diff options
| -rw-r--r-- | content/weekly/85.md | 49 |
1 files changed, 48 insertions, 1 deletions
diff --git a/content/weekly/85.md b/content/weekly/85.md index ed2cfedc..f942e5b4 100644 --- a/content/weekly/85.md +++ b/content/weekly/85.md @@ -1,5 +1,5 @@ +++ -title = "稻草人周刊 Vol." +title = "大脑充血 Vol.85" subtitle = "" tags = [] date = 2026-06-08T14:37:56+08:00 @@ -21,6 +21,40 @@ Blah, blah. ## 连接 +--- + +## 茶歇 + +### NPM 的安全更新 + +> [!note] 📃 +> [Upcoming breaking changes for npm v12](https://github.blog/changelog/2026-06-09-upcoming-breaking-changes-for-npm-v12/) + +NPM 即将在七月份发布 `v12` 版本，主要有三项改动，均涉及 `npm install` 命令： + +1. 默认禁用脚本，安装前、安装时和安装后，依赖都不能执行脚本，除非手动允许 +2. 默认禁止从 Git 仓库解析依赖，无论是直接还是间接的依赖，出否手动运行 +3. 默认禁止从远程 URL 解析依赖，除非手动允许 + +更多技术细节可以阅读[原文](https://github.blog/changelog/2026-06-09-upcoming-breaking-changes-for-npm-v12/)。安装前后执行的脚本、从 Git 仓库和远程 URL 下载的外部代码，都是很多 NPM 供应链攻击的来源。之前我在[第 83 期周刊](/weekly/83/#用-pnpm-规避供应链攻击)分享了如何用 PNPM 规避供应链攻击，其中提到的策略也几乎一致。 + +不过这仅仅是客户端层面的防控措施，为什么 NPM 不能想办法加强中心包索引的安全性呢？哦等等…… 我在 Hacker News 的讨论区发现了什么？——[NPM 在 2020 年加入了 GitHub](https://github.blog/news-insights/company-news/npm-is-joining-github/)？原来也是微软的一部分，那不稀奇了。 + +我怎么感觉 JavaScript 生态不会好起来了？ + +### Chromium 或将无法使用 uBlock Origin + +> [!note] 📃 +> [Google Chrome is killing all uBlock Origin bypasses, Microsoft Edge, Opera to follow](https://www.neowin.net/news/google-chrome-is-killing-all-ublock-origin-bypasses-microsoft-edge-opera-to-follow/) + +谷歌即将终止对 Manifest V2 的支持，广告、追踪器拦截插件 uBlock Origin 就依赖 MV2 提供的 API，一旦 MV2 不受支持，在 Chromium 上就只能使用基于 Manifest V3 的 uBlock Origin Lite（并不好用）。Microsoft Edge 很早就禁用了 uBO，Opera 表示会跟进，目前只有 Brave 表示会继续支持 uBO。 + +我一直在使用 [Helium](https://github.com/imputnet/helium) 浏览器，它也是基于 Chromium 的（准确来说是 [ungoogled-chromium](https://github.com/ungoogled-software/ungoogled-chromium)），所以我很关心去谷歌化的 Chromium 系浏览器这边状况如何。不久前，ungoogled-chromium 的 Issues 区有[相关的讨论](https://github.com/ungoogled-software/ungoogled-chromium/issues/662#issuecomment-4620528374)，维护者表示他们还没有升级到 Chrome 151（也就是 MV2 被彻底禁用的版本）。之后的讨论…… 看起来很激烈，其中一位贡献者的[长篇大论](https://github.com/ungoogled-software/ungoogled-chromium/issues/662#issuecomment-4657975560)中甚至提及了要给浏览器添加在 Chrome Web Store 以外的地方安装浏览器拓展的能力。还有很多讨论是关于 uBO Lite 究竟好不好用的，ungoogled-chromium 如何继续支持 MV2 这个问题，我没有找到答案。 + +Helium 这边，从 README 来看，尽管基于 ungoogled-chromium，他们仍然做了很多修改。在发现了一条*过于幼稚导致我厌人症又发作的*相关 [Issue](https://github.com/imputnet/helium/issues/1169) 之后，我终于找到了主要维护者 [wukko](https://github.com/imputnet/helium/issues/1568#issuecomment-4365771817) 的答复——一位用户请求 Helium 从 [Supermium](https://github.com/win32ss/supermium) 合并补丁，以此持续 MV2 支持，wukko 的回复是：Helium 已经支持 MV2 并且自带 uBO 作为浏览器组件。看起来 Helium 用户不必担心 uBO 问题。 + +至于为什么不用 Firefox，可以阅读[第 18 期周刊](/weekly/18/#firefox-放弃了用户隐私)（不过那是一年前的消息了，如今可能有变化，但整体而言不太信任 Mozilla）。如果非要用，可以试试 [Waterfox](https://www.waterfox.com/) 或者 [LibreWolf](https://librewolf.net/)。不过，我不愿意使用 Firefox 系浏览器的主要原因是他对某些新 Web API 和 CSS 特性的支持实在太慢了——比方说，截止 2026 年 6 月 10 日，主流浏览器中只有 Firefox 没支持 [View Transition](https://developer.mozilla.org/en-US/docs/Web/API/View_Transition_API#browser_compatibility)。 + ### 为 YAML 辩护 > [!note] 📜 @@ -60,8 +94,21 @@ Blah, blah. ## 星群 +### clj.rs + +用 Rust 实现的 Clojure 方言。 --- ## 切片 +- 六月九日 + - 对人类感到厌倦，不想和任何人讨论任何事情，一鼓作气，在 uBlock Origin 里拦截了我的联邦宇宙实例和 Matrix 服务器，先让自己清静一段时间再说。以后有什么要发的，就先写在周刊里好了。 + - 看了《Rick and Morty》第九季第三集…… 编剧你写的什么玩意儿？——*令人意外，但这并不是批评，我也不知道这是什么。* + - 七八点的时候突然想吃点东西，看到有卖墨西哥卷饼（大概就是传说中的 Taco 吧）的店，挑选了半天才发现单点不送，再加了一份薯条也不行，必须要我点两个饼。这是什么道理？！ + + 故点了一份披萨，~~从热量来说都不相上下呢。~~ + - 觉得 LLM 生成的内容很有道理并从未想过反驳，是否可以理解为「此人的认知水平在人类平均水准以下」？ +- 六月十日 + - 观点这种东西在博客里露露鸟就好了，在没有要求的情况下硬塞给别人，就像发屌照一样。由于心智和肉体的差别，精神上的发屌照和强奸区别不大。 + |