全部文章
-
Detecting security tests that accidentally run with administrator authority
Ensure a security test is exercising the intended low-privilege identity rather than a privileged fixture default. This original method checks effective authority before trusting a denied-access assertion or a successful user workflow.
-
安全默认值与故障时拒绝访问的设计
Saltzer 和 Schroeder 的安全默认原则要求访问建立在明确许可上，使错误导致拒绝而非放行。用于今天的系统，就是默认拒绝的授权、缺少安全设置时拒绝启动的配置，以及发生错误时关闭而不是开放访问的处理路径。
-
LLM 应用的检索基础：分块、段落标识符与引用检索内容
检索增强生成会把检索到的段落提供给模型。关键决策包括如何切分文档、每个块携带什么上下文，以及答案如何指回具体段落，供读者核查。
-
Runbooks für den Betrieb: Anleitungen, die eine Fremde nachts ausführen kann
Ein Runbook pro Dienst beantwortet in dieser Reihenfolge: Was tut der Dienst, woran erkennt man in einer Minute, ob er gesund ist, welche bekannten Störungen gibt es mit Symptom, Diagnosebefehl und Gegenmassnahme, welche Handlungen sind sicher, welche gefährlich, und wer ist wann zu eskalieren; geprüft wird es von jemandem, der es nicht geschrieben hat.
-
Mapping a code-review claim to the exact changed behavior it supports
Build a compact review map that prevents unrelated passing checks from being used as evidence for a newly changed behavior.
-
使用 ss 查找监听端口及其所属进程
ss -tulpn 会列出所有正在监听的 TCP/UDP 套接字及其所属进程，绑定地址则说明暴露范围是仅本机、整个网络还是双协议栈。正确理解该地址，才能区分有意暴露的服务与意外暴露的服务。
-
Service accounts across OS families: least privilege for an agent's own background services
Every OS offers a way to run a service without a normal login and without a hand-managed password: Linux system users with a nologin shell or systemd's DynamicUser=, Windows virtual accounts and group managed service accounts (gMSA), and macOS daemon users. Picking the narrowest one matters for anything an agent installs to run unattended.
-
Canonicalize URLs without changing meaning
Use an application-defined comparison key while retaining the exact request URL when normalization might alter routing or signatures.
-
Zugriffsrechte nach dem Minimalprinzip vergeben
Jede Identität – Mensch, Dienst, Agent – erhält nur die Rechte, die ihre normale Aufgabe braucht, und nur so lange, wie sie sie braucht: eigene Datenbankrolle je Dienst mit GRANT auf das Nötige, Prozesse ohne root und mit einzelnen Capabilities statt Allmacht, zeitlich begrenzte Erhöhung für Menschen, regelmässige Entrümpelung.
-
Distributed locks and leader leases: expiry, fencing tokens and what a lock cannot promise
A distributed lock is a lease that expires; a process paused by garbage collection, CPU contention or a delayed network can keep acting after its lease has passed to someone else. Only a monotonically increasing fencing token checked by the protected resource makes such a lock safe for correctness, and a lock used merely to avoid duplicate work needs less.
-
推测式扇出：在一个请求中向决策模型提出所有问题，再由代码作决定
TypeSafe 会基于同一状态并行评估一个请求中的所有问题，因此文档中的模式是：一次调用发送工作流可能需要的全部问题，包括只与某些分支有关的问题，再让代码忽略无关答案。供应商的示例手册报告称，在其自己的示例中，一个批量请求比顺序调用便宜 12.2 倍、快 10.0 倍。
-
Verifying GitHub webhook signatures: X-Hub-Signature-256, timing-safe comparison and delivery IDs
GitHub signs every webhook delivery with HMAC-SHA256 over the raw request body and sends it as sha256=<hex digest> in the X-Hub-Signature-256 header. A receiver must recompute that digest from the exact bytes received, compare it with a constant-time function, and use X-GitHub-Delivery to recognise redelivered events; the older X-Hub-Signature (HMAC-SHA1) is kept only for compatibility.
-
支持多条发布线：哪些修复应进入哪些版本
支持策略是一张列出各发布线状态（功能开发、缺陷修复、仅安全更新、生命周期结束）的表，以及按修复类别规定回移目标的规则。Python 为一个系列提供两年的缺陷修复版本，再提供三年仅含安全修复的版本；Django 将关键修复回移到最后一个功能版本，将安全和数据丢失修复回移到最后两个功能版本及长期支持线；Rust 仅支持最新稳定版。小型项目应发布该表，并默认作出自己能够兑现的最小范围承诺。
-
为多来源回答维护证据台账
将每项重要主张关联到来源章节、适用版本和不确定性，使综合信息时仍能看见其中的矛盾。
-
Aus einem Fehler einen Regressionstest machen
Vor der Korrektur wird der Fehler als automatischer Test nachgestellt, der aus dem gemeldeten Grund fehlschlägt; die Korrektur macht ihn grün, und der Test bleibt als Wächter. Mit pytest lässt sich der eine Test isoliert wiederholen (`--lf`), und ein aufgeschobener Fehler wird als `xfail(strict=True)` dokumentiert, damit ein stilles Verschwinden auffällt.
-
Indoor line-drying time tracks the gap between room temperature and dew point more closely than relative humidity alone
Hypothesis: the National Weather Service describes the dew point as the temperature to which air must be cooled to reach 100 % relative humidity and notes that relative humidity can be misleading because the same figure means different moisture at different temperatures; the proposal is that, for similar wet loads weighed at intervals on the same indoor rack, the time to a stable mass is ordered better across days by the difference between room temperature and dew point than by relative humidity, in a within-household comparison; no result is claimed.
-
Testdaten mit Buildern aufbauen: gültige Vorgaben, benannte Abweichungen
Ein Testdaten-Builder liefert für jede Entität ein gültiges Standardobjekt und lässt den Test nur die Felder setzen, auf die seine Aussage ankommt. So liest man im Test, was zählt, und eine neue Pflichtspalte ändert eine Stelle statt hundert Tests. Das Vorgehen grenzt sich von geteilten Fixtures und der Object Mother ab, deren enge Kopplung Martin Fowler beschreibt.
-
使用 update-crypto-policies 切换 RHEL 的系统级加密策略
RHEL 的系统级加密策略设置 OpenSSL、GnuTLS、NSS、libkrb5 和 OpenSSH 默认提供的算法与协议版本，可用一条命令更改，无须逐个编辑应用配置。本方法介绍如何查看、设置和测试策略，以及为何已经运行的服务需要重启才能采用新策略。
-
Solaris Zones: what the global zone controls and how kernel zones differ from non-global zones
The global zone administers every non-global zone; zoneadm/zonecfg subcommands other than listing and help require the global zone and specific authorization. A kernel zone runs its own separate kernel and update level, unlike a non-global zone which shares the global zone's kernel.
-
Unreal Lumen: choose tracing and quality around the scene you must render
Evaluate Lumen’s dynamic indirect lighting and reflections through tracing representation, scene structure, scalability and repeatable visual tests.
机器可读： JSON