CrowdSec 部署 CloudPanel：日志格式避坑指南
在CloudPanel上部署CrowdSec时，其nginx日志末尾多了一个XFF字段，标准parser直接失效。需自定义parser并将source_ip逻辑指向Cloudflare实际网段——远程IP来自Cloudflare边缘而非真实客户端。 文章提供了完整的配置文件写法与CIDR白名单同步建议。 
评论
点赞
收藏Microsoft Authenticator 无需密码即可疯狂发送登录验证请求
Microsoft Authenticator 会在任何人输入邮箱时直接推送 MFA 验证通知，无需验证密码或 passkey，导致用户被持续轰炸。作者实测确认此问题，并发现大量用户遭遇相同情况。 微软的 MFA 疲劳攻击风险因此被放大——攻击者可以无限发送通知直到用户凌晨三点误点"批准"。作者建议改用 RFC 6238 TOTP（如 Google Authenticator），但微软的界面设计会让切换过程变得极其繁琐，甚至静默删除已有的 TOTP 配置。 文章还列举了微软登录系统的多个设计缺陷：恢复码按钮实际会静默失效旧码、DOM 结构导致密码管理器保存空用户名、前端缓存不同步显示错误的密码修改时间、跨域认证重定向循环丢失 session token，以及自动发送的过时设备配置邮件。 
Linux上华硕笔记本键盘背光自动调暗方案
开发者为华硕笔记本在Linux上自动调暗键盘背光写了一个Rust守护进程，用evdev的poll机制检测用户活动，不读输入内容只判断是否有活动，空闲后自动关闭背光，恢复时还原上次亮度。 支持作为用户级systemd服务安装，GitHub开源。 
Omarchy Quattro：Linux 发行版的 WordPress
Omarchy Quattro 是 DHH 主导的 Linux 发行版重大更新，引入 Quickshell 插件系统，允许用户通过 git 仓库直接安装共享插件，类似 WordPress 的插件生态。 插件市场已收到大量提交，但作者也担忧 AI 生成低质量插件会淹没市场。与 Fedora/Ubuntu 依赖 flatpak/snap 沙箱不同，Quattro 走的是更开放但风险更高的路线。 作者实测多款插件后认为，WordPress 靠生态而非完美赢得市场，Omarchy 正在押注同一策略。 
DNS Debt: How Phishing Campaigns Pass DKIM Without Hacking Anything
“ Vintage SPAM Ad – SPAM & Pancakes ” by daves cupboard, CC BY-NC-SA 2.0 (crop+color) [drop_cap]M[/drop_cap]ost scam and phishing emails these days get flagged pretty consistently by inbox providers. ...
Fighting Internet Background Radiation, One Line At A Time
[drop_cap]B[/drop_cap]ackground radiation in space is a crazy thing. At any given moment cosmic rays, mostly protons and heavier nuclei flung out by exploding stars, punch straight through the hull of... 
你的日志里满是蚂蚁。
<p>[drop_cap]太空中的drop_cap地面辐射是个疯狂的现象。在任何时刻，宇宙射线，主要是质子和由爆炸恒星释放的较重核，都会直接穿透航天器的外壳，穿透宇航员的眼球。<br><br>也没什么办法。</p><p>阿波罗11号的机组人员报告说，在前往月球的途中，他们看到了闪光，眼睛睁开或闭着，大约每两三分钟闪光一次，只要他们在黑暗中待得够久。<br><br>什么都没有。一粒粒子刚刚穿过视网膜，要么直接电离视网膜，要么在眼睛自身液体中超过光速时，发出淡淡的蓝色切伦科夫辐射闪烁。</p><p>互联网上也有类似的背景辐射。而且你也做不了太多。任何运行过服务器的人都知道，一旦IP被访问，它就会被访问<em>威尔</em>联系上。成千上万的请求涌入你的SSH端口，试图在你还没登录之前就暴力破解你那崭新的主机。<br><br>这种辐射的起源较少“宇宙”，但更多是<em>机械</em>自动化机器人农场、被攻破的客户端，疯狂攻击所有可能的域名和知识产权然后继续前进。就像一支看不见的昆虫军队爬行寻找裂缝。</p><p>对大多数用户来说，这完全是隐形的。但如果你维护任何形式的在线服务，恭喜你，你现在正处于无数自动化请求的接收端：漏洞扫描、凭证填充，诸如此类。</p><p>你可以（也应该）尽力锁住所有设备，保持你的堆栈更新，确保没有恶意设备通过。基本的安全卫生习惯可以防止这些行为造成真正的伤害。<br><br>但即使有基本的模式阻断和缓解措施，平均服务器日志中“昆虫噪音”的比例仍然令人震惊。</p><p>当你忙着在闪亮的“分析”仪表盘中优化X个真实客户的转化漏斗时，可能…</p>
差点让我崩溃的反引号：修复 Linux 上德语 XKB 死键问题
德国键盘布局在 Linux 下常因 XKB 死键机制导致反引号等字符输入异常。作者分享了排查过程与具体修复配置，解决 AltGr 组合键冲突及特殊符号映射问题。
I Put a Dock on My Hyprland and I’d Do It Again
[drop_cap]T[/drop_cap]here is this strange affectation that comes with using tiling window managers: EVERYTHING has to be a hotkey. If you don’t wield a gazillion keybinds you are failing in the Way o...
