开发者日报

有人把自己 Mac 里的系统文件翻了一遍，发现苹果从 2022 年起就在后台悄悄给你和身边人建关系图，连谁是你亲戚都能推出来，数据还是明文的。他顺手写了个工具，谁都能在自己机器上看到这张图。https://8rank.ai/game/apple-intelligence-personal-knowledge-graph

GitHub 把自家底层存代码的系统重做了一遍。内部测试里，5000 个 AI 代理同时往一个仓库推代码，每秒 7200 次，读取也照常。关键在于代码内容本身不可变，可以同时写，真正要排先后顺序的只剩分支位置那一小块。做大规模系统的可以想想这个思路。https://github.blog/engineering/architecture-optimization/inside-githubs-new-git-storage-architecture/

有人翻出 OpenSSH 一个藏了九年的问题：在 Alpine 这类精简 Linux 上，本该只认密钥、不收密码的账户，连 root 也算在内，输一段超过 256 字符的任意密码就能登进去。根源是底层密码函数算不出结果时返回一个星号，而星号在密码文件里恰好表示禁止密码登录。https://sshhole.com

Go 1.27 把标准库里解析 JSON（接口数据最常用的格式）的代码换成了新版：同一段数据里出现两个同名字段时，旧版随便挑一个，这个含糊之处曾被人利用出过漏洞，新版默认报错。跑 Go 服务的人早晚会撞上这类边界。https://go.dev/blog/jsonv2

经常调接口的人大概都装着 Postman。有开发者查了本地日志，发现它打开后会自己往电脑上的 AI 编程助手装插件、写启动指令，让助手把接口的活都交给它。一个客户端顺手替别的工具做主，挺让人介意。两样都在用的人可以照着查一遍。https://github.com/postmanlabs/postman-app-support/issues/14370