两个 CVSS 9.2 的 PHP 核心 RCE，补丁北京时间今晚 22:00 发布，细节前一天就泄了。记录补丁发布前两小时的现场：一份只有六句话的官方公告、还没填完的修复版本表、GitHub 上一天里冒出来的仓库。

常用空间测绘搜索引擎

https://quake.360.net/

https://fofa.info/

https://fofa.so

https://Wigle.net

https://Hunter.io

https://Shodan.io

https://Onyphe.io

https://Zoomeye.org

https://Ghostproject.fr

https://App.binaryedge.io

https://Viz.Greynoise.io/table

https://spyse.com/

https://www.shodan.io/

https://censys.io/

https://dnsdb.io/

http://hunter.qianxin.com/

https://fullhunt.io/

https://hunter.how/

https://0.zone/

让 GPT-6.1 sol Ultra 给博客宇宙做了一轮跨仓库优化：Rust 全量 BFS、Barnes-Hut 布局、构建缓存和 Three.js 渲染一起折腾。完整强制构建从 110.97 秒降到 54.01 秒，缓存构建约 7 秒，节点三角形减少 94.44%，默认不锁帧、静止停绘。

2026 年 10 月 17 日，这个站点第三次换装。

第一次是 2024 年 12 月上线时的 Next 主题，第二次是今年 7 月随框架一起换成的 liushen，今天这次，换成了一套我自己写的主题——我叫它 Claude。

熟悉我的朋友应该记得，七月那次搬家我写过一篇 《「工具推荐」TRAE》，里面吐槽过 liushen 是从 Hexo 移植过来的，适配做得很粗，深色模式配色错乱、封面失效、闪念热力图异常，我挨个翻源码去缝补。这三个月我一直在补：补深色模式、补封面、补热力图，十月初还给它加了邮箱订阅。

补到后来我发现一件很尴尬的事：我修的不是 bug，是审美。

那些问题的根源不是代码写错了，而是这套视觉语言本身——全屏大图 banner、粉蓝渐变侧栏、毛玻璃胶囊顶栏、带投影堆叠的卡片——就不是我想要的样子。它没坏，只是不对。

于是有了今天这次更换。

一开始我想得很简单：把 liushen 刷成奶白色，不就“换了套皮”吗。

真做完一看，不行。骨架还是 liushen 的骨架，分区还是那个分区，只是颜色从蓝变成了奶白——那叫改配色，不叫新主题。

所以这次重做，我先给自己立了两条硬规矩：

第 2 条执行得比想象的狠。整套旧视觉机制是被删掉的，不是改颜色：整页背景图、页头顶图 banner、SVG 波浪、渐变侧栏、毛玻璃顶栏、卡片投影堆叠，连“圆角"”文字颜色“这类开放给用户的自由值都一并去掉了——因为它们会让页面随时跑偏。

先说清楚一件事：我不是把官网截图描了一遍，而是把它的设计系统——颜色令牌、字体规则、间距节奏、组件规范——整层抽出来，再按博客的用途重新落地。

因为这套语言的本质不是“科技感”，是编辑感。

你去翻一圈主流 AI 产品的官网，几乎清一色冷色调：OpenAI 的灰蓝、Google 的饱和蓝、微软的商务青。Claude 是那个反着来的——暖调奶白做画布、珊瑚做强调、标题走衬线体。这三个选择加起来，读起来像一本杂志专栏，不像一个 SaaS 落地页。

而对一个写东西的站点来说，“像杂志”恰恰是最对的状态。所以我搬的不是“AI 公司的样子”，是“编辑部的样子”。

整套系统只有三种表面色调，加一个强调色：

规矩是：不引入第四种表面色调。 没有紫色卡、没有绿色区块、没有蓝色信息条。色相一多，品牌感立刻散掉。

这里有个容易被误会的地方——深色块不是“深色模式”。它是版面里的一个拍点，浅色模式下照样存在。真正的深色模式是另外一套令牌映射，两件事互不搭界。

这条是整套语言里我最喜欢的一条，也是最容易被人改坏的一条。

标题用衬线（Copernicus / Tiempos Headline），正文用无衬线（StyreneB / Inter），代码用等宽（JetBrains Mono）。但真正的规矩在字重上：

