2 次围观

2024-07-02 Hacker News Top Stories #

Pikimov.com是一款免费的在线动态设计与视频编辑工具，无需注册，旨在成为Adobe After Effects的替代品，支持多操作系统，保障用户隐私。

OpenSSH服务器中发现远程代码执行漏洞(CVE-2024-6387)，影响基于glibc的Linux系统，平均耗时6-8小时可获得root权限，成功率受ASLR影响。

在Windows上编写GUI应用程序面临诸多挑战，Dear ImGui被推荐为简单应用的最佳选择，尽管存在不足。

Pipes是一款类似Yahoo! Pipes的工具，提供可视化编程编辑器，用于处理feeds，支持RSS、Atom和JSON feeds输入，可自托管。

Alex Strick van Linschoten的微调模型在结构化数据提取任务中表现优于OpenAI的GPT-4，特别是在具体领域的准确性上。

HN招聘贴邀请各公司发布招聘信息，涵盖软件工程师、设计师、产品经理等多个职位，包括Cartesian Systems、Galvanick等企业。

增加城市中的树木对环境有益，不仅能净化空气、美化环境，还能缓解热岛效应，但树木分布不均，富裕社区与贫困社区存在差异。

Ladybird是一款全新浏览器项目，计划于2026年初发布Alpha版，专注于高性能、稳定性和安全性，完全独立构建，跨平台支持。

Postzegelcode是荷兰推出的邮资手写代码系统，自2013年起实施，适用于国内和国际邮件，价格与邮票相同，使用人数约59万。

该文章探讨了将程序代码融入递归神经网络的可能性，指出训练过的RNN在某些情况下能比手动编写的算法表现更佳。

Show HN: I created an After Effects alternative #

https://pikimov.com/

网站 https://pikimov.com 是一个在线动态设计和视频编辑工具，完全免费，无需注册，也没有人工智能。它是 Adobe After Effects 等编辑器的免费替代品，基于网络，无需安装，适用于 Windows、macOS 和 Linux 系统。

用户可以导入图片、视频、音频和 3D 模型，应用视频特效，进行基于图层的合成，使用关键帧动画系统等功能。所有文件都保存在用户的计算机上，不会上传到服务器。用户可以快速创建动态设计合成，在线裁剪视频，或剪辑视频以缩短长度。

该工具提供了大量导入选项，可以混合使用图片、视频、音频文件和 3D 模型（glb 格式），支持基于图层的编辑，提供各种视频特效，如颜色校正、模糊、故障效果、绿幕去除等，还有关键帧动画系统，可以对几乎所有属性进行动画处理，同时尊重用户的隐私，确保文件保存在用户的计算机上。

HN 热度 704 points | 评论 187 comments | 作者：clementpiki | 13 hours ago #

https://news.ycombinator.com/item?id=40843867

评论中提到 30fps 限制令人惊讶，23.976fps 似乎处理不够优雅；
评论指出点击报告 bug 应该带到一个带有信息的 bug 报告表单；
与"rectangle"互动时角落不可拖动，应默认全尺寸；
应该通过点击和拖动输入字段来调整旋转等；
在 dope sheet 中拖动关键帧并释放后，它们似乎会继续移动并在随机位置"安定"，不应该这样；
dope sheet 中放入值应该是可用的，并且应自动设置关键帧；
缓动的可视化很好，但应该在 dope sheet 中像 AE 一样用关键帧图标形状传达；
将关键帧移动到时间轴开头很困难；
架构上，预览渲染可能必须像 AE 中那样工作。保证实时可视化非常重要；
建议开发者深思熟虑受众和目标，以及投入 AE 的产品开发量。

RegreSSHion: RCE in OpenSSH’s server, on glibc-based Linux systems #

https://www.qualys.com/2024/07/01/cve-2024-6387/regresshion.txt

这个地址的内容是 Qualys 安全咨询，标题为“regreSSHion: OpenSSH 服务器中的 RCE，在基于 glibc 的 Linux 系统上（CVE-2024-6387）”。该咨询详细介绍了 OpenSSH 服务器中的一个漏洞，该漏洞是一个信号处理程序竞争条件，可能导致远程未经身份验证的根远程代码执行。

