技术文章
最近更新
智能编程
GPT-5.6 之后，Codex 和 ChatGPT 开始走向同一个工作台
GPT-5.6 的 Sol、Terra、Luna 把模型分层摆到台面上；同一天 Codex App 并入 ChatGPT 桌面端。对开发者来说，变化不止是换模型，而是开始用同一套工作台处理思考、执行与验收。
约 7 分钟智能编程
GPT-5.6 与 Claude Fable 5：前沿模型的“发布”已经不只看能力
GPT-5.6 的逐步开放与 Fable 5 的暂停、恢复放在一起看，会发现模型发布更像一套涉及可用性、安全策略和合规边界的工程事件。
约 10 分钟智能编程
AI Agent 已经能参与攻击链：Claude / Codex 使用前要限制哪些权限
OALABS 披露攻击者用 Claude 和 Codex 辅助入侵多家公司后，开发者启动 AI Agent 前要先收窄命令、网络、凭据、MCP 和日志权限，避免把本地工作台变成攻击链的一部分。
约 10 分钟智能编程
Codex 多 Agent 并行怎么用：任务拆分、上下文限制和验收记录
同时开多个 Codex Agent 前，先把任务拆成互不抢文件的小块，给每个线程限定上下文、权限和 worktree，并要求它交回 diff、验证命令、失败日志和未确认项。
约 12 分钟智能编程
Vibe Coding 小应用上线前要查哪些安全坑
用 Vibe Coding 做出来的小应用准备公开上线前，先检查公开访问、数据库 RLS、密钥暴露、API 鉴权、输入过滤、文件上传、依赖和日志，别把 demo 直接变成数据泄露入口。
约 12 分钟工程实践
Docker 镜像里最容易泄露什么：.env、构建缓存、SSH key 和多阶段构建
Docker 镜像上线前，先检查 build context、.dockerignore、ARG / ENV、构建缓存、SSH key、npm token、镜像历史和多阶段构建，避免把本地密钥、生产配置和调试文件一起打进镜像。
约 12 分钟工程实践
npm 供应链攻击后，开发者要怎么检查依赖、lockfile 和 CI 密钥
npm 包被投毒后，不要只删 node_modules。先确认是否装过恶意版本，再查 lockfile、生命周期脚本、GitHub Actions、npm token、云凭据和 CI 日志，并按可能泄露处理。
约 13 分钟工程实践
API 接口上线前要查什么：鉴权、越权、限流、幂等和错误返回
API 接口上线前，先用两个账号、重复请求、并发请求和异常输入检查鉴权、越权、限流、幂等、错误返回和日志脱敏，避免功能刚发布就变成数据泄露或重复扣款入口。
约 13 分钟面试题库