本文永久链接– https://tonybai.com/2024/11/16/go-crypto-and-fips-140在今年3月份，Microsoft Azure团队宣布开设Go开发人员博客，旨在向开发者通报Microsoft在Go领域的最新动态，包括如何在Azure上部署Go工作负载以及与Go编程相关的文章。然而，经过一段时间的关注，我发现该博客上的大多数文章都呈现出类似下图中的标题格式：似乎微软在紧跟Go的发布节奏，发布自己维护的fork版本。那么，这些fork版本与上游Go究竟有何不同呢？通过查阅其fork版的README文件，我们可以找到答案：原来微软的Go分支主要是为了向开发者提供符合FIPS 140-2标准的Go加密库。近期，Russ Cox也发起了一个新提案，旨在使Go的加密库符合FIPS 140标准，以便能够去除Boring Crypto库。对于许多对加密领域不太熟悉的读者来说，这可能会引发一系列疑问：什么是FIPS 140标准？Go目前对FIPS 140标准的支持状态如何？新提案将如何影响Go未来对FIPS 140标准的支持？在这篇文章中，我们就一起了解一下FIPS 140标准、Go对其支持的现状以及未来的支持策略。1. 什么是FIPS 140标准认证FIPS 140（联邦信息处理标准第140号）是美国政府制定的一套计算机安全标准，主要用于规定加密 ...继续阅读 (14)

10 月 1 日，OpenAI 在旧金山召开了年度开发者大会「DevDay 2024」，此时的 OpenAI 即将获得一笔 66 亿美元的融资，创下硅谷历史上最大融资的历史。就在同一天稍晚时候，马斯克在位于旧金山的 OpenAI 旧总部，召开了一场别开生面的 AI Party。晚上 8 点半，由 AI 实时编写生成的音乐停止播放，马斯克在保镖的簇拥下，站上一张桌子，向与会者发表讲话：我们想创造一个尽可能良性的超级 AI。以这句话为引子，马斯克讲述了为什么要创办 xAI，并将其搬到近十年前他帮助创办 OpenAI 的同一间办公室。2015 年，马斯克与 OpenAI 的 CEO Sam Altman 以及一群志同道合的伙伴共同创立了 OpenAI，但仅仅三年后，他就退出了董事会。虽然当时他给出的理由是特斯拉专注于人工智能，并认为自己的公司与 OpenAI 未来可能会有冲突，但又推翻了这个说法，声称分手的原因是理念不合，在 2023 年，马斯克甚至一度以 OpenAI 违反了自己的非盈利使命为由，一纸诉状将 OpenAI 送上了法庭，但根据曝光的邮件来看，马斯克是在试图获得 OpenAI 的控制权，包括要求 CEO 职位和多数股权，未果后选择离开。接下来的事情就简单多了，既然掌管 OpenAI 失败，那就自己搞一个。2023 年 3 月，在社交媒体平台 X 办公楼的第十层，xAI 诞生 ...继续阅读 (14)

本文永久链接– https://tonybai.com/2024/10/03/how-to-daemonize-go-program在后端开发的世界里，守护进程（daemon）这个概念与Unix系统一样古老。守护进程是在后台运行的长期服务程序，不与任何终端关联。尽管现代进程管理工具如systemd和supervisor等让应用转化为守护进程变得十分简单，我们甚至可以使用以下命令来在后台运行程序：nohup ./your_go_program &但在某些情况下，程序的原生转化为守护进程的能力仍然是有必要的。比如分布式文件系统juicefs cli的mount子命令，它就支持以-d选项启动，并以守护进程方式运行：$juicefs mount -h NAME: juicefs mount - Mount a volume USAGE: juicefs mount [command options] META-URL MOUNTPOINT ... ... OPTIONS: -d, --background run in background (default: false) ... ... ... ...这种自我守护化的能力会让很多Go程序受益，在这一篇文章中，我们就来探索一下Go应用转化为守护进程的实现方法。1. 标准的守护进程转化方法W.Ri ...继续阅读 (31)

本文永久链接– https://tonybai.com/2024/08/11/understand-functional-programming-in-go一个孩子要尝试10次、20次才肯接受一种新的食物，我们接受一种新的范式，大概不会比这个简单。– 郭晓刚 《函数式编程思维》译者函数式编程(Functional Programming, 简称fp)是一种编程范式，与命令式编程(Imperative Programming)、面向对象编程(OOP)、泛型编程(Generics Programming)、逻辑编程(logic Programming)等是一类的概念。注：尽管面向对象范式引入了新的编程思想和技术，但它本质上与命令式编程一样，都关注程序的状态和如何通过改变状态来控制程序的执行流程，因此，OOP仍然属于命令式编程的一个分支。OOP可以看作是命令式编程的一种扩展和补充，它增强了代码的模块化、复用性和可维护性。在接下来，我会统一使用命令式编程范式来指代它们。但几十年的编程语言的演进和实践已经证明：函数式编程并非银弹，它有优势，更有不足。从编程社区的实际反映来看，纯函数式编程语言(比如：CLisp、Haskell、Scala、Clojure、Erlang等)始终处于小众地位。此外，即便很多主流命令式编程语言在近些年融入了一些函数式编程的语法特性，采用函数式 ...继续阅读 (47)