漏洞是在 OpenSSH 8.5p1 中引入的，通过一个特定的信号处理程序调用了一些不是异步信号安全的函数，导致了这个竞争条件。文章详细描述了漏洞的理论、实践和定时策略，以及针对 amd64 漏洞的潜在利用方法。

最后，提供了关于修补和缓解此漏洞的建议。文章还包括致谢和时间表。

HN 热度 610 points | 评论 233 comments | 作者：robinhoodexe | 13 hours ago #

https://news.ycombinator.com/item?id=40843778

该漏洞需要大约 10,000 次尝试才能成功，平均需要 6-8 小时才能获取远程 root shell，因为只有一半的时间能够猜测 glibc 的地址（由于 ASLR）。
攻击只适用于允许使用密码/密钥登录的 root 用户。
攻击需要知道有效的 ssh 登录名。
攻击尝试中断由于登录宽限时间超时而运行的处理程序。
MaxStartups 默认值为 10。
攻击不受带宽限制，仅受时间限制。
攻击不受路径限制，攻击者可以从任何路径连接。
攻击应该触发 fail2ban，但对于自动化尝试的攻击者来说，警报是无用的。
对于公共面向互联网的服务器，可能已经运行类似 blocklistd 或 fail2ban 的东西，但对于更有资源的攻击者，他们可能会自动化尝试利用庞大的僵尸网络。
安全措施如 fail2ban、portknocking 和防火墙都可以提供一定程度的保护，但需要综合考虑威胁和风险管理。

Writing GUI apps for Windows is painful #

https://tulach.cc/writing-gui-apps-for-windows-is-painful/

这篇文章讨论了在 Windows 上编写 GUI 应用程序时的困难之处。作者试图找到一个允许用 C++ 编写带有 GUI 的程序的库，但面临了一系列挑战。他列出了几种库和工具，包括 WinUI 3、Win32/MFC、Qt、wxWidgets、hikogui、Sciter、WinForms/WPF 等，并分析了它们的优劣势。

作者最终推荐了 Dear ImGui 作为简单应用程序的最佳选择，尽管它也有一些缺点。文章指出了每种库的问题，例如依赖性、体积、样式定制难度等

。最终，作者总结出对于简单应用程序来说，Dear ImGui 是最适合的选择，因为它体积小，无需安装任何东西，甚至可以静态链接 MFC。

HN 热度 437 points | 评论 518 comments | 作者：wild_pointer | 1 day ago #

https://news.ycombinator.com/item?id=40839208

作者对于自定义 GUI 样式的要求导致了对易定制 GUI 库的选择，放宽要求可以选择更多选项；
作者认为自定义 GUI 控件对于 Windows 应用并非必要，与系统主题保持一致即可；
大多数应用只需在不同平台上保持一致性，而非所有平台上的控件完全相同；
对于大型应用，应遵循设备的设计语言，即使需要进行较大的更改；
游戏和高度专业化的业务应用可能需要自定义 UI；
自定义安装程序的需求在数字发行时代已经消失，数字发行已经成为主流；
SwiftUI 的文档质量较差，对于大型应用可能不够理想；
Flutter 看起来是目前最成熟的框架之一，但对于桌面应用可能存在问题；
使用原生工具包是实现本地外观和感觉的最佳选择；
对于独立开发者来说，购买商业许可可能是一项挑战，但对于产品的成功至关重要；
对于 Windows 应用的开发，选择正确的工具和库非常重要。

