在电子制造、服装、食品等行业有不少客户案例。

当然,作为一款偏重协同的SaaS产品,它在复杂的战略寻源、集团化深度管控等方面,可能不如前面几家全面。但对于首要任务是“把现有采购执行流程理顺、提高协同效率”的企业来说,企企通是一个很务实的选择。

总结:

测评了一圈,做个简单小结:

追求深度与定制,尤其是有复杂制造背景正远科技SRM是个不错的选择。它的低代码底座和深厚的行业理解,能很好应对复杂、多变的采购管理场景,性价比相对较高。已用用友/金蝶ERP,追求一体化稳定:分别考察用友SRM或金蝶云星SRM。生态内协同顺畅,减少集成烦恼,不过确实难免费用较高。业务全球化,采购标准化程度高:可以考虑SAP Ariba。借助其全球网络和最佳实践,但也需准备好相应的预算和变革管理。

最后提醒一点,选SRM系统不只是选功能,更是选一个长期的合作伙伴。建议在选择前,多看看厂商的真实客户案例(最好同行业),要求进行深入的业务流程演示,甚至先做个试点。毕竟,适合自己业务节奏和管理模式的,才是最好的系统。

最近逛帖子,看到好多人想集成低代码,但是不是市面上那种 saas,想要私有化部署,并且支持二开的,,,我想到我最近写的这个了,想分享出来,但是又怕各位大佬说缺失基础功能啥的,我写的这个只是实现了部分核心功能,算了说我就说我吧,我脸皮厚,希望能帮助到大家。有什么不足的功能或者建议欢迎交流,我也会继续努力的。

上一波地址,知录 AdminAdmin


📌 转载信息
原作者:
zhongmeishi
转载时间:
2026/1/23 10:20:16

公开链接: TestFlight - Apple

欢迎大家反馈 bug, 跟需求哈~~~,主打就是一个轻量简单,主要看日历假期,跟平常的简单 TODO.

是一款专为 macOS 设计的轻量级菜单栏日历应用,完美融合了现代化的任务管理功能与传统农历查询。它安静地驻留在您的菜单栏中,随时待命,助您高效规划每一天。

主要功能:

  1. 全面日历视图

农历与节气:原生支持中国农历日期显示,包含二十四节气,贴合您的生活习惯。

节假日标注:清晰标注法定节假日,重要日子不错过。

  1. 高效任务管理

无缝同步:基于 iCloud (CloudKit) 的数据同步,确保您的待办事项在所有设备间保持一致,安全且私密。

快速添加:支持全局快捷键(默认 Cmd + Shift + T),无论在大脑风暴还是会议中,随时呼出窗口快速记录灵感或任务。

优先级分类:支持标记 "重要" 任务,让关键事项一目了然。

智能归档:自动记录任务的创建、更新与完成时间。

  1. 便捷与定制

菜单栏驻留:小巧精致,不占用 Dock 栏空间,点击即用。

数据备份:内置本地备份机制,数据安全有保障。

个性化设置:可自由开关农历、节假日显示,支持开机自启动。

简・历 ,让时间的管理变得简单而优雅。立即下载,开启井井有条的一天!



📌 转载信息
原作者:
kbjwdh
转载时间:
2026/1/23 10:20:06

某信小程序: 5G 新通话
1. 新手任务: 首拔领见面礼(2 元立减金)
2. 日常任务: 复拨有礼(第二天拨打可以领 1 元立减金,坚持到第十天,总共可领 8 元立减金)
3. 分享任务: 分享小程序给好友,好友登入并复拨电话,你即可回小程序领 2 元立减金(每周最高 6 元)




📌 转载信息
原作者:
jiranrugu
转载时间:
2026/1/23 10:19:15

赛博方舟(CyberArk)发布了一份针对亚太地区公钥基础设施(PKI)的全新研究报告,报告指出,随着企业管理的数字证书数量持续攀升,该地区正面临运营中断事件增多、合规信心不足的双重问题。
本次研究由波内蒙研究院(Ponemon Institute)开展,面向全球近 2000 名 IT 与安全行业从业者,围绕 PKI 安全及证书管理展开调研。研究发现,老旧的 PKI 系统与人工管理流程在行业中仍广泛存在,而这类方式正是导致企业服务中断、安全事故频发以及运营成本高企的重要原因。
公钥基础设施是数字证书的核心支撑,这类证书用于验证用户、设备及服务的身份合法性。如今,企业在云环境中管理的机器身份和工作负载身份数量,远超出以往水平。这一转变不仅让实际投入使用的证书数量大幅增加,也让证书的续订流程和治理工作变得更为复杂