2013 年的时候，自动驾驶还是一个非常前沿和性感的概念，一如当下的 AGI，前几年的元宇宙，在互联网公司如火如荼的时代，腾讯每年都会举办一场 WE 大会，来聊一聊那一些星辰大海的话题，比如基因编辑、脑机接口、宇宙探索等等。我第一次接触「自动驾驶」的概念，就是在 2013 年第一届腾讯 WE 大会上，当时有嘉宾抛出了如下观点：技术问题不难解决，难以解决的是法律问题。在十年之内，消费者是可以买到无人驾驶汽车的。如果机器它做的判断正确率达到 95%，那可能还是要比人好、比人快。十年之期已到，这些话算是大致应验，当萝卜快跑已经在多个城市大规模上路，主流新势力品牌的高端车型具备高阶智能驾驶能力，以及特斯拉 FSD V12 版本的推送，还有特斯拉 RoboTaxi 即将发布，自动驾驶技术正从 L2+ 级别往 L4 级别迈进，「车坐不开」变得并不遥远。等一下，当我拿出这张图，阁下该如何应对？这是广州城区日常交通状况的一个普通场景：机动车道不仅跑着海量乱窜的两轮电瓶车，甚至龟速的电动轮椅也跑在机动车道上。此时，智能驾驶的优势和挑战就一起体现：优势是智能驾驶没有情绪，不会生气不会路怒；挑战是龟速电动轮椅和乱窜侵入机动车道的两轮电瓶车对于智能驾驶来说，是很不好预测和处理的场景。实际上，十年前预测自动驾驶发展大多基于一个逻辑：路上的车和人都遵守交规，红灯停绿灯行，机动车道不会出现害人精。但当厂商们交付 ...继续阅读 (51)

【摘要】一：背景 1. 讲故事 前些天有位朋友找到我，说他们的系统出现了CPU 100%的情况，让我帮忙看一下怎么回事？dump也拿到了，本想着这种情况让他多抓几个，既然有了就拿现有的分析吧。 二：WinDbg 分析 1. 为什么会爆高 既然说是 100%，作为调试者得拿数据说话，可以使用 !tp 来观测一阅读全文 ...继续阅读 (46)

本文永久链接– https://tonybai.com/2024/07/21/simd-in-go前些日子，一些资深Gopher，比如fasthttp的作者Aliaksandr Valialkin因函数迭代器加入Go 1.23版本而抱怨Go的演进走错了方向：朝着增加复杂性和隐式代码执行的方向发展，而没有专注于Go语言的基本设计哲学——简单性、生产力和性能。Valialkin希望Go团队能专注于一些性能打磨和优化的环节，比如使用SIMD提升一些计算场景下Go代码的性能，避免Go的某些领地被以性能和安全性著称的Rust抢去！无独有偶，在Go项目issues中，我们也能看到很多有关希望Go支持SIMD指令的issue，比如近期的一个proposal，就期望Go团队可以在标准库中添加simd包以支持高性能的SIMD计算，就像Rust std::simd那样。当然，早期这类issue也有很多，比如：issue 53171、issue 58610等。那么什么是SIMD指令？在Go官方尚未支持simd包或SIMD计算的情况下，如何在Go中使用SIMD指令进行计算加速呢？在这篇文章中，我们就来做个入门版介绍，并以一个最简单的矩阵加法的示例来展示一下SIMD指令的加速效果。1. SIMD指令简介SIMD是“单指令多数据”(Single Instruction Multiple Data) ...继续阅读 (44)

本文永久链接– https://tonybai.com/2024/06/28/go-and-nn-part3-handwritten-digit-recognition在上一篇文章《Go与神经网络：线性回归》中，我们借由传统的机器学习方法：线性回归解决了房价预测问题。按照我初步设想的从传统机器学习到大语言模型的学习路线，是时候在这一篇中切换到学习神经网络了。1. 从线性回归到神经网络我们已经知道了如何使用多元线性函数构成的线性回归模型预测房价，其实线性模型也可以看作是一个神经网络。我们在上一篇文章中使用的假设函数如下图：我们可以将y’表示成一个神经网络的结构：这里x1、x2和x3是神经网络的输入，y’是神经网络的输出（这里省略了偏置参数b），y’也是该网络里唯一一个具有计算功能的神经元，即计算神经元。一个更具通用意义的与线性模型等价的神经网络结构如下图，该图只显示连接模式，即只显示每个输入如何连接到输出，隐去了权重和偏置的值：在上面神经网络中，输入为x1、x2…、xn，它们共同构成了该神经网络的输入层(input layer)。没错，在神经网络结构中，我们引入了“层(layer)”的概念。神经网络中一般有三类层，它们分别是输入层、隐藏层和输出层。大家耳熟能详的（但却不知道具体是什么的）卷积层、池化层等，都可以被视为广义的隐 ...继续阅读 (56)

