iOS 26 捷径无限循环？新 API 一招解决

作者利用 iOS 26 新增的 .foreground(.dynamic) 打破了拦截应用启动时的无限循环，并开源了替代 One Sec 的 iOS 工具 Boot Up。
- 问题：通过 deep link 返回目标应用时，快捷指令自动化再次触发，导致循环。
- 解决方案：使用 App Intents 在后台检查共享 App Group 中的“Launch Pass”状态，仅无通行证时才唤起前台 UI。
- 开源项目 Boot Up 已实现该方案，代码及 TestFlight 测试链接如下。

原文链接
源码：GitHub

#开发者 #工具

📢 频道：@DevToolboxHub

Intuit AI基础设施架构实践指南

Intuit 首席工程师 Merrin Kurian 分享其 GenAI 基础设施栈的架构蓝本与组织流程，聚焦可落地的工程实践：

- 采用“固定、灵活、自由”框架，将 GenOS 扩展至 8,000 名开发者，支撑 3,500+ 生产实验
- 总结关键代理失败模式，并介绍“LLM-as-a-judge”评估策略
- 探讨如何构建“工具就绪”API，面向未来 Agentic AI 场景

链接：原文链接

#开发者 #工具

📢 频道：@DevToolboxHub

Core Web Vitals 实战优化指南

全面指南详解 LCP、INP、CLS 三项核心指标，包含真实案例与优化清单。

要点：
- 快速见效方法：转换图片为 AVIF/WebP（<100KB），为所有 img 指定宽高，部署 CDN（如 Cloudflare）可大幅改善 TTFB
- Laravel + Vue SaaS 项目实践：LCP 从 4.1s 降至 1.9s，INP 320ms→120ms，CLS 0.18→0.03，30 天内演示预订量提升 22%
- 核心技术策略：图片优化（最大 ROI）、JS 移除阻塞脚本、Redis 缓存、字体自托管 + font-display: swap
- 2026 年趋势：AI 驱动性能监控（SpeedCurve、Calibre）与代码分析（Cursor、Copilot）成为标配

🔗 原文链接

#开发者 #工具

📢 频道：@DevToolboxHub

Rust 重写 uutils 曝 44 个 CVE

Canonical 在 2026 年 4 月披露了 uutils（Rust 重写的 GNU coreutils）的 44 个 CVE。外部审计通过代码审查发现，这些漏洞未被 borrow checker、clippy 或 cargo audit 捕获。

要点：
- 漏洞分为 8 类：TOCTOU、权限时序、路径字符串比较、UTF‑8/字节不匹配、panic 作为 DoS、错误丢弃、GNU 兼容性、chroot 前未解析用户。
- 安全边界位于 Rust 程序与操作系统之间，类型系统无法覆盖。
- GNU coreutils 维护者指出，fs::canonicalize 修复可能导致 1200 倍性能下降，并确认存在一个实际内存安全漏洞（GHSA‑w9vv‑q986‑vj7x）。
- 文章建议审计 checklist：检查 from_utf8_lossy、unwrap()、丢弃的 Result、File::create 等。

来源

#开发者 #工具

📢 频道：@DevToolboxHub

拒绝写spec？Claude Code三次生成错误代码后我妥协了

开发者Ken Imoto曾坚决抵制「spec驱动开发」，直到Claude Code三次生成一个对自己应用优惠券的折扣系统。此后他花15分钟写OpenAPI文档和Gherkin场景，将两者交给Claude Code，AI生成约80%实现，剩余20%领域逻辑手写完成。

三个经验证的模式：
- OpenAPI转实现：写端点形状，获得CRUD+序列化+错误处理存根
- Gherkin转步骤定义：Given/When/Then场景同时驱动实现和测试，防止漂移
- Spec转属性测试：从OpenAPI schema生成边界测试

三个陷阱：
- 模糊spec（如 discount: number）让模型不同次猜测不同，成为幻觉工厂
- 未写约束时AI会添加未要求的认证等逻辑，需显式写明「不做什么」
- 生成代码仍需人工审查（SQL注入、localStorage存JWT、N+1等实际案例）