服务中断与操作失误频发

在亚太地区,超半数企业表示曾因配置错误遭遇非计划内的服务中断,近半数企业也出现过因证书过期引发的服务中断问题。研究还发现,59% 的亚太地区受访者表示,其企业尚无应对证书颁发机构遭入侵的有效预案。
调研显示,亚太地区仍有近三分之一的企业依靠人工方式跟踪和续订证书,50% 的企业因内部专业人才匮乏,在证书管理中频繁出现操作失误,且管理效率低下。
赛博方舟指出,调研数据反映出亚太地区企业在 PKI 管理上存在信心缺口:尽管部分领域中,亚太受访者对本地 PKI 运行表现的信心高于其他地区,但仅有不到半数的受访者表示,对自身 PKI 体系满足合规要求抱有高度信心。
具体来看,亚太地区仅 45% 的企业对其 PKI 体系符合合规要求持高度信心;仅有 48% 的企业确信,自身的 PKI 体系能有效抵御网络攻击和内部威胁。

全局可视性缺失成核心痛点

该报告将缺乏集中化的全局可视性列为亚太地区实现安全 PKI 管理的主要障碍之一。调研发现,39% 的受访者表示,无法对企业内部所有数字证书实现集中化可视化管理,是其 PKI 管理的最大难题;38% 的受访者则认为,安全、合规及审计工作的失效是首要阻碍。
从全球调研样本来看,老旧的 PKI 系统是企业实现安全证书管理的首要障碍,60% 的企业因该问题遭遇过安全漏洞被利用的情况。
研究还揭示了企业证书管理工作的规模:受访企业平均管理着超过 10.5 万个内部数字证书,多数企业均配备了三名全职员工,专门负责 PKI 体系的管理工作。

资源紧缺与外包趋势凸显

资源受限成为本次研究中反复提及的问题。调研显示,60% 的企业因专业人才和人员配置不足,目前已将 PKI 管理工作外包给安全托管服务提供商,或计划开展此类外包合作。
报告指出,资源受限的问题,与证书使用模式的快速变化形成了矛盾。如今许多企业的数字证书生命周期更短、续订频率更高,若企业仍依赖人工流程管理证书,证书漏续订、配置错误的风险会大幅上升。
赛博方舟机器身份安全业务总经理库尔特・桑德表示:“机器身份的快速扩张,彻底改变了 PKI 的运营模式。老旧的系统、人工的流程以及资源的紧缺,让数量持续增长的证书管理工作,复杂度进一步加剧。”
他还称:“随着证书数量不断增加、有效期持续缩短,未得到有效管理的 PKI 体系,将给企业带来快速攀升的财务损失和运营影响。当下正是企业推进 PKI 体系自动化、现代化转型的关键时期,此举能有效降低运营负担,全面提升企业的安全态势。”

自动化成核心优化方向

报告指出,那些在自动化建设和统一可视性管理上投入资源的企业,不仅服务中断事件显著减少,合规表现也更为优异。同时报告强调,尽管 PKI 在身份认证和数据加密中占据核心地位,但企业对其安全防护能力和合规性的整体信心,仍处于较低水平。
在部分运营指标上,亚太地区受访者的表现优于全球平均水平:52% 的亚太受访者认为,其 PKI 体系能高效应对设备数量和工作负载的增长(全球该比例为 47%);53% 的亚太受访者表示,其能清晰掌握企业内部证书的数量及分布情况,实现了良好的可视性管理。
此外,亚太和欧洲、中东及非洲地区的受访者表示,其 PKI 体系抵御外部攻击和内部威胁的有效率最高,均达到 49%。
波内蒙研究院主席兼创始人拉里・波内蒙博士表示:“PKI 对于保障数字通信中的信任度、安全性和隐私性,具有至关重要的作用。但本次研究表明,企业对 PKI 体系抵御安全威胁、匹配不断增长的设备和工作负载需求的能力,普遍缺乏信心。”
他还称:“要提升 PKI 体系的有效性,我认为会有更多企业引入人工智能技术,以此降低运营负担,实现更优的安全防护效果。”
赛博方舟预测,在云环境和现代应用场景中,机器身份和数字证书的数量将持续增长;受服务中断风险和合规要求的双重驱动,会有更多企业对自身的证书资产、续订流程及治理体系进行全面审查和优化。