你的EPUB没问题，Kobo不这么认为：怪Adobe
作者发布通过epubcheck验证的EPUB书后，发现Kobo设备因使用老旧的Adobe RMSDK引擎而报错。经排查，是CSS4的min函数不被RMSDK支持导致。 文章揭示了行业标准验证工具与特定厂商渲染引擎之间的脱节，批评Kobo/Adobe在技术更新和错误处理上的滞后。
A Social Media Crossposter For The Terminal
A few days ago I built a small terminal tool for cross-posting to Mastodon, Twitter and Bluesky: socialsox-tui. You pop open a terminal, type your thought, send it. Done. No browser, no feed, no relat...
自建Markdown出版套件：在“吃狗粮”中直到完美契合
作者分享构建个人Markdown出版工作流的经历，从手动排版到自动化流程的探索过程，体现了开发者对个人内容控制权的追求和技术实践。
伪君主制：一种离经叛道的Hyprland/KDE配置方案
作者尝试将Hyprland平铺窗口管理器与KDE桌面环境结合使用，探讨这种混合配置的可能性和挑战。文章涉及Linux桌面环境的定制化实践，适合对Hyprland和KDE感兴趣的极客读者。
Vault Dweller：我如何抛弃云端，改用树莓派和Git仓库
作者分享将个人知识库从云端迁移至树莓派和Git仓库的个人实践。文章涉及对Obsidian等主流工具的反思，以及自建本地化、版本控制驱动的知识管理系统的技术细节和心路历程，属于典型的技术个人经验分享。 
我回到了乏味的Web开发，我并不后悔
作者回顾从1996年至今的Web开发历程，反思当前前端框架的复杂性，主张回归简单、标准的Web开发方式，认为这能带来更好的长期维护性和开发体验。
如何在 KDE Plasma 中创建全局颜色选择器快捷键（无需小部件）
文章介绍如何在 KDE Plasma 桌面环境中，利用 KWin 脚本功能创建一个全局快捷键来调用系统自带的颜色选择器，从而避免在面板上常驻小部件，提供了一种轻量级的替代方案。
Linux 排版的终极 Boss：PDF 中的 RTL 注释问题
文章指出在 Linux 环境下让阿拉伯语、希伯来语等 RTL 语言的 PDF 注释正确渲染是排版领域的“最终 Boss”。作者列举了 Okular 等主流应用均存在兼容性问题，反映了 Linux 在多语言支持上的长期痛点。 
驯服 WSL：打造终端优先的高效工作台
作者分享从 CachyOS 迁移后，如何将 WSL 打造为终端优先的高效工作流平台。文章包含个人迁移经验、具体配置技巧以及对 Linux 终端工作流的深度实践，适合对开发环境和效率工具感兴趣的读者。
破折号赞美帖（或者说：AI是如何毁掉标点符号的）
作者反思AI写作泛滥导致破折号被滥用，使其成为“机器感”的标志。作者分享了自己从随意使用到克制使用破折号的经历，将其视为一种对算法同质化写作的微小反抗，并表达了对这一标点符号美学的重新欣赏。
2025：我的Linux桌面元年
作者分享从Ubuntu到Fedora再到CachyOS的个人Linux桌面迁移经历。文章强调现代Linux在硬件兼容性和UI体验上的成熟，以及作为开发环境带来的掌控感和生产力提升，认为2025年对开发者而言确实是Linux桌面元年。
自建你的Spotify：摆脱算法与广告，重掌音乐库
作者因受够了Spotify的推荐算法、广告和AI垃圾内容，决定自建音乐流媒体服务。文章详细记录了使用Jellyfin、DietPi和旧网路笔记本搭建私有音乐库的过程，并推荐了Feishin和Symfonium等客户端。 作者认为虽然需要一定的技术门槛，但拥有完全自主权、无广告且元数据可控的体验非常值得，是一次成功的从商业流媒体回归本地管理的实践。 