城市是人类使用的最大容器，既然是容器，那必须装有内容才可以吸引人前来驻留。然而城市经过多年的更新演化，总有些角落逐渐失去了原本的功能逐渐暗淡，但依旧不声不响的存在在那里，在最繁华的地段扮演者最高冷的角色，成为城市负空间。城市更新的第一要义，就是为这些场所定义新的功能，提供新的吸引力，也为城市的未来发展承续。 项目背景 项目所在的发展大道，作为宜昌城市东扩的重要道路，从2002年建成以来，已经逐步发展成为东部实验新城的重要城市干道。道路两侧高楼住区林立，已然是夷陵区乃至宜昌城最具活力的城市干道之一。2022年，发展大道全面启动街区更新工作，拟构建全段8个公园节点，项目作为全段第一个启动的节点，显得尤为重要。 ∇ 发展大道城市更新总平面图 作为城市主干道路的下穿过渡空间，向东承接了欧阳修文化公园的城市轴线，曾经被定义为城市集会舞台，至今鲜少有被使用。尽管有对面万达商城吸引人流，人们却常常因为台阶过多缺少坡道，而放弃这段下穿空间，更愿意绕行走人行横道甚至横穿马路，如此一来，此处空间更显萧条。因此，这个处于繁华地段的下沉负空间，成为整个发展大道街区城市更新项目的重要改造对象。 ∇ 场地原始照片 现状与挑战 现状以12级台阶呈现环形观演台的状态，或许当年极具形式感也曾带来一定的功能性，而如今观而无演。向心式的花坛给未来空间留有绿化余地，6米的高差只有台阶，没有坡道，让下沉空间进入不便。场地建 ...继续阅读 (58)

隐匿千年古村落，消隐在人间烟火中……Asecluded haven nestled in a centuries-old village, integrated into everyday life. ∇ 全区鸟瞰 © 是然建筑摄影 Aerial view of the site © SCHRAN 场地处在一个具有悠久历史的传统村落里，周边都是具有典型徽式元素的传统民居。既有悠久历史的明清建筑也有叠加近代及当代新建的村民住宅。而我们场地所在位置是这个村落里比较深的区域，到达这里必须穿过村落中或宽或窄、蜿蜒曲折的村中巷道。Nestled within the heart of a village steeped in rich history and culture, the project site is dominated by traditional Anhui-style residences dotting the landscape. These unique dwellings are a blend of old and new, with some having been built centuries ago during the Ming and Qing dynasties, while others have been recently constructe ...继续阅读 (58)

本文永久链接– https://tonybai.com/2023/12/10/go-changes自从Go语言之父Rob Pike从Google退休并隐居澳洲后，Russ Cox便成为了Go语言团队的“带头大哥”，虽然其资历还无法与依旧奋战在一线的另外一位Go语言之父Robert Griesemer相比。如今，Russ Cox对Go语言未来的演化发展是很有“发言权”的，Go module的引入便是Russ Cox的重要决策之一。从Go社区来看，这些年来，以Russ Cox为首的Go团队对Go演进决策总体上是良性的、受欢迎的，比如Go module、Go泛型、Go对wasm的支持等，当然也有一些变化是受到质疑的，比如：Go 1.22版本很可能从试验特性到正式特性的loopvar等。注：我的极客时间《Go语言第一课》专栏中有对Go module和Go泛型的详细讲解，欢迎感兴趣的童鞋订阅阅读。想必很多Gopher也和我一样，对Go团队就某一proposal的决策方式和依据很好奇 –到底他们是如何决定是否accept这个proposal的？Go语言后续该如何演化？向哪个方向发展演化？今年9月份举办的GopherCon 2023上，Russ Cox代表Go团队做了名为“Go Changes”的主题演讲：在这个talk中，我们能找到一些答案。近期他重新录制了该演讲视频， ...继续阅读 (102)

这是一间开在住宅公寓里的高端美肤皮肤管理工作室This is a high-end skin care and skin management studio in a residential apartment.如何让一套住宅公寓转变为一个新属性的商业美容工作室？How to transform a residential apartment into a new commercial beauty studio? 转变商业工作室的功能需求：形象区、接待区、办公检测室、护理室3间、操作间、化妆区、洗手间等.. 业主给我们的要求不可破坏公寓所有硬装，墙面、天花、地面一切皆不可改变、不可打钉安装，这才成了此次改造最大的困难…….Transform the functional requirements of commercial studios: image area, reception area, office testing room, 3 nursing room, operation room, makeup area, bathroom, etc. The owner gave us the requirement that all the hard decoration of the apartment should not be destroye ...继续阅读 (54)