Pipes: A spiritual successor to Yahoo Pipes #

https://www.pipes.digital/docs

这个网站是关于"Pipes"的文档，Pipes 是一个类似于 Yahoo! Pipes 的工具，专注于处理 feeds 的可视化编程编辑器。它提供各种功能块，可以获取和创建 feeds，并以各种方式对其进行操作，如过滤、提取、合并和排序。用户只需将这些功能块连接在一起，数据就会从一个功能块流向另一个功能块，最终生成一个新的 feed。Pipes 支持的输入格式包括 RSS、Atom 和 JSON feeds，可以抓取 HTML 文档，也可以处理常规文本文件。

用户可以在编辑器的左侧找到功能块列表，将其拖放到右侧的画布中，然后连接这些功能块。用户还需要填写一些功能块中心的表单元素，以控制其行为。最后，用户需要将最后一个功能块连接到管道输出，即最右侧的红色圆圈。

用户可以创建公开可见的管道，描述并设置标签，使其可搜索。管道输出 feeds 是公开可访问的，任何知道其 URL 的人都可以使用。默认输出格式是 RSS，可以在其他程序中使用。用户还可以报告错误和提出功能请求，以及自行托管 Pipes。

Pipes 还提供各种功能块，如 Feed、Filter、Replace、Combine、Duplicate 等，用于执行不同的操作，如下载 feed、过滤关键字、合并 feeds 等。每个功能块都有特定的输入和输出，用户可以根据需要选择合适的功能块来构建自己的管道。

HN 热度 410 points | 评论 118 comments | 作者：sea-gold | 20 hours ago #

https://news.ycombinator.com/item?id=40841980

有用户认为 Yahoo Pipes 是非常先进的，微数据、RSS 和在管道中处理数据的整体概念令人惊叹，遗憾它的消失。
一些人认为公司只是追随潮流，比如 AI，可能是为了吸引投资者和用户，但可能会产生相反的效果。
有人提到 Azure Logic Apps，认为这类框架由非程序员设计、创建和实施，最终导致技术债务。
有人认为 Pipes 不同，可以进行非常通用和有针对性的操作，例如“下载此 URL”和“过滤此 Feed 中的某个词”，使用提取和插入等块可以更自由地操作数据。
有人提到了可视化编程，认为文本和框线都是等效的概念，可以相互转换。
有人讨论了 RSS 的使用，认为仍然有很多系统默认生成 RSS，许多人使用 RSS 阅读器关注博客等内容。
有人提到了 UML 和 ERD 等可视化编程概念，以及不同风格的可视化编程语言，如 Scratch、Snap!等。
有人讨论了自托管项目的稳健性，以及用户对 RSS 输出的需求。
有人对 Yahoo Pipes 的消失表示遗憾，提到了处理成本和缺乏商业模式可能是导致其终结的原因。
有人分享了对自托管项目的兴趣，询问 2024 年是否有类似的稳健项目。
有人提到 Twitter 集成无法适应 API 更改和价格上涨，因此移除了编辑器中的该块。
有人询问是否有类似 YQL 的东西，可以使用相同的语法查询所有内容。
有人认为 Yahoo Pipes 的概念很有价值，但不应再使用“pipes”来描述，因为 Yahoo Pipes 已经消失，没有必要再与该品牌联系在一起。

My finetuned models beat OpenAI’s GPT-4 #

https://mlops.systems/posts/2024-07-01-full-finetuned-model-evaluation.html

这篇文章是关于作者 Alex Strick van Linschoten 对他的 finetuned 模型在结构化数据提取任务中的表现进行评估的。他的 finetuned 模型包括 Mistral、Llama3 和 Solar LLMs，这些模型在测试数据上比 OpenAI 的模型表现更准确。

文章详细介绍了评估过程，包括加载数据集、添加模型预测、JSON 有效性测试以及各种准确性评估指标的结果。作者发现，他的 finetuned 模型在准确性方面表现出色，特别是在开始日期、省份、目标群体等方面。文章还讨论了 finetuning 的优势，但也提到了评估过程中的一些挑战，以及对模型服务和管理的需求。最终，作者总结了各模型的综合得分，发现 finetuned 模型胜过 OpenAI 的 GPT-4 模型。

