GitLab CI/CD 新增碳足迹衡量

GitLab 推出绿色 DevOps 新方案，让工程团队可直接衡量 CI/CD 流水线产生的碳排放。该功能将可持续发展从基础设施层延伸到软件交付管道自身，使其具备环境可观测性，帮助团队在开发环节做出更环保的决策。

#开发者 #工具 #GitLab #CICD #绿色DevOps #碳足迹 #可持续发展
@DevToolboxHub

Rspack 2.0 发布：ESM 核心与性能提升

字节跳动开发的 Rust 构建工具 Rspack 发布 2.0 版本，重点优化性能、精简依赖并转向现代 ECMAScript 模块输出。核心变化包括纯 ESM 核心、实验性 React Server Components 支持、改进的静态分析以减小打包体积。性能基准测试显示构建时间大幅提升。项目增长迅速，npm 周下载量已超 500 万。

#开发者 #工具 #Rspack #字节跳动 #ESM #Rust
@DevToolboxHub

yieldagent：约200行可人工介入的AI agent循环

大多数AI agent库要么是大框架需要花整个下午配置，要么是小玩具缺少生产环境下必需的“执行前先问人的暂停能力”。yieldagent 正是为此而生——约200行核心代码、零运行时依赖，内置human-in-the-loop暂停/恢复，你可以从头读到尾而无需理解复杂框架。

核心是一个async generator：每一次工具调用、每次结果、最终答案都以普通对象返回给调用方，因此可观测、可测试。模型调用只是一个函数，测试时传入预设回复即可，无需API密钥或网络。更关键的是暂停/恢复：通过approve回调拒绝某个工具，循环会在执行前停下，生成可序列化的resumeState。将状态写入数据库，等人工在其他地方审批后，用resume函数继续执行即可。

此外支持流式输出、基于Zod Schema的参数校验与自动纠错、AbortSignal取消等。如果你不需要流式UI辅助或预置工具生态，只想拥有一个几分钟内能读完的循环，yieldagent 是个不错的选择。

GitHub: GitHub

#开发者 #工具 #yieldagent #AIagent #JavaScript #HumanInTheLoop #零依赖 #暂停恢复
@DevToolboxHub

Omnismith 实现行级访问控制

Omnismith 在其 RBAC 引擎中新增了行级 Access Scopes，将动态权限规则直接编译到数据库查询层。这一扩展解决了多租户环境下数据隔离的核心难题。

平台的安全模型分三层：模块级（控制功能区访问）、资源级（限制模板/字段权限）和新增的数据级（Access Scopes）。每个 Access Scope 绑定到单个模板，通过字符串、列表或引用条件对行级数据进行过滤。例如，可配置司机仅能看到分配给自己的发货记录。

条件类型包括：字符串匹配（如按团队名过滤）、列表值匹配（如按工作流阶段）、引用条件（如校验发货单的司机引用是否与当前用户实体匹配）。多个 Scope 间采用逻辑 OR，支持复杂业务规则。
该平台绕过应用层过滤，将 Access Scopes 编译为原生 SQL，在 CQRS 读取查询中动态追加条件，由 PostgreSQL 在存储层强制隔离。性能方面，动态子句可能影响索引选择，但 Omnismith 设计了针对 EAV 属性的优化索引策略。为鼓励测试，首个发现因 Access Scope 复杂度导致数据库查询性能下降的租户可获得月度订阅折扣。

Access Scopes 提供了从粗粒度到细粒度的统一数据隔离机制，覆盖 Web 应用、API、工作流和 AI 助手的所有交互路径。

#开发者 #工具 #Omnismith #RBAC #RowLevelAccess #CQRS #PostgreSQL #MultiTenant #数据库安全
@DevToolboxHub