项目背景 “如果车子不能每次上车都让你感到兴奋，那它就只是一个工具，既然是工具，为什么不坐公交车？”。—— 杰瑞米·克拉克森《Top Gear》 这句话精准反应了当下年轻一代汽车用户们的核心诉求之一，为了更好的服务当下消费者以及展现品牌价值文化，马自达选址于南京国家领军创业人才产业园（简称国创园）打造长马城市中心新业态体验空间，希望为消费者提供更加年轻化充满更多乐趣的线下体验空间，与年轻一代创造更多的线下交流互动。 基地简述 国创园是南京市近几年来十分出色的城市更新项目，园区内分布着各类极具设计感的新商业和办公空间，作为潮流都市生活的亮眼名片拥有极佳的流量。 项目选址位于国创园东一门主入口一侧是多条主干道交汇处，有着绝佳的区位优势，建筑前身是园区物业办公场所，本案设计范围覆盖建筑内外的全部空间及部分户外空间，面对大体量的外立面及室内外设计改造，如何在满足业主需求的同时为园区整体环境进行局部升级注入新活力，成为本案设计的重难点之一。 ∇ 改造前立面 设计理念 如此之多的既有条件，如同赛道上的诸多挑战，面向本案我们希望能够跑出年轻人的速度和美感再现马自达的品牌价值和设计美学。本案设计之初，设计团队与业主在项目所在地进行多次线下沟通交流，同时对马自达品牌文化和设计任务书进行充分调研梳理，并对当下传统线下汽车服务空间进行分析，在结合长马新业态中心经营理念基础上融合当下年轻客群消费观及审 ...继续阅读 (55)

从清晨到日暮从遥远到更遥远在有限的框架之下我们试图突破空间的边界找寻让身心无限延伸的秘密空间的界限渐渐消隐而我们的距离却慢慢亲近纯粹的，在空间里直到你我都无法察觉让我们都能沉在生命的谷底重新看待身边的一切——设计师秦侃 ∇ 轴测图 在位于江边的这套350㎡的复式居所内，设计师希望人在空间中的状态，如窗外的江水一样自然而然。与广阔的天地相比，在这一有限的空间里，人依然可以拥有无限的自由。流动的空间，为生活构建起一个安稳的庇护所。我们投入整个身体在空间中，发生共鸣，以现实的无形之流，唤醒对于生命的感知。 我们通过身体确立我们的存在，目之所及是更广阔的世界，双腿丈量所处空间的长度与宽度。嗅觉以气味感知空间，继而编织起关于生活的一切。风卷动着窗纱，听到遥远的声音，夹杂着一切现实和想象中的声响。当天光逐渐黑暗，我们被卧室紧紧包围，一切都静悄悄的，没有东西打破这宁静。 主人希望空间通透、简洁、有艺术气息，而原空间闭塞、上下两层交互性差，动线不够流畅，局部区域采光较差，因此从门厅开始改造，改变楼梯的位置和形式，对餐厨区、公共书房、主卧套间及卫生间都进行了改造，希望更契合于主人的生活方式，从内而外获得无限延伸的空间体验感。 楼梯下方空间与入户区域结合，极简利落的楼梯增强了空间的建筑感，成为回家后的第一道风景。无边框的玻璃、纯白色的块面、温暖的木质台面，在功能与美学之外，自由与感性是设计师希望 ...继续阅读 (61)

在异步的文件系统事件中同步加锁写入PR 链接：https://github.com/apache/eventmesh/pull/4344功能说明当创建一个新的WebHookConfig时，会调用writeToFile方法，创建一个文件并写入数据。fileWatchRegister可以监测文件的创建、修改和删除事件，并且在创建和修改的时候调用cacheInit方法，将WebHookConfig写入cacheWebHookConfig。Bug 现象正常情况下，复制webhook.github.eventmesh.all配置文件时，会产生 ENTRY_CREATE 和 ENTRY_MODIFY 两个事件，这符合预期：Bug 出现在首次调用insertWebHookConfig端点创建WebHookConfig的时候，只能捕捉到 ENTRY_CREATE 事件（不正常，预期的行为应该也是两个事件）：此时文件还没有被写入数据，是一个空文件，因此cacheInit会向cacheWebHookConfig写入null：然而，循环一次就结束了，fileWatchRegister并没有在文件写入WebHookConfig数据后，再次调用cacheInit方法。因此，cacheWebHookConfig中没有有效值，GitHub 的 Webhook 调用将无法检索到对应的 Webhook 配置。初步解 ...继续阅读 (41)