作者提到了下一步的计划，包括进行非准确性相关测试、深入了解 LLM 模型的服务以及分析模型失败场景以提高准确性。

HN 热度 341 points | 评论 84 comments | 作者：majc2 | 13 hours ago #

https://news.ycombinator.com/item?id=40843848

通过微调较简单的模型，取得超过更先进模型的成果
新的参数增加似乎主要用于改进世界模型和推理能力
在纯文本提取任务中，7B 模型在微调后表现良好，超过其他模型
使用 Llama 3 8B 在四个任务上超越 GPT-4 的研究结果
对数据提取和文本分类来说，专门化的小模型效果更好
通过微调模型，解决了繁琐和重复性工作的自动化问题
需要更多细分的小模型，速度更快，更便宜
使用更小的本地运行、微调模型，能在特定任务中脱颖而出
Data extraction/structuring 是 LLMs 的重要应用之一
小型、本地运行的微调模型在某些任务上表现更好
Finetuning 模型的目的
执行精细微调过程，结合托管和本地选项
Predibase 和 OpenPipe 是微调的好选择
OpenPipe 正在改进评估方法，以符合客户需求
Predibase 是为此设计的平台
Together.AI 提供很好的结果
使用较简单的模型，经过微调，击败更先进模型

Ask HN: Who is hiring? #

https://news.ycombinator.com/item?id=40846428

请说明工作地点，并在欢迎远程工作、实习生或需要签证的候选人时包括"REMOTE"、“INTERNS"和/或"VISA”。如果远程工作不可行，请包括"ONSITE"。

请只有在您本人是招聘公司的一部分时才发布帖子——不要使用招聘公司或职位公告板。每个公司只发一个帖子。如果它不是一个家喻户晓的名字，请解释您的公司是做什么的。

评论者：请不要回复工作帖子来抱怨某些事情。这里的话题不相关。

读者：如果您个人对这份工作感兴趣，请只通过电子邮件联系。

求职者：尝试访问 https://hnresumetojobs.com, https://hnhired.fly.dev, https://kennytilton.github.io/whoishiring/, https://hnjobs.emilburzo.com。

不要错过这些其他优秀的帖子：

谁想要被雇佣？ https://news.ycombinator.com/item?id=40846426

自由职业者？寻找自由职业者？ https://news.ycombinator.com/item?id=40846427

HN 热度 280 points | 评论 249 comments | 作者：whoishiring | 7 hours ago #

https://news.ycombinator.com/item?id=40846428

有关 pickleball 技术的评论观点
建议在“REMOTE”位置中指定具体的远程地点
Cartesian Systems 正在寻找移动工程师
Galvanick 正在招聘高级检测工程师、高级软件工程师和政府参与负责人
Treatment Technologies & Insights 正在寻找前端工程师
Sourcegraph 正在招聘开发人员、设计师、产品经理等
Quadrature 正在寻找有兴趣金融市场的软件开发人员
Autodesk Consulting 正在招聘技术顾问、高级技术顾问、首席解决方案架构师
Aleph 正在寻找软件工程师、工程经理、AE
Hashboard 正在招聘高级全栈工程师、首席前端工程师、产品推广员
Datadog 正在招聘软件工程师
Make Waves 正在寻找首席开发人员和市场经理
Athena Intelligence 正在招聘多个工程师职位
Umbra 正在招聘中级至高级职位，包括航天器运营、任务系统架构、嵌入式软件工程师和公司法律顾问
Rollbar 正在招聘高级软件工程师
Lithos Carbon 正在招聘全栈工程师、数据科学家和应用统计学家
Surge AI 正在招聘软件工程师和战略项目负责人
Rippling 正在招聘高级软件工程师
WunderGraph 正在招聘多个职位
Property Meld 正在招聘高级软件工程师
Apple 正在招聘高级软件工程师
Eigen 正在招聘产品工程师、技术创始人工程师和 AI 工程师
Elicit 正在招聘全栈软件工程师
Neuronostics 正在招聘高级工程师
Canvas 正在招聘全栈 QA 工程师
HockeyStack 正在招聘后端/基础设施工程师
Stealth Mobility Company 正在招聘移动工程师和全栈工程师
Layer 正在招聘创始前端工程师和全栈工程师
Radar Labs 正在招聘软件工程师
Intertie 正在招聘全栈软件工程师
AO Labs 正在招聘软件工程师
Peregrine Technologies 正在招聘全栈工程师
Privy 正在招聘产品/工程师、前端、全栈和后端工程师
Bolna 正在招聘软件工程师
Forklifts and Postgres 正在招聘第二位工程师
Quatt.io 正在招聘多个职位
Seen Finance 正在招聘多个职位

