CSP写了仍挡不住XSS？先删掉unsafe-inline
如果脚本策略仍依赖 unsafe-inline，CSP 可能放行注入的内联代码。部署时应先用 Report-Only 观察违规，再将合法脚本迁移到逐响应更新的 nonce 或脚本哈希，移除 unsafe-inline 后强制执行并回归检查；CSP 仍不能代替对不可信内容的处理。
科技 3
科技
OpenTofu还是Terraform：速度几乎打平，状态加密才拉开差距
新项目若需要在客户端加密状态文件，或更看重开放许可证与社区治理，可以优先考虑OpenTofu；依赖HCP Terraform Stacks、Sentinel和现有托管流程的团队，继续使用Terraform通常更省事。一组AWS配置测试中两者速度接近，现有项目是否迁移还取决于密钥管理、脚本和状态消费者的改造成本。
科技 1
Gemini 4 Argon先交给安全专家：每百万输入Token 2美元
Google 于 2026 年 9 月 30 日公布 Gemini 4 Argon，先向 Fairwind 计划中的受信任网络安全防御专家开放。每百万输入 Token 的首发优惠价为 2 美元，输出为 10 美元；普通开发者尚不能凭这一报价直接调用模型。
科技 8
NSA把抗量子门槛推到2027年：旧系统2030年前退出
NSA于2026年10月1日重申国家安全系统的抗量子迁移时间表：2027年起，新商业国家安全系统须具备支持抗量子算法的能力；无法支持的遗留系统将在2030年前逐步退出。两道门槛分别关系到新系统采购和旧系统处置，适用范围并非所有商业软件。
科技 5
Anthropic投1亿美元培训工程师：每人还要驻场12周
Anthropic于2026年10月2日公布Claude Frontier Academy，承诺投入1亿美元，目标是到2027年底培养1万名工程师。企业提名的学员须先通过面授实操考核，才能在原单位进入12周驻场阶段，负责真实Claude项目并接受最终评估。
科技 2
中国生成式AI用户突破7亿：一半人口已用上
2026年9月29日发布的报告显示，截至上半年，中国生成式人工智能用户超过7亿，普及率超过50%。问答覆盖的用户最广，图片视频、文本和办公任务也形成了不同的使用群体；办公应用调用次数、智能算力和制造业企业应用率则反映出另外几种增长，不能与个人用户数混为一谈。
科技 5
美珍香误发邮件泄露9.5万地址：AI写代码不能跳过复核
新加坡美珍香于2026年4月25日群发营销邮件时，让95,364名顾客的电邮地址被同批收件人看见。员工借助AI编写的脚本未经充分测试和监督复核；个资保委会已接受公司的整改承诺。
科技 1
ChatGPT还是DeepSeek：中文任务别只看一次跑分
ChatGPT 与 DeepSeek 没有适用于所有中文任务的统一胜者。先看访问地区和数据处理边界，再按翻译、摘要、推理、代码、检索与文件任务比较错误和返工，最后核算实际使用成本。
科技 2
Cloudflare R2还是AWS S3：出站流量会改写账单
大量静态文件直接交付公网时，Cloudflare R2免收出站带宽费，月账单可能明显低于Amazon S3；数据主要由同区域AWS服务读取时，S3的传输条件和现有架构更有分量。比较两者还须计入请求、低频提取、最低保存期与迁移成本。
科技 1
PostgreSQL还是MongoDB：灵活Schema未必换来更快写入
新项目若依赖稳定的实体关系和数据库约束，可优先考虑 PostgreSQL；若数据天然以完整文档读写，MongoDB 值得评估。灵活 Schema 能降低建模摩擦，却不保证写入更快；选择还取决于查询、事务和并发负载。
科技 2
API密钥推上GitHub后，先撤销：删文件不能消除泄露
API密钥误推到GitHub后，先确认它能访问什么，并尽快在签发方撤销或轮换。删除文件不能让已暴露的密钥失效；旧密钥停用后，还要更新依赖服务、检查使用记录，再决定是否清理Git历史。
科技 1
SPA里藏不住client secret：OAuth改用授权码+PKCE
React、Vue、Angular 等单页应用应按公开客户端配置，使用授权码流程配合 PKCE，不在前端保存 client secret，也不再用 Implicit Flow 接收访问令牌。纯 SPA 要控制浏览器中的令牌暴露；需要隔离令牌的业务可采用 BFF，并核对回调地址、CORS 和退出登录行为。
科技
MiMo-V2.6工具调用会原地打转：9万美元修复奖励盲区
小米MiMo团队9月27日披露，MiMo-V2.6在代理任务中会反复发起无效工具调用，团队以约9万美元完成MOPD修订。修订模型已上线官方API，本地部署者需改用带MOPD后缀的新权重；公开故障单记录了更新前的调用失控。
科技 5
GitHub Actions部署AWS别存长期密钥：OIDC仍要锁定仓库分支
GitHub Actions 可通过 OIDC 承担 AWS IAM 角色，取得部署所需的短期凭证，无需继续在仓库保存 IAM 用户访问密钥。迁移时要先建立身份提供商和角色，用 aud 与 sub 限定令牌受众及获准的仓库、分支或环境，再修改工作流；验证允许与拒绝场景后，才能停用旧密钥。
科技 1
密钥写进Docker ENV会留在镜像：构建时改用secret mount
写入 Dockerfile ENV 的密钥会进入镜像配置。构建时可用 BuildKit secret mount 临时提供凭证；运行时则用 Compose secrets 向获授权的服务挂载文件。宿主机环境变量可以作为秘密来源，但把同一值传入容器的 environment，仍会形成普通容器环境变量。
科技 1