显示级字号一律字重 400，绝不加粗。需要强调时，换更大的字号，不换更粗的字重。

再配一个负字距（-0.2px 到 -1.5px，字号越大收得越紧）。这两条加起来才是那种“沉着的、想过的”语气。同样的标题换成 700 字重，立刻变成喊话。

老实说，字体栈里前两个名字在绝大多数人的机器上都不存在——Copernicus 和 StyreneB 是 Anthropic 的自有商用字体，没有公开 webfont，真正生效的是后面的回退。我在这套栈里额外补了中文衬线回退链（思源宋体 / Noto Serif SC / 宋体），因为这是个中文站：Copernicus 没有中日韩字形，中文标题会直接掉进系统默认衬线。中文衬线天生比拉丁衬线“重”一些，所以负字距在中文上我收得更保守，不然会挤成一团。

Anthropic 有个四芒放射的小标记（radial spike mark），像一颗手画的星。它在页头品牌位、页脚、“首页”图标上各出现一次，是内联 SVG。

它是全站唯一一个图形化的品牌资产。除此之外，整站没有一个位图 logo、没有一张摄影图。

这是跟旧主题差别最大的一条。旧主题靠投影堆叠出层次，这套语言的哲学反过来：色块优先，投影罕见。

整个样式表里 box-shadow 只出现了 11 次，而且几乎全在下拉菜单、抽屉、搜索面板这些真的浮在页面上的元素，以及输入框聚焦时的珊瑚光圈上。卡片一律不加投影。

还有个细节我很喜欢：描边色 --hairline（#e6dfd8）和“禁用态”是同一个色值。意思是边框摸上去像“抬高一级”，而不像“画了条线”——因为它是从画布色里调出来的，不是从墨色里调出来的。

这套语言对珊瑚的态度可以概括成一句话：点缀上吝啬，通栏上大方。

单个元素上，珊瑚只允许小面积出现：主按钮、徽标、列表的项目符号、热力图最高档、深色面上的链接。除此之外——

只有通栏 CTA 区块允许整块铺满珊瑚。所以首页那条订阅通栏是全站唯一的珊瑚通栏，别处找不到第二块。

原因很朴素：珊瑚一多就不亮了。 强调色的力量来自对比，满屏都是强调，等于没有强调。这是这套语言最容易被破坏的一条，也是我改旧主题时最想推翻的一条。

页面由若干个“区段”纵向堆叠，规矩只有一句话：相邻两个区段，不得使用同一种表面。

标准的六拍是这样的：

用大白话讲：文章的段落需要有起伏，页面也一样。如果从上到下全是同一个底色，读者就失去了“翻页感”，滚多久都像停在同一屏。

深色块在这套设计里是拍点——它自带产品感，比任何装饰插画都更贴题。正因为它稀缺，它才有效。

区段间距 96px，窄屏收到 64px（手机上 96px 会空得离谱）。

封面一律是内置 SVG 线描几何，四种构图轮换：珊瑚细线 + 虚线辅助线 + 青绿圆点，画在奶白底上。不引用任何外部位图。

好处很实际：任何时候都不会出现“图裂了”——没有外链就没有裂的可能；也不会出现“图把标题盖住了”——线描本来就是稀疏的。

官网是卖产品的落地页，博客是给人读长文的，直接照搬会出事。所以有些地方我改了：

改完之后，它还是那套语言，但已经是一个博客的样子了。

四种排布里我最喜欢「杂志混排」：置顶文章和正文超过 1200 字的长文会自动放大成跨列大卡，其余保持标准卡。卡片大小由文章本身的属性决定，不是随机花样——写长的人自然得到更大的位置，这比”按位置轮换“公平得多。