Cities need more trees #

https://herman.bearblog.dev/cities-need-more-trees/

这篇文章讨论了城市需要更多树木的重要性。作者从自己成长的约翰内斯堡开始，描述了这座城市被誉为“世界上最绿色的城市”，夏天时，从空中看，城市被绿树覆盖，建筑物的顶部若隐若现。然而，约翰内斯堡最初并非如此，它是在 1886 年发现金矿后建立的，因金矿矿石中的金矿化程度高，需要大量加工才能提取金。这种提取方式导致数百万吨岩石被粉碎，形成城市周围的大型尘土丘。为了抑制这些尘土，人们提出了在人行道和路边种植树木的方案，到 2024 年已种植了 120 万棵树。然而，由于南非的种族隔离政策，这些种植努力并未得到公平分配，导致富裕社区和贫困社区之间的树木覆盖存在明显差异。

文章指出，种植这么多树木对城市产生了积极影响。这些树木的种植初衷是管理尘土，它们通常叶茂枝繁，为城市带来大量阴凉，减轻了城市中“热岛”效应。树木不仅是吸尘器和隔热屏障，还是很好的隔音屏障。树木簇拥的街道不仅减少了交通噪音，还保护了人行道上的行人和基础设施。此外，树木增加了城市环境中昆虫和其他小动物的生物多样性，为鸟类提供了安全避风之所。

作者强调，种植树木在城市中几乎没有负面影响，只有好处。尽管大多数种植的树木最终不会成熟，但在城市中种植树木几乎只有积极作用。最后，作者鼓励读者在漫步在美丽阴凉的街道时，抬头欣赏树木。

HN 热度 275 points | 评论 140 comments | 作者：HermanMartinus | 14 hours ago #

https://news.ycombinator.com/item?id=40843720

城市需要更多树木，但私人财产上的树木被砍伐建造房屋，导致树木增长呈负增长。
一些城市缺乏树木，导致热岛效应，石板和沥青替代开放表面，增加城市热量。
城市如柏林、汉堡、哥本哈根等城市规划概念需要评估，以应对高降雨频率和夏季温度上升。
一些城市实施绿色屋顶法规和树木更换法律，但面临来自发展商友好的压力。
树木有助于降低热量，预防洪水，提高空气质量，减少热浪对老年人的危害。
某些城市因树木砍伐引发的问题，如奥斯汀冻灾，显示了树木修剪的重要性。
树木管理比预防性砍伐更为重要，一些城市在长期解决缺乏树木问题上努力。
城市中的树木提供阴凉和氧气，但也可能存在风险，需要适当管理。
城市中树木的种植几乎没有负面影响，但可能需要考虑管理和维护成本。
城市中的树木提供美丽环境，降低热量，但也可能对建筑和基础设施造成损坏。
城市中的树木有助于改善气候，提供遮荫，但也可能引发树木管理和城市规划方面的争议。

Welcome to Ladybird #

https://ladybird.org/

网站 https://ladybird.org 是一个正在开发中的全新浏览器项目。Ladybird 是一个全新的浏览器和网页引擎，以 Web 标准为先导，旨在提供良好的性能、稳定性和安全性。Ladybird 最初是作为 SerenityOS 项目的 HTML 查看器而起步，现已发展成为支持 Linux、macOS 和其他类 Unix 系统的跨平台浏览器。Ladybird 目前正在积极开发中，计划于 2026 年初向早期采用者发布首个 Alpha 版本。