免证书读取欧盟银行数据指南

直接调用欧洲银行的开放银行端点多会撞上 HTTP 401，原因是 PSD2 要求通过 eIDAS 证书（QWAC/QSeal）做双向 TLS 认证。这些证书每年成本 EUR 2,000–10,000，申请周期数周且需要注册实体，对独立开发者、小团队来说门槛极高。

实际上有一条完全合规的免证书路径：通过 AIS 聚合器。聚合器替你持有 eIDAS 证书、维护银行集成，你只需拿到一个 API key 即可通过统一 REST 接口访问数百至数千家欧洲银行的账户数据。首次调用只需几分钟，且有免费额度可用。

两种路径对比
- 直接持有证书：你自己申请 QWAC+QSeal，注册 TPP，逐家银行接入。成本 EUR 2k–10k/年，首次调用 4–12 周，适合受监管的金融科技、企业财务。
- 聚合器路径：注册聚合器，获 API key，调用统一接口。聚合器持有证书、处理各家银行的协议差异（Berlin Group、STET、UK Open Banking 等）。成本：免费额度或按量计费，首次调用只需几分钟。

免证书流程详解
1. 创建 consent/requisition → POST "用户想连接银行 X"
2. 重定向用户到银行进行 SCA（强客户认证）→ 用户在银行侧认证
3. 银行回调聚合器 → consent 变为有效
4. 列出账户 → GET /accounts
5. 获取交易与余额 → GET /accounts/{id}/transactions
6. consent 到期（90 或 180 天）→ 重复步骤 1

代码示例（以 open-banking.io 为例，各聚合器流程相同）
```bash
# 创建 requisition
curl -X POST \
-H "Authorization: Bearer YOUR_API_KEY" \
-H "Content-Type: application/json" \
-d '{"redirect": "", "institution_id": "DANMARKS_DANSKE_BANK", "reference": "user-42-first-link"}'
```
用户认证后即可列出账户并拉取交易。

五个常见陷阱
- Consent 有效期因国家而异（德国 90 天，北欧多 180 天），务必存储到期时间并提前提醒用户。
- 银行覆盖存在差距，标注「支持 10,000 家银行」可能不包括你需要的区域银行。
- 区分已清算和待清算交易，用 transactionId 去重。
- 频率限制：每天拉取 1–2 次即可，部分银行支持 webhook。
- 确保聚合器遵守 GDPR，数据存放在欧盟并提供端到端加密。

何时应直接购买证书？当你作为受监管的 AIS/PISP 且年费超过 ~EUR 2k、需要支付发起（PIS）高可靠性、或禁止第三方中介时。其他所有情况——个人项目、小企业会计自动化、自托管预算工具——免证书聚合器路径都是更务实的选择。

原始链接：

#开发者 #工具 #开放银行 #PSD2 #eIDAS #AIS #银行API #金融科技 #EU
@DevToolboxHub

Aether-7B-5Attn：开源MoE模型集成五种异质注意力

韩国AI初创公司VIDRAFT在Hugging Face上发布了Aether-7B-5Attn，一个完全开源的MoE基座模型，参数量约6.59B，每token仅激活约2.98B参数。模型遵循Apache-2.0许可，不仅公开了权重，还包含训练数据配方、完整训练代码、超参数、训练日志、中间检查点和评估代码，强调可完全复现。

核心架构创新在于将五种不同的注意力机制集成在49层Transformer中：全注意力、差分注意力、滑动窗口注意力、NSA系列稀疏注意力和混合注意力。为避免不同注意力类型在深度方向上聚集，团队采用7×7拉丁方布局，确保每种机制在各深度均匀分布。训练数据约1442亿token，其中数学占37.8%，韩语和英语各占21.6%，模型从设计上就是双语，而非先英语后适配韩语。

VIDRAFT此前披露的Darwin系列（生产级）在K-AI排行榜上获2026年总排名第一，GPQA Diamond达90.9%，但Aether-7B-5Attn自身基准尚未公布。社区可借助公开的评估代码自行跑MMLU等测试。