谁能想到，在雷军个人演讲的间隙「抽空」开产品发布会已成了小米的传统。今年雷军带来了题为《成长》的演讲，在 1 个多小时的时间里讲述了雷军从大学时代到创业后的成长历程，最终着眼于小米跌跌撞撞的高端之路上。没有谁的成功是理所当然的，就算是一向以努力、工作狂著称的雷军也一样。大学时期，雷军用 2 年时间修完了所有的学分，既发表了期刊论文，又开发出了畅销软件，几乎完成了一个大学生可以达成的所有成就。然而当他第一次投身于创业，他才意识到人生并不是总是一帆风顺。这场草率的创业很快以失败告终，雷军随后加入了金山。小米的高端之路也和雷军的成长类似。小米从 2017 年开始高端化探索，小米 10 系列取得了不错的成绩，但次年的小米 11 系列却栽了个大跟头，后续推出的小米 12 系列也反响平平。此时小米内部已经产生了动摇，小米到底能不能做、要不要做高端，成了每个员工埋在心底的疑问。为此雷军花了大量的时间与团队沟通，终于确定了坚持高端化路线的品牌战略。雷军强调，如今高端化已经不是一个选择题，而是小米的必由之路、关系小米生死的战役。这两年大概是小米最难熬的时间，也是雷军近十年来收获成长最大的一次经历。所幸，小米后续与徕卡的联名和小米 13 系列手机赢得了不少用户的认可，雷军的坚持再一次得到了肯定。小米从参数优先转变为体验优先，是一次突破认知、形成新共识的成长，也是小米高端化之路的一个阶段性答案。冲破迷茫 ...继续阅读 (44)

本文永久链接– https://tonybai.com/2023/07/16/the-guide-of-go-testing-with-testify-package我虽然算不上Go标准库的“清教徒”，但在测试方面还多是基于标准库testing包以及go test框架的，除了需要mock的时候，基本上没有用过第三方的Go测试框架。我在《Go语言精进之路》一书中对Go测试组织的讲解也是基于Go testing包和go test框架的。最近看Apache arrow代码，发现arrow的Go实现使用了testify项目组织和辅助测试：// compute/vector_hash_test.go func TestHashKernels(t *testing.T) { suite.Run(t, &PrimitiveHashKernelSuite;[int8]{}) suite.Run(t, &PrimitiveHashKernelSuite;[uint8]{}) suite.Run(t, &PrimitiveHashKernelSuite;[int16]{}) suite.Run(t, &PrimitiveHashKernelSuite;[uint16]{}) ... ... } type PrimitiveHashKernelSu ...继续阅读 (165)

如果你喜欢我的文章，欢迎关注公众号：安全女巫转载请注明出处：https://mp.weixin.qq.com/s/zRe0oxFtteBs93bfrEeesA简介在TG群中获取用户真实IP地址是许多打击网络犯罪和网络安全团队想要解决的难题和目标。虽然该手法成功率不高，只能作为一种尝试或者加入到现有安全产品中作为一个小功能，但仍然有很多人对这方面的技术和方法感兴趣。本文的重点在于分享Webrtc和mDNS在实际场景中的应用，教你如何轻松实现获取使用代理的主机IP，并附上相关代码，帮助读者更好地理解和实践。场景介绍如果你的访问者使用的是xray、v2rayN、Clash等代理软件，并且不是全链路模式，恭喜你很可能可以获取到代理信息。如果使用WG全代理的模式，基本是不会泄露用户真实IP地址的。实景演示本文通过Webrtc的方式，获取访问人本地IP，并展开讲mDNS获取本地资源，同时公布出笔者自己的代码，加上一部分的实景演练，方便读者能直观了解和得到结论。实战演练部分是通过tg群到暗网交流平台进行钓鱼。获取群内成员的真实IP信息。我们怎么通过在线检测自己的代理是否存在问题？https://browserleaks.com/webrtch ttps://www.expressvpn.com/webrtc-leak-test https://ip8.com/webrtc-test 上列网 ...继续阅读 (60)

本文永久链接– https://tonybai.com/2023/03/30/automated-testing-driven-by-go-test一. 背景团队的测试人员稀缺，无奈只能“自己动手，丰衣足食”，针对我们开发的系统进行自动化测试，这样既节省的人力，又提高了效率，还增强了对系统质量保证的信心。我们的目标是让自动化测试覆盖三个环境，如下图所示：我们看到这三个环境分别是：CI/CD流水线上的自动化测试发版后在各个stage环境中的自动化冒烟/验收测试发版后在生产环境的自动化冒烟/验收测试我们会建立统一的用例库或针对不同环境建立不同用例库，但这些都不重要，重要的是我们用什么语言来编写这些用例、用什么工具来驱动这些用例。下面看看方案的诞生过程。二. 方案最初组内童鞋使用了YAML文件来描述测试用例，并用Go编写了一个独立的工具读取这些用例并执行。这个工具运作起来也很正常。但这样的方案存在一些问题：编写复杂编写一个最简单的connect连接成功的用例，我们要配置近80行yaml。一个稍微复杂的测试场景，则要150行左右的配置。难于扩展由于最初的YAML结构设计不足，缺少了扩展性，使得扩展用例时，只能重新建立一个用例文件。表达能力不足我们的系统是消息网关，有些用例会依赖一定的时序，但基于YAML编写的用例无法清晰地表达出这种用例。可维护性差如果换一个人来编写新用例或维护 ...继续阅读 (136)