下面这部分偏硬核，是这次重写真正花时间的地方。如果你也在自己改主题，希望有点用。

109 个配置项全部改成 claude 开头。原因很实在：Gridea Pro 的主题配置是共享命名空间的，不同主题之间会互相污染。 换主题时残留的同名变量会把新主题带偏。

只有 20 个”内部契约键“保留了短名——它们是模板与 main.js 之间耦合的通道，改了会导致整套交互失效。

所有颜色、圆角、间距必须走 CSS 变量，写死色值算违规。变量分两层：

组件样式从头到尾一行都不需要动。旧主题里有 300 行 [data-theme="dark"] 的逐元素硬编码覆盖，这套写法下完全不需要——那 300 行本身就是”令牌没建好“的症状。

正文与背景的对比度要求 ≥ 4.5:1（这是 WCAG AA 的及格线，大白话就是”视力不太好的长辈也能看清“）。为了守住这条，改了三处：

有意思的是第二行：同一个珊瑚色，在浅色面上要压暗，在深色面上反而要用原色。 这不是审美摇摆，是数学。

下拉菜单、抽屉、搜索面板这类开合，一律用 visibility + opacity + transform 过渡，禁用 display。

原因是 display 不参与插值，浏览器不会给一个不渲染的元素做动画——关闭时会”啪“地一下消失，没有过渡。

实测踩到的一个坑值得记下来：下拉菜单点了没反应、鼠标移开才收起。根因是鼠标停在触发器上时 :hover 恒成立，光靠增删 .is-open 压不过它。修法是关闭态单独写 .nav-drop.is-closed，并用 .is-closed:hover 提高特异性。

时长上：下拉 200ms、抽屉 280ms、主题切换 380ms（径向遮罩从点击点扩散）、搜索 260ms，并且全部尊重系统的”减弱动效“设置。

翻车一：模板语法。

为了修「关于页」的死链，我在 base.html 顶部写了个宏去解析页脚导航。本地用独立 nunjucks 跑，6 个用例全过、7 个模板 precompile 全过——结果在 Gridea Pro 里一构建，全站渲染失败。

结论：独立 nunjucks 验证通过 ≠ Gridea Pro 的真实引擎认可。 从此任何模板层面的新写法，都必须先在 GP 里实际构建一次才算数。最后这个需求是用最笨也最稳的方式解决的：把 6 个文件里的 /about/ 纯文本替换成 /post/about/，零模板语法、零风险。

翻车二：客户端回写。

Gridea Pro 客户端开着的时候，会用内存里的旧配置回写站点 config.json，把我刚迁移好的配置冲掉，还混进 7 个 liushen 的死键。

教训：改配置前先确认客户端状态，改完提醒自己重启。

从”改个配色“到”重写一套节奏“，这次折腾的工程量远超我最初的预估。但看到首页从上往下滚时那种奶白 → 深色 → 奶白 → 珊瑚的呼吸感，我觉得值。

如果你在浏览时发现了什么不对劲的地方——错位、看不清、点了没反应——欢迎直接在评论区/「一起来找茬」留言，再或者发邮件到 sunrise@wowtang.top。这个站点的每一次变化，基本都是被这些反馈推着往前走的。

也欢迎订阅我的博客，新文章会第一时间发到邮箱。

AI 把学习的门槛降下来了，也把学习的收益一起降了下来。学会三件套也只能说出「帮我检查有没有冗余」这种话，要学到能说出不一样的东西，中间是一段很长、几乎没有反馈的路。这篇主要写这一路上的痛苦和焦虑：只有采药人看得见的根、空中楼阁一样的心智模型、被火车拖着走、狼可能永远不来、被抽掉的中间台阶。最后那点「解脱」只是我现在能说服自己的几条，当参考就好。

关于恋旧、离别与新的旅程

在外突然想起曾经的一个老师，翻了翻空间动态，才发现已经很久没有更新了。最后一条是在吐槽工作，仔细看了才知道，她已经开始了新的旅程，只是这段旅程似乎并没有想象中那么轻松。