基础版和指令微调版均已上架Hugging Face，可搜索“VIDRAFT/Aether-7B-5Attn”获取。对于关注可复现性、主权AI或异质注意力研究的开发者，值得深入了解。

HuggingFace

#开发者 #工具 #VIDRAFT #Aether7B5Attn #MoE #异质注意力 #开源LLM #KrAI
@DevToolboxHub

DBOS 前五分钟体验更新

DBOS 刷新了首次使用体验，将关键特性集中展示：工作流、调度、队列、工作流通信以及 DBOS Conductor。同时提供新的 DBOS starter 应用，可选择多种语言。

即使是生产环境用户，也可能尚未了解全部能力。这份五分钟概览可帮助发现有用功能。

#开发者 #工具 #DBOS #工作流 #调度 #队列 #Conductor
@DevToolboxHub

AI Agent 工作流核心组件概览

AI 应用正向 Agent 演进。生产级 AI Agent 不只是 LLM 加提示词，而是由多个组件协同的体系：Model、Harness、Tools、MCP、AGENTS.md、Skills、Memory。模型提供智能与推理，外围基础设施让行动可靠。

一个典型的 Agent 执行流程遵循 Reason→Act→Observe→Repeat 循环。核心组件如下：

Agent Harness 是运行层，管理任务执行、上下文组装、工具访问、技能加载、记忆检索、安全策略与可观测性。

Tools 赋予 Agent 与外部系统交互的能力——API、数据库、搜索引擎、代码执行环境等。无工具时 LLM 只能给建议，有工具则可执行操作。

MCP（Model Context Protocol）标准化工具连接，让 Agent 通过 MCP Client 对接多个 MCP Server，分离推理与工具实现。

AGENTS.md 是 Agent 始终加载的操作指令，定义项目规范、编码标准、安全规则等。它应与按需加载的 Skills 区分，避免上下文膨胀。

Skills 是按需加载的动态能力，例如数据库迁移、安全审查、前端开发等。每个 Skill 对应一个 SKILL.md 定义工作流。

Memory 让 Agent 具备连续性，分短期记忆（当前对话）、工作记忆（执行中临时信息）和长期记忆（跨会话保留的用户偏好等）。

以修复支付 API 测试为例：Harness 先加载 AGENTS.md 与软件工程技能，检索记忆中的前期变更，通过 MCP 发现 Git、CI/CD、测试器等工具，然后执行分析代码、修改实现、运行测试、验证结果。

构建可靠 Agent 的关键不再只是选一个强模型，而是设计围绕模型的完整系统。核心转变从“如何提示模型”变为“如何设计整套系统”。

#开发者 #工具 #AI #Agent #LLM #MCP #Harness #Skills #Memory #AGENTSmd
@DevToolboxHub

GKE AI 安全蓝图发布

Google Cloud 发布了一份新的安全蓝图，阐述如何在 Google Kubernetes Engine 上保护 AI 工作负载。文档指出，从原型到生产的安全模式已落后于实际演进速度。该蓝图提出三层架构：基础设施层、模型完整性层和应用安全层，由 Glen Messenger 和 Shannon Kularathna 共同撰写。

#开发者 #工具 #GKE #AI安全 #GoogleCloud #Kubernetes #安全蓝图
@DevToolboxHub

AWS 计费故障显示万亿账单，成本告警失效

AWS 计费计算系统的一次配置变更导致用户在控制台上看到数十亿乃至万亿级别的预估账单，持续超过 24 小时。一个每月正常使用不足 5 美元的账户竟显示 17 亿美元预估费用，有 Reddit 用户晒出截图显示 2255.7921 亿美元。

AWS 自身的告警系统检测到了异常，但未能阻止账单生成或通知工程师。用户通过升级渠道报告问题后，AWS 才在 4.5 小时后接到警报。在问题处理期间，平台全局禁用了预算和成本异常告警。