本文永久链接– https://tonybai.com/2023/03/22/global-variable-in-go注：上面篇首配图的底图由百度文心一格生成。C语言是Go语言的先祖之一，Go继承了很多C语言的语法与表达方式，这其中就包含了全局变量，虽然Go在其语法规范中并没有直接给出全局变量的定义。但是已经入门Go的童鞋都知道，在Go中包的导出变量(exported variable)起到的就是全局变量的作用。Go包导出变量与C的全局变量在优缺点与使用方式也有相似之处。我是C程序员出身，对全局变量并不陌生，因此学习Go语言全局变量时，也没有太多Gap。不过来自其他语言(比如Java)的童鞋在学习Go全局变量时可能会觉得别扭，在全局变量的使用方式的理解方面也久久不能到位。在这一篇中，我们就来聊聊Go语言的全局变量，和大家一起系统地理解一下。一. Go中的全局变量全局变量是一个可以在整个程序中被访问和修改的变量，不管它在哪里被定义。不同的编程语言有着不同的声明和使用全局变量的方式。在Python中，你可以在module的任何地方声明一个全局变量。就像下面示例中的globvar。但是如果你想给它重新赋值，则需要在函数中使用global关键字。globvar = 0 def set_globvar_to_one(): global globvar # 要给全局变量gl ...继续阅读 (139)

↑ 点击上方 关注我们一、概述近期，我们发现一种新型的Linux恶意软件Symbiote被报道出来，该恶意软件被描述为“几乎不可能被检测到”。之所以被命名为Symbiote（中文含义：共生体），也是基于该样本的攻击性质：作为非独立运行的共享库文件加载到其他正在运行的进程中。其目的是窃取远程主机的登录凭证以及后门访问。下面将对该恶意软件的其中一个样本进行详细分析。二、详情分析1加载方式LD_PRELOAD是Linux系统的一个环境变量，它可以影响程序的运行时的链接（Runtime linker），允许你定义在程序运行前优先加载的动态链接库。通过这个环境变量，可以在主程序和其动态链接库的中间加载别的动态链接库。通过覆盖正常的库函数，注入到正在运行的进程，从而达到特定的目的。该样本使用同名、同参数的自定义函数，通过LD_PRELOAD的方式加载到其他进程中，进而覆盖掉同名的系统函数，优先调用自定义函数，达到调用过程劫持效果。所有的劫持函数都如下图逻辑： 图12进程隐藏该样本会隐藏自身加载到其他程序中的共享库痕迹，以及隐藏一起部署的其他恶意程序。隐藏其他恶意程序实现方式为，挂钩readdir、readdir64、stat、statx、fstatat、fstatat64等函数，目标文件在/proc下时，获取执行命令，判断是否为需要隐藏的进程，若是，则跳过该条目信息，继续执行返回下一个无需隐藏 ...继续阅读 (50)

前言在2022祥云杯时遇到有关JWT的题，当时没有思路，对JWT进行学习后来对此进行简单总结，希望能对正在学习JWT的师傅们有所帮助。JWTJWT，即JSON WEB TOKEN，它是一种用于通信双方之间传递安全信息的简洁的、URL安全的表述性声明规范，是一种标准化的格式，用于在系统之间发送经过加密签名的JSON数据，·理论上可以包含任何类型的数据，但最常用于发送关于用户的信息（“声明”），以进行身份认证、会话处理和访问控制。简单了解了它的定义后，我们接下来来看一下JWT的组成部分 它分为三个部分，如下所示1、Headers:头部2、Payload:有效载荷3、Signature:签名这三个部分以.符号来连接，所以JWT的格式通常是xxx.yyy.zzz这种样子HeadersHeaders通常由两部分组成，令牌的类型和签名算法，常见的算法有很多种，例如 HMAC SHA256或 RSA。但它也还有一个kid参数，这是一个可选参数，全称是key ID，它用于指定加密算法的密钥。示例如下ewogICJhbGciOiAiSFMyNTYiLAogICJ0eXAiOiAiSldUIgp9这就是一个Headers，当我们对它进行Base64解码就可以看到它的具体内容，具体如下{ "alg": "HS256", "typ": "JWT"}alg指的就是算法，这里的算法就是HS256，typ指 ...继续阅读 (42)

前言在2022祥云杯时遇到有关JWT的题，当时没有思路，对JWT进行学习后来对此进行简单总结，希望能对正在学习JWT的师傅们有所帮助。JWTJWT，即JSON WEB TOKEN，它是一种用于通信双方之间传递安全信息的简洁的、URL安全的表述性声明规范，是一种标准化的格式，用于在系统之间发送经过加密签名的JSON数据，·理论上可以包含任何类型的数据，但最常用于发送关于用户的信息（“声明”），以进行身份认证、会话处理和访问控制。简单了解了它的定义后，我们接下来来看一下JWT的组成部分 它分为三个部分，如下所示1、Headers:头部2、Payload:有效载荷3、Signature:签名这三个部分以.符号来连接，所以JWT的格式通常是xxx.yyy.zzz这种样子HeadersHeaders通常由两部分组成，令牌的类型和签名算法，常见的算法有很多种，例如 HMAC SHA256或 RSA。但它也还有一个kid参数，这是一个可选参数，全称是key ID，它用于指定加密算法的密钥。示例如下ewogICJhbGciOiAiSFMyNTYiLAogICJ0eXAiOiAiSldUIgp9这就是一个Headers，当我们对它进行Base64解码就可以看到它的具体内容，具体如下{ "alg": "HS256", "typ": "JWT"}alg指的就是算法，这里的算法就是HS256，typ指 ...继续阅读 (44)