看着那些文字，忽然觉得，人生里有些选择真的很难用好坏来衡量。

在别人眼里很好的机会、很高的平台、值得努力争取的未来，落到自己身上，却未必意味着幸福。人总是习惯站在结果的角度评价选择，却很少有人能真正体会，做出选择的人究竟失去了什么，又要花多大的力气才能适应那些改变。

或许对于一个恋旧的人而言，离开从来不只是换一个地方生活。它意味着要重新熟悉一群人、一种秩序、一套生活方式，也意味着从前那些习以为常的日子，忽然成了再也无法轻易抵达的远方。

最难熬的，大概不是离开的那一刻，而是离开以后。你明明已经做出了选择，却还是会在某个寻常的瞬间想起从前；明明知道生活要继续，却总会因为一张照片、一处熟悉的场景，重新陷入那些不舍里。甚至会忍不住怀疑，当初的决定究竟有没有意义。

我想，同为恋旧的人，我多少能够理解这种痛苦。

有时候，我们并不是不知道人应该向前走，也不是不明白新的生活终究需要适应。只是情感的速度总是比理智慢一些。理智已经接受了现实，情感却还停留在过去。我们一边劝自己既然选择了就好好走下去，一边又忍不住回头看。

以前总觉得，时间会解决很多问题。后来才发现，时间并不是替我们做出选择，也不是让我们忘记曾经珍视的一切。它只是让那些曾经难以承受的情绪，慢慢变得可以承受；让我们终于能够在想起过去的时候，不再只有遗憾和难过。

所以，我想，往后无论面对什么选择，都不该只问它是不是更好的机会、是不是更值得追求的未来，也应该问问自己：这样的生活，是我真正想要的吗？为了得到它，我需要放弃什么？而那些失去的东西，对我而言究竟有多重要？

当然，人不可能每一次都做出最适合自己的选择。也许只有真正走过一段路，才会知道自己喜欢什么、不适合什么，以及什么才是自己愿意长久守护的生活。倘若后来发现当初的选择并不适合自己，也不必因此责怪过去的自己。那时的我们，只能依据当时的认知与期待，做出当时认为最好的决定。

至于离别，我想自己仍然需要很长的时间去学习。

学习接受有些人只能陪伴我们走过一段路，学习接受熟悉的地方终究会成为回忆，也学习在舍不得的时候，不必急着说服自己放下。怀念就怀念，难过就难过。承认一段生活曾经对自己很重要，并不意味着我们无法继续前行。

有时候，看着别人努力适应新的生活，也会忍不住想，究竟要花多少时间，一个人才能真正与过去告别？又或者，所谓告别，本来就不是彻底放下，而是终于可以带着那些不舍，继续过好眼前的日子。

我想，人生里没有那么多必须证明正确的选择。我们可以遗憾，可以怀念，也可以在走过一段路之后，重新思考自己真正想要的生活。重要的或许不是每一步都走得正确，而是在看清自己的内心之后，依然有勇气选择，有勇气承担，也有勇气重新开始。

也借这件事提醒自己：不要因为害怕错过机会，就匆忙奔向别人眼中更好的生活；也不要因为已经付出了很多，就勉强自己留在不再适合的地方。

愿时间慢慢掀开新的篇章。

不必急着向前，也不必因为回头而感到羞愧。人生那么长，有些情绪本来就需要时间消化，有些离别本来就需要反复练习。

只希望往后的日子，无论身在何处，都能向阳而生。

Windows 上的 Claude Desktop 在公司网关和个人 claude.ai 账号之间切换，侧边栏的 Code 会话就不见了。原因是两种登录方式各用一套数据目录，会话正文其实一条没丢。两个方向我各实操过一次，这篇讲两套目录、两个方向的差别；具体操作写成了 skill，下载给自己的 AI 照着做。

开 TUN 能用、完全不代理也能用，偏偏开系统代理时微软商店报「无法连接」。原因是 UWP 应用的回环隔离：商店连的不是外网，而是 127.0.0.1 上的代理端口，这一步就被沙箱拦了。附三种解法：EnableLoopback 图形工具、CheckNetIsolation 命令、让 AI 帮你排查。