此次故障暴露了云成本监控机制的关键漏洞：当检测到极端异常时，告警系统并未自动触发止损流程，导致用户经历长时间的账单恐慌。

#开发者 #工具 #AWS #计费故障 #成本告警 #云服务 #故障
@DevToolboxHub

96%勒索软件受害者是中小企业，如何保护栈

Verizon 2026年DBIR报告显示，在已知规模的勒索软件受害者中，96%是中小企业。第三方卷入SMB安全事件的比例跃升至55%，而47%员工少于50人的企业网络安全预算为零（StrongDM 2025）。现代勒索攻击已演变为结构化杀伤链：漏洞利用成为头号初始入口（31%），其次是AI生成的钓鱼邮件、重复凭证及暴露的SSH/RDP端口。更关键的是，CVE公布到野外利用的时间窗口已从数月缩至数小时。

攻击链分五阶段：初始访问（漏洞利用、钓鱼、复用凭证、暴露端口）、静默侦察（数天至数周）、数据窃取（双重勒索）、加密勒索、真实成本（平均停机21天、通知义务、罚款、声誉损失）。好消息：中位赎金已降至约14万美元，69%受害者拒绝付款。但前提是备份可恢复。
仅靠WAF不够——它无法防御服务器配置错误、未修补CMS、开发者凭据泄露等。本周在野的WordPress预认证RCE链（CVE-2026-60137 + CVE-2026-63030 "wp2shell"）可在默认安装下夺取管理员权限。WordPress 6.8.6/6.9.5/7.0.2已修复，若未强制更新需立即处理。
三个实际有效的栈级控制：
1. 备份验证：异地、不可变、定期测试恢复（RPO<24h），确保不在同一服务器。
2. 免费安全基线扫描（5分钟）：检查SSL/TLS、安全头、DNS、邮件认证、CMS版本、开放端口等。
3. 关闭三大入口：快速修补所有组件、为所有管理面启用MFA、锁定管理面板（IP限制/Cloudflare Access/VPN）。

立即行动：若运行WordPress，立刻修复上述RCE链；测试一次备份恢复；运行免费安全扫描。大多数勒索软件缺口可发现并在被利用前修复。

#开发者 #工具 #勒索软件 #中小企业 #VerizonDBIR #WordPress #CVE202660137 #CVE202663030 #备份验证 #MFA
@DevToolboxHub

320 小时从零为音乐人重建网站

加拿大音乐人 Richard 此前找专业 agency 开发网站，最终收到的是一个 WordPress 转储、臃肿主题和混乱 HTML/CSS 的烂摊子。agency 中途加价，交付品却是基础设施臃肿、可访问性（a11y）完全被破坏、移动端 UX 几乎为零的半成品。

开发者在后端 David 的配合下决定彻底重写——不修补 WordPress 尸体，而是从零构建一个干净、轻量、可访问的前端。

整个项目历时超过 320 小时，起步时没有任何设计素材、Logo 或可用照片，连客户端需求都是边做边定。
技术手段包括：
- 用 Node.js + fluent-ffmpeg 编写 CLI 脚本自动将 MP3 转为所需 WAV 格式，并通过 ffprobe 以 60ms 容差验证时长、声道数和采样率。
- 构建自定义 SPA 路由（vanilla.js），通过 hash 路由模拟多页面站点体验，自动管理 history.pushState/popstate 并更新 aria-current 等无障碍属性。
- 为音频区编写专门的播放列表类，处理 Bandcamp iframe 样式强制剥离、自适应展开/折叠及视图变化监听。
- 编写端到端测试并配置完整的 CI/CD 部署管线，最终选用 Render.com 免费套餐托管（后发现免费套餐屏蔽 SMTP 外发邮件，但核心 Web 服务运行稳定）。