微软正式发布Microsoft 365 企业版应用安全基线 2512 版本。该基线文档明确了企业环境下 Office 应用的推荐策略配置,并将这些配置与当前的管理工具进行适配关联。

2512 版本基线的覆盖范围

2512 版本基线对 Word、Excel、PowerPoint、Outlook 和 Access 的各项配置进行归类整合,涵盖宏、插件、ActiveX 控件、受保护视图以及应用更新行为相关的管控项。其中的配置指引明确了默认值与推荐值,安全团队可通过策略直接应用。
微软提供的基线文件适配企业主流工作流格式,包括组策略对象Microsoft Intune 设置目录。每项配置均附带说明文档与推荐取值,管理员可根据企业内部需求审核并调整相关配置。

与早期版本基线的差异

微软表示,2512 版本基线更新了配置推荐项,使其与当前版本的 Microsoft 365 企业版应用保持一致,同时文档内容也同步了近期 Office 版本迭代中,策略可用范围与命名规则的变更。
部分配置项所在的管理模板与早期基线相比发生了调整,文档中对这类变更做了重点标注,方便安全团队追踪各类策略在不同管理工具和操作系统版本中的呈现位置。

安全团队对该基线的使用方式

安全基线是企业环境加固工作的重要参考依据,安全团队通常会将现有 Office 配置与官方发布的推荐配置进行比对,以此发现配置漏洞与不一致的地方。
实际应用中,企业一般会先将基线导入测试环境,验证应用运行表现,再通过 Intune 或组策略部署选定的配置项。该基线将各项推荐配置独立呈现,而非打包强制推送,为这一落地流程提供了适配支持。
用户可从微软安全合规工具包中下载本次更新的基线,对推荐配置进行测试后,根据实际需求完成落地部署。

fce16b0fecfa0585fd346adc9d8b25fc.jpg

由 OpenBuild 联合 SegmentFault、VibeFriends 和 Monad 共同发起,并携手 KIMI、智谱 AI、豆包编程、YouWare、阶跃星辰、Rokid、硅基流动、立创开源等多家顶尖 AI 公司举办的「Rebel in Paradise AI 黑客松」已正式拉开帷幕。这场聚焦“智能体时代原生基础设施、产品与市场”的深度探索之旅,现已面向全球开发者开放报名通道。

如果你的桌面还堆满关于 AI Agent 的技术文档却无处实践;如果你的脑海中早已构想出一个能够自动化工作流、创造价值的智能体应用却缺少舞台;如果你渴望与 Kimi、智谱 AI、豆包编程等一线团队的技术专家面对面交流,那么,你的机会来了。

这可能是智能体时代最后的“末班车”

Rebel in Paradise AI 黑客松三大核心赛道

过去一年,AI 智能体从概念走向落地,正在重塑工作方式与商业逻辑。但真正的创新浪潮才刚刚涌起。本次黑客松瞄准三大核心赛道,直击行业最前沿痛点:

赛道一:Agent-native Payments

智能体间的价值流转与支付协议、微支付系统、自动化结算方案——这是构建智能体经济系统的基石。

赛道二:Intelligent Markets

基于智能体的预测市场与交易系统,探索数据市场、算力市场、AI服务市场的全新可能性。

赛道三:Agent-powered Apps

由智能体驱动的下一代应用,从工作流自动化到个性化助手,再到协作工具,用代码定义未来。

Hackathon 时间

👥 报名与组队期: 即日起 - 项目提交前均可报名组队

💻 项目提交截止: 2026年2月28日 23:59:59

✅ 最终结果公布: 2026年3月10日

如何参与

👉立即报名:https://rebel.openbuild.xyz

本次 Hackathon  以线上为主,开发者完全可选择全程线上参与,完成项目构思、开发与提交。同时我们也会在线下举办两场 Hacker Camp:

👉 北京(1月31日): https://luma.com/irllzbeu

👉 深圳(2月7日): https://luma.com/je6if25j

为开发者提供的额外深度交流与实战辅导机会,你可以将此视为一次与导师、队友线下碰撞火花的“加速器”。

无论你身在何处,均可参与线上环节,享受同等技术辅导、资源支持与评奖资格。当然,无论是否报名 Hackathon,也非常欢迎亲临线下活动现场,与数百名开发者同台交流。

为什么你必须把握这次机会?