现在的 AI 助手替我们上网办事，效率其实相当低下。

原因很简单：过去的网页完全是为人类设计的。 为了让人看得直观舒适，页面里充斥着视觉排版、复杂层级、弹窗和动效。

但 AI 并不理解这些。 目前大多数智能体只能把网页截成图片，或者强行解析几万行 HTML 代码，努力从像素堆里猜测： 哪个是确认按钮？哪个是干扰广告？ 这种模式不仅耗时、极易误触，还在无谓地消耗高昂的算力。

行业很快意识到一个核心痛点： **让 AI 强行模仿人类的视觉和鼠标去浏览网页，方向本身就走偏了。** 网页需要一种原生的方式，直接与 AI 对话。

这就是 **WebMCP** 诞生的背景。

---

### 什么是 WebMCP？

简单来说：**它是浏览器正在推进的一项新标准，专门在网页底层为 AI 提供一套清晰的“操作指令”。**

过去的网页只有面向人类的一套图形界面。 而 WebMCP 让网页拥有了第二套交互层——**面向机器的结构化工具接口**。

当支持该标准的 AI 访问网页时，浏览器不再要求它去分析视觉画面，而是直接向它暴露一组明确的功能入口：

* 查询商品信息，调用对应的查询指令； * 提交订单数据，调用对应的操作指令。

AI 不需要再“看”网页长什么样，更不需要模拟人类在屏幕上移动光标，而是直接以最直接的方式调用功能，完成任务。

---

### 它如何实际运作？

WebMCP 的协作逻辑非常直接，主要分为两个环节：

**1. 网站端：声明可用工具** 开发者只需要在网页脚本中注册几行标准描述。 将网站现有的功能（例如商品检索、物流跟踪、图片信息校验）打包成公开的标准化工具，直接挂载到浏览器的上下文中。

**2. AI 代理端：按需调用功能** 当用户委托 AI 执行任务（例如“帮我在这家网站检索最便宜的同款商品”）时，AI 进入页面并检测到 WebMCP 接口。 它会跳过繁琐的页面解析流程，直接传入参数并触发对应的工具，秒级获取精准数据。

更关键的是，这一过程完全发生在用户的本地浏览器中。 用户的登录凭证、Cookie 与本地会话状态都会自然保留，无需向外部第三方交出账号密码，兼顾了效率与安全性。

---

未来互联网的发展趋势正在变得愈发清晰：

面向人类的前端界面，继续专注于视觉体验与交互美感； 底层的 WebMCP 标准，则负责为自动化工具开辟一条高效通道。

让机器以机器最擅长的方式工作，网络才会真正变得敏捷。


不换 CDN、不改 NS，把 Cloudflare 上的网站解析到国内连得更快的节点。先讲清实现原理，再按官方文档整理 SaaS 自定义主机名、Worker 路由、R2 三种做法的步骤、限制和验证方法。

HSTS 网站证书出错时 Chrome 不给「继续前往」，但在拦截页上盲打 thisisunsafe 就能进去。按 RFC 6797、Chromium 源码和一次实测讲清楚：为什么没有按钮、这串字母怎么生效、放行记多久、什么时候不该用。

一条评论让我不舒服，我去找 Claude 吐槽，他开口第一句是「说实话，我觉得谈不上气人」。来回十几轮，他终于明白了问题出在哪，我也让他把这次的教训写成了一个 skill：聊情绪、聊意义、帮人回评论的时候，先接住感受，别造成二次伤害。文末有下载。

本地部署玩了下 [ARTEX](https://github.com/mhtsec/ARTEX)

接入Deepseek（容易破甲）

发了个目标站点

十几分钟后就推送找到了几个严重和高危漏洞

那种感觉，就像看到原子弹爆炸，整个人眩晕瘫坐。


本地部署玩了下 [ARTEX](https://github.com/mhtsec/ARTEX)

接入Deepseek（容易破甲）

发了个目标站点

十几分钟后就推送找到了几个严重和高危漏洞

那种感觉，就像看到原子弹爆炸，整个人眩晕瘫坐。