最终交付的站点干净、语义化、可访问，证明了工程所有权和实际代码质量远胜于商业标签与价格。项目目前处于最终交接阶段，后续将公开仓库/演示链接。

#开发者 #工具 #音乐人网站 #WordPress #SPARouter #CICD #Nodejs #a11y
@DevToolboxHub

Workflows：Rust 开源 agentic 工作流引擎

Workflows 是一个 Rust 库（crate 名为 tinyflows），将自动化流程建模为有向图 WorkflowGraph。你构建图→结构验证→编译成 CompiledWorkflow→在 tinyagents 引擎上执行。数据流以 JSON 条目数组形式在节点间传递，合并归约器确保并行分支不冲突。

节点类型完整：trigger、agent、tool_call、http_request、code、output_parser、sub_workflow、condition、switch、merge、split_out、transform。每节点支持 =-prefixed 表达式引用运行状态。

核心特性：主机无关——通过 Rust trait 抽象 LlmProvider、ToolInvoker、HttpClient、CodeRunner、StateStore，库本身不硬编码供应商、不发起网络请求。凭据以不透明的 connection_ref 传递，宿主方解析，避免泄露。相同编译工作流可在 CI 用 mock，生产环境用真实能力，无需分支逻辑。

审批流：节点可标记 requires_approval，执行到此处暂停并暴露为 RunOutcome::pending_approvals，宿主方通过 engine::resume 恢复。错误处理：per-node 策略（stop / continue / 路由至错误输出），有限重试，tracing 可观测性，并提供 RunObserver 钩子。

已实现：完整节点目录、结构验证、每次编译、条目数据流与表达式、条件/分支/归并路由、审批门控、可观测性、版本化线格式（schema_version + type_version）及迁移框架。#![forbid(unsafe_code)]，MSRV 1.85，Rust 2024 版。

尚未实现：真正的 jq/jaq 表达式引擎（当前仅基本点路径评估）、重试退避与超时、持久化检查点断点续跑、可视化和 agent-first 创作工具（属于宿主层，由 OpenHuman 产品提供）。OpenHuman 宿主集成本身（Phase B）在独立仓库，尚未公开。

许可证 GPL-3.0-or-later。

GitHub

#开发者 #工具 #Rust #开源 #工作流 #agentic #tinyflows #Workflows
@DevToolboxHub

Higgsfield 积分与无限模式使用选择

Higgsfield 提供「所有模型无限生成」的套餐，但这句话仅对 Web UI 有效，CLI/API 必须消耗积分。混淆两者会浪费预算或打断自动化流程。作者实测了各类输出在 CLI 下的真实积分成本。

关键区别：Web UI 无限模式适合手动探索（速度慢、免费），CLI/API 按生成消耗积分（速度快、可脚本化）。例如 Kling 3.0 pro 5 秒视频消耗 12.5 积分，Seedance 2.0 1080p 5 秒视频消耗 45 积分。

使用建议：探索阶段用 Web UI 无限计划或试用；自动化批量管线用 CLI 积分模式。约 46 镜头的电影级素材库单次需 750–1000 积分。PLUS 套餐（1200 积分）可覆盖一个项目加约 35 次重生成，ULTRA（3000 积分）适合多次完整尝试。

实测 CLI 消耗（部分关键生成）
生成项：Kling 3.0 pro, 5s video → 12.5
Kling 3.0 std, 5s video → 10
Kling 3.0 std, 3s video → 6
Seedance 2.0, 1080p 5s → 45
Seedance 2.0, 720p 5s → 22.5
Nano Banana Pro image, 2K → 2

批量前先用 higgsfield generate cost 命令检查预估积分。

总结：先用 Web UI 免费探索，需要自动化时再购买积分。下一篇文章会实现在预算内自动运行整个管线。

#开发者 #工具 #Higgsfield #AI视频 #积分 #CLI #API #自动批处理
@DevToolboxHub

Tooltify360：免费开发者工具集（无注册）

频繁切换网站处理 JSON、JWT、Base64、UUID 等常见开发任务？Tooltify360 将多款常用工具汇集一处，轻量快速，无需注册，桌面和移动端均可使用。