**💰 总奖池 $40,000:** $20,000现金 + $20,000 资源奖励

🔥 稀缺资源支持: 包括 LLM Token、 NVIDIA DGX、顶尖公司参访机会等

🆙 成长直通车: 一线AI公司技术专家辅导、投资人对接、项目孵化支持

💬 社群与背书: 加入由高质量开发者、创业者和技术领袖组成的创新网络

智能体时代的竞争,已从“是否会使用工具”升级为“能否创造智能体”。这趟驶向未来的列车已经鸣笛,车厢里坐着Monad、Kimi、智谱AI的技术领袖,也坐着与你一样渴望用代码重塑世界的开发者。

别等到2月28日才后悔没报名。最好的开始时间,永远是现在。

快速答疑(Q&A)

Q:可以纯线上参与,完全不参加线下活动吗?

A:完全可以。 线上参与即可完成全部黑客松流程并获得完整资源支持。

Q:没有成型的项目或想法,可以报名吗?

A:可以。 线下活动无门槛,线上黑客松最终需提交项目,但我们鼓励从0到1的探索,并设有相应辅导环节。

Q:如何组队?

A:建议自行组队,也可在活动社群中招募队友。

Q:可以同时报名北京和深圳两场线下活动吗?

A:可以。

Q:资源支持(算力、硬件等)如何申请?

A:组队成功后即可提交申请。

Q:能选择多个赛道吗?

A:可以多选,组委会将进行简单审核。

我们相信,下一个时代的“一人公司”,将由智能体与你共同构建。

合作伙伴

a29ee9b59442ba5f9ec3ab9f372566ef.jpg

点赞 + 关注 + 收藏 = 学会了

整理了一个NAS小专栏,有兴趣的工友可以关注一下 👉 《NAS邪修》

withoutbg 是一款 AI 图片去背景工具,支持本地免费离线处理(隐私保护)和 Pro 版高质量处理,能通过 Docker 轻松部署到 NAS。

这次用的是绿联DXP4800Plus。

打开 Docker,打开“镜像”模块,搜索“withoutbg”。

下载红框这个。

下载完成后,打开“本地镜像”,点击“withoutbg/app”右侧的加号创建一个容器。

“自动重启”建议开启。

然后往下滑,NAS端口设置一个其他项目没用过的数字。比如我这里设置的是 39155

接着在浏览器打开 绿联NAS的IP + 39155 就可以使用 withoutbg 抠图了。

试了一下,物品、动物、人物都可以抠。

但缺点就是它自己去识别抠什么,并没提供一个涂抹工具,让我涂什么它就在我涂抹的区域去抠图。

而且界面没中文。


以上就是本文的全部内容啦,想了解更多NAS玩法可以关注《NAS邪修》

点赞 + 关注 + 收藏 = 学会了

视频会议国产化核心技术架构与技术特性解析

在数字化协同与信息安全需求双重驱动下,视频会议国产化已从政策导向转向技术落地,其核心价值集中体现在自主可控、安全可靠、全场景适配三大维度。通过硬件根基、编解码技术、传输优化、安全防护及生态兼容的全链条技术创新,国产化视频会议系统正构建起独立于国外技术体系的完整解决方案。

一、硬件与系统架构:自主可控的技术根基

国产化视频会议系统以“芯片-模块-板卡-系统”全链条自主化为核心架构,彻底摆脱对国外硬件的依赖。核心硬件层面,采用国产自主研发的音视频编解码芯片、高性能主控芯片及信号处理芯片,覆盖X86与ARM双架构,适配飞腾、鲲鹏、兆芯等主流国产CPU,PCB板采用国产基材并通过-40℃~70℃极端环境适应性测试,保障供应链稳定与硬件可靠性。