Ladybird 的独特之处在于完全独立，没有使用其他浏览器的代码，而是基于 Web 标准构建全新引擎。Ladybird 专注于一个事物：网络浏览器。该项目不涉及任何形式的用户变现，如默认搜索协议、加密代币等。

Ladybird 鼓励新开发者加入项目，所有代码都托管在 GitHub 上，欢迎克隆、构建，并加入 Discord 以进行协作。Ladybird 完全由关心开放网络的个人和公司的赞助和捐赠资助。Ladybird 项目的重点是从头开始构建全新的浏览器引擎，不使用 Blink、WebKit、Gecko 或其他浏览器引擎的代码。

Ladybird 项目计划于 2026 年夏季发布首个 Alpha 版本，目前有 4 名全职工程师和许多志愿者贡献者。Ladybird 项目的语言选择是 C++，但正在评估其他替代语言，并将在不久的将来添加成熟的后继语言。Ladybird 项目的赞助商将在网站上展示其标志，并在更新/社交媒体上受到感谢。

HN 热度 271 points | 评论 69 comments | 作者：skilled | 8 hours ago #

https://news.ycombinator.com/item?id=40845951

最近的事件影响了我对 Ladybird 浏览器的看法，他们正在尝试构建一个处理现代网站和 Web 应用程序的浏览器。
Ladybird 最初只是 SerenityOS 的嵌入式 HTML 渲染器，Ladybird 是嵌入式 LibWeb 的跨平台 UI 皮肤。
希望 Ladybird 能有一种除了依赖赞助商之外的盈利模式，可能可以考虑 FUTO 模式。
与 Frame.work 类似，这种产品可能不会吸引所有人，但选择目标受众，为他们构建他们想要的产品，并向他们收费是可以接受的。
加密货币可能是一个很好的方式来为像 Web 浏览器这样的项目进行货币化，像 Brave 使用的 Basic Attention Token 就是一个不错的例子。
设计一个单文件打包的 Web 浏览器可能是互联网需要的，类似于 QTWeb，这样可以解决许多人关心的问题。
Servo 项目可能不会成熟，而 Ladybird 似乎正在获得动力，因此 Ladybird 可能会比 Servo 更快地可用。
由于缺乏计划支持 Windows 或移动设备，Ladybird 可能会失败，但它有一个资助其开发的资金来源。
20 年来由于内存管理问题导致的浏览器漏洞问题让人感到怀疑，因此停止使用不安全的语言编写浏览器是更好的选择。
Ladybird 正在评估多种替代方案，将在不久的将来向项目中添加一个成熟的继任语言。
Ladybird 现在将与最优秀的第三方库集成，这些库主要是 C/C++ 编写的，所以无论如何都会使用 C/C++。

Postzegelcode #

https://en.wikipedia.org/wiki/Postzegelcode

根据维基百科的内容，Postzegelcode 是荷兰的一种手写邮资方式。这种方式包含一个包含九个数字和字母的代码，顾客可以在 PostNL 网站上购买后直接在信件上书写，作为支付证明，取代邮票。在荷兰境内的邮件中，这九个字母和数字被写在一个三乘三的网格中。

而对于国际邮件，还有一个额外的第四行，包含字母 P、N、L。这个系统始于 2013 年。最初，Postzegelcode 比邮票更昂贵，因为需要额外的处理系统。后来一段时间内，Postzegelcode 价格更便宜。最终，价格被设定为相同。2020 年 12 月，有 59 万人使用了带有 Postzegelcode 的卡片。

这种代码只在五天内有效，因此猜测到最近购买的代码的机会非常低。即使一个 Postzegelcode 用于荷兰所有邮件，任何邮票代码在过去五天内被售出的概率也约为 200 万分之一。