目前已收录的工具包括：
JSON 格式化与校验、JWT 解码、Base64 编解码、UUID 生成、cURL ↔ Fetch 转换、cURL ↔ Axios 转换、SQL 格式化、XML 格式化、正则测试、URL 编解码、密码生成、哈希生成、Markdown 预览、CSV ↔ JSON 转换等。

作者表示将持续根据开发者工作流添加新工具，并开放反馈收集。

该工具完全免费，无需安装，浏览器打开即用。

#开发者 #工具 #Tooltify360 #免费 #在线工具
@DevToolboxHub

Canvas 多语言文本渲染四大坑

仅测试英文和日文时 Canvas 2D 文本渲染看起来正常，但一旦加入西班牙语、法语、葡萄牙语，就会暴露四个常见陷阱。根源在于拉丁语系文本长度通常比日语长 1.4–2 倍（法语/葡萄牙语 1.4–1.7 倍，西班牙语可达近 3 倍），为日语优化的字号和最大宽度无法容纳拉丁语系。

模式一：基于空格的分词（text.split(/\s+/)）对中日韩文（CJK）无效，整个句子成为不可分割的 token，在画布边缘截断。
模式二：使用 ASCII 类 tokenizer（如 [A-Za-z0-9'\-_]）会把带有重音的字符（ç、é、ã）从单词中间分开，例如 produção 变成 produ / ç / ão。英文测试无法发现，只有生成实际 PNG 才能看见。
模式三：拉丁语系文本溢出到两行后被加省略号，被吃掉的部分往往是语义关键的尾部词（如 production / produção）。修复方法是将字段分为两类：可截断的字段用折行加省略号，不可截断的字段自动适配字号。
模式四：在 Canvas 一侧实现自动适配字号，但 DOM 预览保持固定字号，导致预览换行与下载 PNG 不一致。必须将字号计算集中到离屏 canvas，并同时应用到渲染和预览的 style.fontSize。

预发布检查清单：日语需检查最后一行渲染到最后一个字符；法语/西语/葡语需检查重音字符处不分裂；法语/葡语需检查省略号不吃掉尾词；所有五种语言需保证预览与下载 PNG 换行一致。验证时间：2026年4–5月，基于 Canvas 2D API / vanilla JS / 英日西法葡五种语言生产环境。

#开发者 #工具 #Canvas #i18n #多语言 #前端 #JavaScript #CJK #文本渲染
@DevToolboxHub

Gitlord：将 AI 对话变成 Git 提交

每次 agent 对话都变成一个 Git commit，让 AI 会话历史可导航、可分支、可 diff，像管理代码一样管理 AI 工作流。Gitlord 是一个开源 CLI 工具，兼容多种 AI 提供方并内置 MCP 工具集成与 RAG 语义搜索。

核心能力：
• 每次 agent 交互自动生成 Git commit，支持分支、回退和 diff
• 通过 MCP 连接文件系统、搜索、浏览器等工具，子 agent 自动继承工具链
• 统一接口在 170+ 提供方、近 3000 个模型间切换，或一行代码切换本地模型
• 4 行 Python 代码即可启动 agent

性能改进 (v0.1.0)：
• 结构化 trailer 消除 JSON 遍历，元数据解析达到 O(1)
• 每次交互自动更新索引，缓存至 .gitlord/index.json
• 新增内存查询层，支持快速过滤与聚合
• 长会话快照压缩：将旧轮次压缩为 JSON，从检查点 rebase

完全模块化、可替换，MIT 许可。适用于需要可追踪、可复现 AI 工作流的开发者。

GitHub

#开发者 #工具 #Gitlord #AI #Agent #MCP #开源 #CLI
@DevToolboxHub