系统层面深度适配银河麒麟、统信UOS、中科红旗等国产操作系统,实现客户端与服务器端的全平台兼容,同时支持Windows、MacOS、Android、iOS等跨系统协同,形成“硬件-系统”软硬协同的底层支撑。架构设计上采用分布式集群架构,通过多节点负载均衡提升并发处理能力,可支持数百至上千分会场的大规模会议调度,满足应急指挥、跨区域协作等复杂场景需求。

二、音视频编解码与传输技术:高清流畅的体验保障

(一)超高清编解码技术突破

国产化视频会议系统已实现从1080P到4K的画质跃升,旗舰级方案支持4K60fps主辅流双路传输,部分高端方案可实现8K60fps输出,画面色彩还原度达98%,能精准呈现文档细节、图纸线条及面部微表情,满足远程医疗、技术培训等高精度场景需求。编码标准上全面支持H.265高效编码与AVS3国产编码双标准,在保障画质的同时实现带宽利用率提升50%,仅需1Mbps带宽即可传输4K30fps高清视频,较行业平均水平显著降低网络成本。

音频处理方面采用OPUS 48K高保真编码,融合智能混音、回音抑制与噪音过滤算法,可有效屏蔽键盘敲击、空调运行等环境杂音,实现清晰自然的实时语音交互。针对复杂声学环境,系统具备自动增益调节与声场均衡功能,确保不同参会环境下的语音清晰度。

(二)宽域网络适配与抗干扰优化

传输技术上支持64Kbps-8Mbps宽范围带宽调节,在偏远地区低带宽环境下,64Kbps模式可保障基础音视频沟通;在高速网络环境中,8Mbps带宽能充分释放超高清性能。通过动态码率控制算法,系统可实时适配网络波动,在30%丢包率环境下仍能保持画面完整性与语音连续性。

为提升带宽利用效率,系统提供多模式智能调控机制:自动模式适配高端全高清会议,主流优先模式保障主讲画面清晰,辅流优先模式优化文档分享体验,可通过快捷操作10秒内完成切换。网络协议层面支持IPv4/IPv6双栈,兼容TCP/IP、RTP/RTCP等传输协议,同时通过H.460穿透技术解决防火墙限制,保障跨网络、跨区域会议的稳定连接。

三、安全防护体系:国密标准的全链路保障

国产化视频会议系统以GB/T 39786-2021国家密码标准为核心,构建“硬件-传输-存储”全链条安全防护。加密技术上集成SM2、SM3、SM4国密算法,通过SM4算法实现音视频流端到端加密,SM3算法保障存储数据完整性,SM2算法完成终端身份认证与数字证书核验,从根源杜绝数据泄露风险。

协议安全层面采用TLS/SRTP双重加密机制,TLS加密保护会议邀请、权限控制等信令数据,防止被篡改或窃听;SRTP加密保障音视频媒体流传输安全,即使数据被截获也无法解密还原。权限管理上采用“管理员-主讲人-参会人”三级角色体系,可精细化控制会议录制、文件下载、屏幕共享等敏感功能,满足政务、金融等涉密场景的安全要求。

数据存储方面支持本地服务器部署与国产化云平台适配,所有会议数据均存储于国内服务器,严格遵循数据跨境传输相关规定,避免数据出境风险。系统还内置日志审计与操作追溯功能,可完整记录会议创建、参会人员、数据传输等全流程信息,便于安全审计与问题排查。

四、智能协同与生态适配:全场景应用赋能

(一)智能会议功能升级

国产化视频会议系统深度融合AI技术,实现会议全流程智能化赋能。人脸自动签到功能可在几分钟内完成百人参会者身份核验,语音转写准确率达98%,会议结束后自动生成结构化纪要并同步至OA系统,大幅提升协作效率。视频处理上集成AI画质增强技术,通过自动曝光调节解决光线不均问题,避免“逆光黑脸”现象,提升复杂环境下的视觉体验。

会议管理功能覆盖通讯录管理、会议预约、分组讨论、文件共享、电子白板等全场景需求,支持会中功能模块自定义配置,可根据行业特性与办公习惯灵活调整功能布局。部分方案支持多机位接入与智能调度,主会场可连接4台以上4K摄像机,通过会控终端实现单画面、分屏等多种布局切换。