本文永久链接– https://tonybai.com/2022/12/07/why-go-succeed大家在入门Go语言时，多埋头于Go语法，忙于练手或快速完成公司的项目，无暇思考。但当大家到了要进阶，要冲刺高级阶段的时候，我建议你不能再稀里糊涂了。既然入了Go这个坑，在进入高级阶段前，我们最好在门口的“影壁墙”前驻留一下。仔细思考一下我们投入这么多精力研究的Go为什么能成功，后续还能否持续成功下去。你要有自己的基本的判断，自我暗示也好，坚定信心也罢，我们要为继续攀登Go高峰进行蓄能。一. 头脑风暴一下Go成功的因素相信无论针对哪个gopher群体做头脑风暴，让大家列举Go成功的因素，大家的主流答案也无外乎下图中这些：图中的各个因素与Go的成功都不无干系，但是究竟哪个或哪几个是决定性的呢？二. Go成功的根本因素很显然，这个问题是没有标准答案，是见仁见智的。这里我列举一下我的观点，供大家参考。直接上结论，我认为Go成功的根本因素就一个：Google。为什么这么说呢？下面我们展开来看(见下图)！我将Go社区比做一支军队，而Go就是Go社区的武器，与其他编程语言搏杀，占地盘(fans)。下面我们就来解构一下这支军队的构成以及为什么这支军队目前有诸多成功案例！1. Google为Go社区提供了统帅与武器众所周知，2007年Google的三名员工Robert Griesem ...继续阅读 (96)

本文永久链接– https://tonybai.com/2022/10/17/understand-go-inlining-optimisations-by-example移动互联网时代，直面C端用户的业务系统规模一般都很庞大，系统消耗的机器资源也很可观，系统使用的CPU核数、内存都是在消耗公司的真金白银。在服务水平不下降的前提下尽量降低单服务实例的资源消耗，即我们俗称的“少吃草多产奶”，一直是各个公司经营人员的目标，有些公司每降低1%的CPU核数使用，每年都能节省几十万的开销。在编程语言选择不变的情况下，要想持续降低服务资源消耗，一方面要靠开发人员对代码性能持续地打磨，另一方面依靠编程语言编译器在编译优化方面提升带来的效果则更为自然和直接。不过，这两方面也是相辅相成的，开发人员如果能对编译器的优化场景和手段理解更为透彻的话，就能写出对编译优化更为友好的代码，从而获得更好的性能优化效果。Go核心团队在Go编译器优化方面一直在持续投入并取得了不俗的效果，虽然和老牌的GCC和llvm的代码优化功力相比还有不小的空间。近期看到的一篇文章“字节大规模微服务语言发展之路”中也有提到：字节内部通过修改Go编译器的内联优化(收益最大的改动)，从而让字节内部服务的Go代码获得了更多的优化机会，实现了线上服务10-20%的性能提升以及内存资源使用的下降，节约了大概了十几万个核。看到这么明 ...继续阅读 (97)

最近Google谷歌翻译停止了中国区服务，导致Chrome 谷歌浏览器无法翻译网页，使得很多小伙伴办公和学习都遇到阻碍，异次元也发布了简单的解决方法教程可以参考。既然谷歌翻译停服了，那么自然要寻找替代品。之前推荐的DeepL、有道词典翻译等都不错，但网页翻译只提供了“划词翻译”而不是“整页翻译”。而最近发现，「腾讯交互翻译」TranSmart 是一款更完美的谷歌翻译替代品，涵盖了网页版、多平台客户端以及浏览器网页翻译插件……「前往查看原文....」异次元还有这些值得一看：DeepL 新一代 AI 翻译工具 - 号称碾压 Google 翻译效果的多国语言翻译软件多译 - 集成有道谷歌百度腾讯多结果的桌面翻译工具软件 (支持划词/OCR 截图翻译)易改 1Checker - 提高英文写作沟通水平的国产免费优质的英语写作辅助软件 (Win/Mac)语雀 - 全能云笔记文档知识库工具 (个人团队知识管理/云端协作/Markdown写作)异次元正版数字商城 | 异次元首页 | 微信公众号 | iPcFun | 关注微博 | 软件精选 ...继续阅读 (43)

