- 2026/08/05
- |
- 未分类
- |
- 0 Replies
所有人都用 git 登录，GitLab 为什么还能认出你？
第一次认真看 GitLab 的 SSH 地址时，很多人都会产生同一个疑问：
git@gitlab.example.com:team/project.git
奇怪，明明我的 GitLab 用户名是 alice，这里为什么写的是 git？如果所有人都以 git 登录，GitLab 又怎么知道这次推送究竟是谁发起的？更让人担心的是：GitLab 是不是接管了整台服务器的 SSH，连其他 Linux 用户也会受到影响？
答案比“GitLab 做了一套特殊 SSH”更有意思：它没有重新发明 SSH，而是把 OpenSSH 原本就提供的身份...
- 2026/07/24
- |
- 未分类
- |
- 0 Replies
广播过不了 WireGuard：一次小米摄像头跨网发现 SMB 的抓包与修复
米家只显示“没有可用的网络存储”。真正的问题不是 SMB 不通，而是摄像头根本不知道该去连谁。
目录
问题：445 端口能通，米家却看不到 NAS
抓包：摄像头到底发了什么
第一个坑：remote announce 不是它要的协议
第二个坑：普通 UDP relay 能显示列表，却无法登录
最终方案：只代理发现，并透明伪装回包源地址
代码如何收紧安全边界
部署与使用
怎么判断每一段是否真的成功
开源与适用范围
问题：445 端口能通，米家却看不到 NAS
网络结构很常见：
摄像头局域网 ...
- 2026/05/12
- |
- 未分类
- |
- 0 Replies
为什么我们给 AI 沙箱手写了一套跨平台用户态 TCP/IP 栈
目录
问题为什么难
为什么不是容器 / userns
业界正在做什么
网络方案怎么选
现在的架构
性能目标不是越高越好
我们诚实承认的取舍
AI sandbox 的网络问题，表面上只是"让 guest 能访问外网"。但我担心的不是能不能 ping 通，而是：未知代码会在高频网络路径里做什么，以及我们能不能在事后解释它为什么能做。
AI agent 跑的是用户给的仓库、脚本、二进制和临时命令。它可能 curl | sh，可能跑包管理器，也可能启动一个开发服务器。网络是高频路径：DNS、TLS、包管...
- 2026/05/11
- |
- 未分类
- |
- 0 Replies
在浏览器里给 AI 跑命令：Tokimo sandbox 三平台 backend 的现状切片
目录
问题为什么难
一张总图：三平台不是三套产品
Linux / Auto backend：Cloud Hypervisor 优先，bubblewrap 自动兜底
macOS / Virtualization.framework：原生 VM，协议尽量不特殊化
Windows / Hyper-V：service、镜像打包和诊断链路正在持续推进
共同基础：tun-pump、vsock 抽象与 guest-agent 协议
为什么不直接 Docker / WSL2
业界做法
我们诚实承认的缺口
...
- 2020/04/09
- |
- 技术随笔
- |
- 4 Replies
发现
咸鱼好久没有更新内容，于是昨天想着来记录下最近的事情，结果上来发现网站页脚出现了奇怪的友链，于是登录进后台，元素审查一看，居然有人给我插了一条 XSS 进去了……
再一看网络记录，可以，我的 cookie 已经被上传了…… 赶紧把 token 改了，然后临时把管理页删了……
溯源
搞完在思考，为什么这里会有这么严重的问题。首先回到友链插件上，没想到这个作者居然显示文字的时候没有做任何安全性字符过滤，导致了 xss 的可能。
但是为何数据会出现在我的库里呢？想来想去没想通，于是顺手看了下友链插件的提交数据，然后把表单复制出来，去除 cookie 信息后从控制台直接 curl 提交...