(二)国产化生态兼容适配

系统全面兼容国产软硬件生态,硬件层面可直接对接国产网络摄像机、麦克风、显示终端等外设,支持HDBaseT等接口标准,简化部署流程并降低故障率;软件层面与国产办公软件、政务系统、CRM系统无缝集成,实现会议预约、纪要分发、任务跟进的全流程闭环管理。

针对不同行业场景,系统提供定制化适配能力:应急指挥场景支持全省级多会场实时调度,教育场景优化课件分享与录播功能,企业协作场景兼容主流办公平台,形成覆盖政务、金融、医疗、教育等多领域的解决方案体系。同时支持终端多样化接入,包括PC端、移动端、TV终端等,满足移动办公与固定会场的全场景使用需求。

结语

视频会议国产化的技术演进,本质是自主创新与场景需求的深度融合。从核心芯片的自主研发到国密算法的全面应用,从超高清传输到智能协同,国产化系统已在技术性能、安全防护与生态适配等方面实现跨越式发展。未来,随着AI大模型、5G等技术的深度融入,视频会议国产化将向更低延迟、更高智能、更广兼容的方向进阶,为数字中国建设提供安全可靠的协同支撑。

吃透 Python 接口自动化测试框架:从设计到开发实战精讲——超越脚本,构建质量壁垒
在软件测试领域,“接口自动化”早已不是什么新鲜词汇,甚至可以说是测试工程师的标配技能。然而,在实际的工作交流中,我发现一个普遍的现象:绝大多数测试人员虽然每天都在使用 Python 写自动化脚本,但却往往停留在“能用”的层面,甚至陷入了“为了自动化而自动化”的泥潭。面对复杂多变的业务场景,现成的工具如 Postman 或简单的脚本往往显得力不从心。因此,“吃透 Python 接口自动化测试框架:从设计到开发实战精讲”这一课题的价值,便显得尤为突出。在我看来,这不仅是一次技术能力的提升,更是一场从“脚本工人”向“测试架构师”的思维蜕变。
首先,我们需要明确“框架”与“脚本”的本质区别。很多初学者所谓的自动化,不过是利用 requests 库写了一长串线性执行的测试函数。这种方式在面对三五个接口时或许效率尚可,但随着业务量的指数级增长,脚本维护成本会迅速失控。真正的框架设计,核心在于“抽象”与“复用”。一个优秀的框架,应当像搭建乐高积木一样,将通用的能力——如 HTTP 请求的封装、配置文件的读取、日志的记录、数据库连接的管理——剥离出来,形成稳固的底层基石。通过精讲框架设计,我们学会的是如何用工程化的视角去看待测试代码,如何利用 Python 的面向对象特性来降低系统的耦合度。这种设计思维的建立,是解决“脚本难维护、扩展性差”这一顽疾的唯一解药。
其次,深入理解框架的运行机制,是解决复杂测试场景的关键。在实际测试中,我们经常面临数据依赖、环境隔离、并发执行以及异步处理等棘手问题。例如,接口 B 的入参依赖于接口 A 的返回值,如何优雅地处理这种链式依赖?又比如,在进行数据驱动测试时,如何将测试代码与测试数据彻底分离?这些问题的解决,不能靠堆砌 if-else,而是需要框架层面提供强大的支持,比如引入装饰器来处理前置条件,或者利用设计模式(如工厂模式、单例模式)来管理测试生命周期。实战精讲的魅力在于,它不会只教你“怎么做”,而是深入剖析“为什么这么做”。当你吃透了框架内部的请求拦截器、钩子函数以及异常捕获机制后,你会发现,那些曾经看似不可逾越的障碍,如今都能在框架层面通过寥寥数行配置得以化解。
再者,从设计到开发的完整闭环,能够极大地提升测试工程师的技术话语权。在传统的研发流程中,测试人员往往处于被动接收的一方。然而,当你能够独立设计并开发一套企业级的自动化测试框架时,你的角色就发生了质的变化。你不再仅仅是质量的“检验者”,而是质量保障体系的“建设者”。这套框架不仅是验证业务逻辑的工具,更是研发团队的“基础设施”。通过集成 CI/CD 流水线,实现代码提交后的自动触发与报告反馈,测试框架成为了连接开发与运维的桥梁。这种对工程效能的推动,是单纯的手工测试或浅层脚本无法比拟的。它要求我们不仅要懂 Python,还要懂 Linux、懂 Docker、甚至懂一点架构设计,这种全栈式的视野正是测试进阶的核心竞争力。
此外,我认为“吃透”二字还意味着对可扩展性与稳定性的极致追求。一个好的框架,必须具备良好的容错能力和清晰的报告机制。在实战中,我们需要思考如何设计断言库,才能让报错信息一目了然?如何处理网络抖动导致的偶发失败,避免误报?这些细节的打磨,直接决定了自动化测试在团队中的信任度。如果测试框架总是“报错不断”且难以排查,那么它最终只会被束之高阁。通过精讲中的实战演练,我们将学会如何编写鲁棒性强的代码,如何通过日志追踪问题的源头,从而让自动化测试真正成为团队信赖的“守门员”。
综上所述,Python 接口自动化测试框架从设计到开发的学习,绝非只是掌握几行 Python 语法或几个测试库的用法那么简单。它是一场关于代码质量、系统设计思维以及工程效能的深度修炼。它帮助我们摆脱了重复劳动的桎梏,赋予了我们构建复杂质量保障体系的能力。对于每一位渴望在测试领域深耕、希望打破职业天花板的工程师来说,吃透框架设计与开发,是通往技术高地的必经之路。它让我们明白,真正的自动化,不是机械地执行点击,而是用智慧构建一套能够自我进化、高效运转的质量生态系统。