这种需求，一般来说，会在应用层加个标记标明客户端的IP，例如说HTTP，就是添加个请求头的事情。但并不是所有服务器程序、协议你都能这样下手。所以能不能在不对协议和服务器程序本身做任何改动的情况下，传递客户端的IP呢？最直接的方法应该就是，把L3的源IP改掉，没对协议进行任何改动，对上层完全透明。先来看看改了L3的source IP会出现什么问题：上图中的A是个L4负载均衡，Router会把来自Internet的客户端请求转发给A，A再根据策略转发到B、C或D。假设这时A选择了B，A把请求转发给B时，把L3的源IP改成了客户端的IP，那B收到数据包后，根据B系统上的路由表，回复的包会直接经switch交给router送出Internet，也就是说响应的内容不会经过A送回给客户端。听起来好像没什么问题，还省得A耗费资源转发响应内容，不过TCP需要三次握手，客户端跟A握手成功后，A还需要跟B握手：A这时以客户端的IP向B发出SYN，B收到的SYN后，响应一个目的地IP是客户端的SYN ACK，这个SYN ACK是直接由router送出Internet的，根本不会送到A，所以A跟B是无法成功握手的，那客户端的请求也自然无法送达B。UDP虽然不用握手，但A转发到B用的UDP源端口不一定跟客户端到A的一样，所以客户端不一定能正常接收到B响应的UDP包。要解决这个问题，就要做到请求从哪转发过来的 ...继续阅读 (75)

《避免全局变量》> 睡觉前好像确实不应该想问题，大半夜的思维活跃睡不着了。当然，那只臭蚊子也有功劳，要是被我发现了我要灭了它。> 不过，既然睡不着，那就起来写篇博客... ...继续阅读 (38)

丁磊有三宝：游戏、猪肉、表情包。5 月 20 日，是网易游戏每年的“爱游戏日”，自带表情包的男人丁磊在这场游戏新品发布会上短暂露了一面。虽然他没有带猪肉，但他给网易的游戏玩家带来了 19 款新游戏。这些游戏有的是代理，有的是自研。这个我们等会再说，为了避免大家觉得爱范儿（微信 ID：ifanr ）标题党，咱们先来说说，丁磊怼制作人是怎么回事。（先来一波表情包镇楼，图自网络）事情是这样的，在网易游戏端游发布环节，《逆水寒》又又又亮相了——这距离这款游戏的首曝已经过去了两年。打着“网易最后一款端游”的旗号，关注《逆水寒》的玩家不少。但游戏迟迟未开启测试，去年年底《逆水寒》的制作人说：第一场雪落在西湖断桥的时候，我们就将宣布首测信息。也不知道杭州多少年没有下雪了……好在《逆水寒》测试时间终于定在了今年的 7 月 21 号。和其他游戏正经介绍不同，《逆水寒》派出了实习策划赵二狗……（现场图拍得不是很清楚，大家将就感受下这惊奇的画风）介绍游戏时，李二狗和主持人突然被台下坐着的网易副总裁王怡打断，原来演讲下来后丁磊跑到场后躲起来看直播，忍不住给王怡发来语音。只听见丁磊在电话那头说：我给了你几个亿的预算，几年时间，你现在连做了什么都讲不清楚？你们是不是做了一个假游戏？场面一度尴尬，王怡对《逆水寒》的策划送上祝福：好自为之。所以大家都说丁磊会玩，果然是真的。19 款新品即将上线，会有第二个《阴阳师 ...继续阅读 (14)

在说 iPhone 8 的事情之前，我们先把时间拨回到 2010 年。苹果设计灵魂人物乔纳森艾维带着自己的核心团队人员来到康宁公司，在康宁小镇的工厂里和工人们一起烧制玻璃。当时，还没有像今天这么赫赫有名的康宁正在研发一种更为结实的玻璃，如今这个名字家喻户晓：大猩猩玻璃。虽然这种玻璃在上世纪 60 年代就已经出现，但用在手机上却只是最近这几年的事情。和苹果等手机公司的合作让康宁这家百年老厂重新焕发生机，上一个和康宁玻璃有关的重要发明是灯泡：1879 年，托马斯·爱迪生发明灯泡的时候，找到了康宁公司，希望找到一种稳定安全的玻璃灯罩。和苹果开启合作的康宁希望，有一天能够做出足够坚韧的玻璃和陶瓷用在 iPhone 上，这样 iPhone 就不需要使用金属外框了。某种程度上说，苹果和康宁相互成就，当时康宁的 CEO 威克斯说：乔布斯和苹果让我们更优秀，我们所有人都对自己的产品非常狂热。7 年时间弹指一挥，一款神秘手机躺在了苹果不为外人所知的实验室里接受 7×24 小时的测试。这一次，轮到苹果帮助康宁实现自己当年的希望：没有金属外框，整个机身全部被玻璃覆盖的 iPhone。（康宁玻璃博物馆）苹果的梦想 iPhone这不是异想天开，《乔布斯传》记录了康宁的梦想，而偶尔露面的苹果专利申请也仅仅是掀开这款手机的一角供人想象。这款 iPhone 机身没有任何的开口，包括 SIM 卡开口，耳机接口，听筒 ...继续阅读 (13)