最终工作流：OpenAPI端点+三个Gherkin场景+一个Out of scope节，配合CLAUDE.md项目约定，一条 /spec-impl 命令完成。

原文链接

#开发者 #工具

📢 频道：@DevToolboxHub

自建 MCP 服务器套上 MCP 网关

作者将自建的 Agent Toolbelt（MCP 服务器，27 个工具）置于自建的 Cordon（MCP 网关）之后，实现工具调用的审计和费用控制。

- Agent Toolbelt 提供股票研究、Schema 生成、正则辅助等工具，部分调用需付费（如 stock_thesis 每次 $0.05）
- Cordon 作为中间网关，记录每次工具调用并支持策略拦截或审批
- 配置简单：Cordon 以子进程启动 Agent Toolbelt，Claude Desktop/Cursor 直接连接 Cordon 即可
- 可对高价工具设置审批（如 $0.05/次），避免 Agent 无限循环产生大额费用

链接：
Agent Toolbelt on npm: npm
Cordon: 原文链接

#开发者 #工具
📢 频道：@DevToolboxHub

Ota 压测 n8n：闭 PR 价值验证

开发者对知名 OSS 自动化仓库 n8n（n8n-io/n8n）提交 PR #30714，使用 Ota 进行压力测试。虽被关闭，但验证了工具在复杂仓库上的可行性。

- 测试分支引入 ota.yaml 定义工作流就绪路径；新增跨平台（Linux/macOS/Windows + Docker）烟雾矩阵测试；CI 中固定 Ota 版本实现确定性行为。
- 维护者因政策原因关闭 PR：不需要额外就绪层、限制 CI 第三方依赖、不愿在贡献文档中背书外部工具。
- 测试证明了 Ota 能在复杂仓库下建模并验证就绪状态，跨平台行为通过矩阵压力测试，明确了技术适配与治理适配的界限。

原文
Ota GitHub：GitHub

#开发者 #工具

📢 频道：@DevToolboxHub

手搓 77 个免费 API 监控工具，全栈零成本

开发者因不满 GitHub 上的 public-apis 列表更新滞后（大量接口已死或偷偷转付费），用 Astro + Cloudflare Workers + D1 + Pages 搭建了 FreeAPI.watch。每小时轮询 77 个免费公共 API 的可用性和响应时间，每日自动重建静态站点。

核心架构与踩坑要点：
- 三层分离：Pinger Worker（每小时 cron 检查并写入 D1）→ Builder Worker（每日 cron 汇总数据并暴露 JSON 快照）→ Astro 静态站（构建时拉取快照，生成 142 页纯 HTML）。
- Bug 一：fetch 的 this 绑定丢失。将 fetch 作为依赖注入函数存储时，在 Cloudflare Workers 的 V8 隔离环境下会因品牌检查失败导致立即抛出 TypeError，response_ms 始终为 0。修复：fetch.bind(globalThis)。
- Bug 二：50 子请求硬上限。免费版 Workers 单次调用最多发起 50 个 fetch 子请求，77 个 API 直接溢出。当前仅能成功检查前 50 个，后续 21 个静默失败。计划拆分 cron 为两个时段（0 分和 5 分，各 40 个）或升级付费版（$5/月）解决。
- Bug 三：Pages 部署钩子不适用于直接上传。项目通过 wrangler pages deploy dist/ 部署（无 git 关联），无法使用 Pages 部署钩子。改用 GitHub Actions 每日 02:15 UTC 触发构建并重新部署，需手动设置 CLOUDFLARE_ACCOUNT_ID 避免权限查找。

所有服务均在免费层内运行（Workers 请求 1,700/天、D1 存储 80KB、Actions 90 分钟/月），唯一瓶颈是单次调用子请求数。

🔗 项目地址：原文链接

#开发者 #工具

📢 频道：@DevToolboxHub

Bun 用 Rust 重写运行时

Bun 官方宣布正将 JavaScript 运行时从 Zig 迁移至 Rust，目前已在 Linux x64 上达到 99.8% 的测试兼容性。

- 重写原因：Rust 拥有更庞大的贡献者生态，便于长期维护；Anthropic 收购后，Bun 作为 Claude Code 底层，稳定性要求极高
- 当前进展：实验性重写已覆盖 Linux x64 glibc，剩余 0.2% 不兼容为边界情况；macOS、Windows、ARM 支持后续推进
- 对开发者影响：完全向后兼容，现有代码无需改动；预计未来补丁修复更快、跨平台一致性更好

原文链接

#开发者 #工具

📢 频道：@DevToolboxHub