(所有项目的详细介绍,都可以在我公众号搜到相应的介绍文章)

纯AI底层原理项目

文章介绍链接:
https://mp.weixin.qq.com/s/cATjUcO2uoi8Knim6ZKb5w

通过此项目,一共可以衍生出三个子项目,含金量非常之高。大家可以看看简历书写,是否感兴趣

完整项目简历


子项目---MCP server部分

子项目---整体mcp开发

子项目---a2a开发

操作系统项目

在应届生校招面试中,对基础知识的拷打,系统知识部分占据了极其重要的一环。(校招面试基础知识,一般就是拷打语言、操作系统、计算机网络、还有自己写的额外学的东西)

那这个时候,如果操作系统学习的好,学的深入,远超同龄人,那面试基本已经成功三分之一了。

那怎么说明操作系统算学习的好呢,无非就是深入底层,深入内核。 学习内核源码,尝试改编。

针对这,星球里目前有两个项目:

协程框架

一个是协程框架项目(底层语言到寄存器,操作系统hook机制,内核模块编写)

同时有详细的学习路线、学习资料、学习代码、简历书写,以及面经

如下图:

Linux性能监控项目

(和星球同学一起整理的分享给大家)

目前大家都在强调自研,自研操作系统。尤其新能源,智能座舱都在自研操作系统。

那怎么自研的,从0到1,肯定是首先要借鉴下目前好的操作系统(安卓),以及对底层的模块熟悉,会编写内核模块。

并且既然是监控项目了,肯定要对底层的一些指标进行监控,监控内核。了解要学习的中间件

以及对一些性能怎么进行测试等等。通过此项目,将会让你对操作系统的掌握,更上一层楼

同时有详细的学习路线、学习资料、学习代码、简历书写,以及面经

如下图:

计算机网络项目

作为另一个面试中被拷打的重点。大多数人对于网络的学习都是停留在传输层、应用层上。你学,他学,大家都学了,那怎么突出你掌握的深度,实现对其他人的降维打击呢。

那就往深的学,往底层的学。是不是可以学学底层协议呢,学学底层内核网络协议栈呢。

通过这个学习,你会了解内核中对协议的一些实现、以及用户态怎么与内核网络协议栈进行交互,以及怎么监控内核网络协议栈。对网络部分实现对同龄人甚至面试官的降维打击。

并且此项目也融合了AI的东西,引起了RAG技术,进行了多种RAG的实现方式。与AI结合,符合潮流

同时有详细的学习路线、学习资料、学习代码、简历书写,以及面经

如下图:


项目介绍文章:

项目介绍视频

https://www.bilibili.com/video/BV1jbx2zgE7h/?spm_id_from=333....

