工程与效率
代码多三成，交付没动：AI 编程的下游账单
哈佛 718 家公司的研究显示 agent 让代码量涨三成，需求吞吐却没有显著变化，增益全部堆在评审环节。结合 Anthropic 三万次改动一天的三档审批流程，讲清楚为什么键盘上的速度不再是约束，以及度量口径该怎么换。
密码是对的，人却登不进去：一次 Secure Cookie 的排查记录
后台登录接口返回成功，紧接着的请求却像没登录一样被弹回登录页。查完 Set-Cookie，再用严格客户端做了一次对照实验，才确认根因是 Secure 属性在 http 上不回传，而 curl 因为 loopback 例外一直没暴露它。
给博客加一个能搜正文的搜索：FastAPI 倒排索引 + Vue 3 搜索框
站内搜索只能匹配标题，正文完全搜不到。这篇是重写实录：一个两百行不到的 Python 内存倒排索引、中文 bigram 分词、FastAPI 接口，以及 Vue 3 那边必须处理的防抖与竞态。
我为什么自己写了个 Markdown 渲染器（以及你多半不应该）
这个博客的 Markdown 渲染器是我自己写的两百行代码。这篇文章讲它怎么来的、怎么踩坑的、为什么我不建议你模仿，以及这段经历真正值钱的地方在哪。
提示注入：LLM 应用的第一威胁模型
凡是让模型读外部内容的场景，都要假设有人试图改写它的指令。威胁建模、攻击面盘点和防御分层，一次讲透。
一个独立开发者的 2026 AI 工具栈
写码、写作、运维、设计，AI 已经渗透到独立开发的每个环节。盘点我今年实际留下来的工具组合和淘汰掉的方案。
AI 生成内容的合规自查清单
监管对 AI 深度伪造、虚假信息、违规爬取的整治持续收紧。内容生产者和技术开发者各需要一份自查清单。
每瓦特 Token 数：算力成本的新视角
AI 行业的瓶颈正在从算法转向能源和芯片。“单位功耗产出”这个指标，正在影响从数据中心到笔记本的一切设计。
用 Playwright 给个人项目补上端到端测试
个人项目没有测试团队，但 Playwright 让“一次配置、长期兜底”变成现实。记录用一天时间为博客搭起端到端测试的全过程。
前端的安全默认值：CSP、上传与同源
个人网站最容易忽略的安全细节：富文本渲染、文件上传和同源策略。三道防线的“默认值”设计思路。
给博客定一个性能预算：首屏 150KB
给自己的博客定了条硬规矩：首屏关键资源不超过 150KB。用这条预算倒推出来的优化清单，比任何泛泛的“性能优化建议”都管用。
从 JSON 到 SQLite 到云：个人项目的存储升级路线
个人项目的数据存储不必一步到位。JSON 文件、SQLite、云数据库三级台阶，每一级的切换信号和成本都不一样。
uv 用了半年：Python 依赖管理的新默认
从 pip + venv 切到 uv 半年之后，安装速度、锁文件、多版本 Python 管理三件事都回不去了。讲讲迁移成本几乎为零的切换方式。
2026 年回头看：FastAPI 还是 Python 后端的甜点位吗
用了三年多 FastAPI 之后回头评估：新框架层出不穷，它依然是大多数 Python 后端项目的最优默认选择，理由和边界都在这篇。