后端项目(AI智能云存储)

很多学生学cpp,但是又要找后端岗位、服务端开发的工作。

这个时候就需要你有crud经验,作为一个cpp选手(cpp主要就是搞底层、 嵌入式的)。证明自己有后端经验,那最好的证明就是证明自己有个后端的项目

并且很多人学cpp,也是因为时间来不及,想速成。c++最大的优势就是可以学习较少的东西,就可以做出一份很不错的简历出来,投入到找工作行列中。(用少量的时间就可以达到找工作的要求)

但是简历项目必不可少,这个时候有个简单同时也有含金量的项目至关重要。

那就可以做个后端项目,比较简单。也有含金量,之前全程辅导23/24/25届的学生,单纯用这一个项目,并且用的还是基础版本(目前进行了一次迭代,新增了使用docker、k8s一键部署,以及也增加了AI的东西),就可以找到满意的工作。

同时有详细的学习路线、学习资料、学习代码、简历书写,以及面经

如下图:

游戏项目

(和星球同学一起整理的分享给大家)

很多人学cpp可能是为了想找游戏相关的工作,但是苦于没有合适的项目,这里 给大家介绍两个项目。

一个是框架类的项目

一个是落地的项目

分布式ECS游戏后端框架

实现了一个游戏开发框架,一个黑盒子,底层框架,供游戏开发者使用。复用了很多功能

具体内容可以看下面的图片:

游戏姿势识别项目

从游戏开发应用、中间框架层、底层硬件封装、sdk调用,一条龙自主实现。

主打对整体的一个流通,可通各个层级岗位,万金油

如下图:

一站式编程平台项目

此项目主要用于为大家编程学习,提供编程练习环境。带大家从小白一步一步蜕变成编程大牛,而不是一个只会背的八股选手


qt项目

正在研发中,争取年前上线

其他收集的开源免费的基础项目

免费开源给大家,不要被一些人忽悠,拿着这些开源项目说自研,忽悠大家,忽悠钱就算了。还忽哟大家把线程池、内存池当作项目,耽误大家前程。




等等其他项目在开发中

知识星球介绍(公认的cpp c++学习地)

星球名字:奔跑中的cpp / c++

专注cpp/c++相关求职领域的辅导

加入星球福利,后续如果有其他活动、服务,不收费,不收费,可以合理赚钱就收取下星球费用,但是不割韭菜,保持初心

感兴趣的微信扫下面的码,然后下载知识星球app登录即可

(1)高质量的项目合集






同时如果项目,遇到任何困惑也会第一时间进行解答的

(2)高质量精确性八股资料


(3)详细的学习路线

(4)活跃的学习氛围,星球打卡不只是一个形式,而是每天观看,针对同学们的学习情况提出合理化的建议,同时也有高质量的星球微信内部群


(5)星球提问简历修改,提供意见的同时,还会给安排一对一腾讯会议辅导

(6)星球同学offer情况,以及对应学习情况,给大家提供参考

(7)全网最全cpp相关面经整理

(8)编程实战能力提升平台(大家都可以使用的,免费的)

访问网址 cppagancoding.top

星球同学的评价

(9)每周也会进行直播答疑,同时有时也会给星球内部同学开一些知识、路线分享会。

具体可以看B站放的视频,up名字:cpp辅导的阿甘

(10)奖励金激励,会根据大家打卡学习/ 面经打卡整理情况,每个月每个季度发放奖励金。有的人陆陆续续已经获得了数千月的奖励金,是加入星球费用的数十倍了

等等,可能还有一些其他服务,目前没想起来的,以及后续也会增加的服务

本文由mdnice多平台发布

1月21日,以“超越泡沫,开始构建”为主题的2026极客科技伙伴时刻圆满结束,该活动是极客邦科技一年一度的保留节目,旨在表彰过去一年中为技术生态发展与建设贡献突出力量的企业、团队和个人。

其中,矩阵起源凭借其在技术生态的深耕,获“2025年度技术生态构建品牌奖”。矩阵起源的坚持,让生态更具韧性与温度,为产业注入生生不息的动能。

作为行业的中坚力量,矩阵起源深知,生态建设的终局不是“独行”,而是“共赢”。这一奖项的背后,是我们专注连接开发者、用户与合作伙伴,推动技术普惠与可持续增长的坚定行动。面向未来,矩阵起源将继续秉持“构建者”的初心,在技术生态的深水区持续探索。我们希望通过更务实的行动与更开放的姿态,携手每一位生态伙伴,共同穿越周期,构建一个安全、高效、且充满活力的技术新生态。