开发者工具箱｜编程·开发工具·资源

用 Gemma 4 离线重构 COBOL 单体

一位开发者尝试用 Gemma 4 和 Unsloth 在单 GPU 本地工作站上离线现代化 40 年历史的 COBOL 代码，将其翻译为无状态 Python 微服务。

要点：
- 通过 Unsloth 的 4-bit QLoRA 量化，在消费级 GPU（如 RTX 3090/4090）上运行 Gemma 4，实现完全离线、安全的代码现代化。
- 结合自定义静态解析器和 Graph-RAG 知识图谱裁剪上下文，解决大规模 COBOL 代码库的语境窗口限制。
- 利用 Gemma 4 的深度推理模式，将全局可变状态和耦合数据库解耦，把循环转换为纯数学公式，避免产生“JOBOL/PyBOL”遗留债务。
- 强制模型输出 XML 推理轨迹，确保企业级可审计性。

原文
代码：GitHub

#开发者 #工具
📢 频道：@DevToolboxHub

AWS 最小可观测性方案：CloudWatch+告警+SNS

针对 EC2 实例构建基础可观测性：集中日志、CPU 告警和邮件通知。该实验室（us-east-1，约 35-55 分钟）演示如何：
- 创建 SNS Topic 并订阅邮箱，接收告警
- 建立 CloudWatch Log Group 并设置 3 天短留存
- 启动 Amazon Linux 2023 EC2 实例（t3.nano/micro），仅允许 SSH 从本机 IP 访问
- 安装 CloudWatch Agent，自动上传系统日志和内存/磁盘指标
- 配置 CPU ≥70% 持续 5 分钟的静态阈值告警，关联 SNS 通知
- 用 stress 工具模拟负载验证告警触发和邮件接收

完整流程包含资源清理建议和 Well-Architected 原则说明。

原文链接

#开发者 #工具

📢 频道：@DevToolboxHub

Shai-Hulud 蠕虫为 npm 供应链安全敲响警钟

2026 年 5 月，蠕虫 Shai-Hulud 利用 GitHub Actions pull_request_target 漏洞攻破 TanStack 的 42 个包（包括 @tanstack/react-router），3 小时内造成约 22.5 万次下载。攻击者通过缓存投毒发布恶意包，并植入死机开关，一旦 Token 被吊销即删除用户主目录。防御措施：

- npm：在 .npmrc 中设置 min-release-age=7 和 ignore-scripts=true（需 npm v11 / Node 24）。
- pnpm：pnpm-workspace.yaml 中配置 minimumReleaseAge: 10080（7 天），v10 起默认关闭 preinstall/postinstall 脚本。
- Yarn Berry：.yarnrc.yml 中配置 npmMinimalAgeGate: 10080 和 enableScripts: false（需 Yarn 4.10+）。

两类核心配置均能有效阻断近期发布的恶意包和自动执行的安装脚本。

链接：
原文链接
相关链接

#开发者 #工具

📢 频道：@DevToolboxHub

10M WebSocket 事件后的架构重构

原文分享了一个实时 AI 多租户 SaaS 在经历 1000 万 WebSocket 事件后遇到的性能崩溃与修复方案。关键问题包括 Redis pub/sub 达到内存限制、WebSocket 网关过载、AI 工作流重试导致重复执行。团队最终重构为事件驱动编排架构。

主要改进点：

- 引入支持可靠 pub/sub 和编排语义的事件代理
- 将 WebSocket 层变为无状态，通过事件总线管理连接状态
- 使用 correlation ID 和状态持久化实现工作流幂等性
- 在代理层实施背压和优先级控制，限制 AI 密集型事件
- 利用 DNotifier 作为实时编排层，处理 topic 分片、消息投递和背压

原文还列出了常见错误，如将 pub/sub 当作临时日志、在消息确认内同步调用 AI 模型、依赖粘性会话等。

🔗 原文
🔗 博客：原文链接

#开发者 #工具
📢 频道：@DevToolboxHub

一名非程序员开发者提出跨模型协作概念

开发者发文抱怨AI工具碎片化：用Claude做规划、DeepSeek写代码、Gemini审查，频繁切换导致效率低下。为此他构思了一个整合30+ AI服务的一体化界面，支持支付、七层记忆、嵌入式IDE（Monica IDE），以及内置高级隐私技术的浏览器。项目尚在概念阶段，作者仅在Linux上工作，缺少跨平台测试与资金支持，希望社区帮助。

GitHub：未提供

#开发者 #工具

📢 频道：@DevToolboxHub

屏幕共享时自动模糊WhatsApp消息

WhatsApp Web Privacy Mode 是一款免费浏览器扩展，支持 Chrome、Firefox 和 Edge。它在屏幕共享期间智能模糊聊天、消息和通知，避免隐私泄露。核心功能包括：

- 智能模糊：独立模糊聊天列表或消息内容，可自定义。
- 自动检测：开始共享屏幕（Meet、Zoom、Teams、Webex）时自动激活，无需点击。
- 悬停窥视：鼠标悬停临时显示消息，离开后重新模糊。
- 紧急覆盖：按 Ctrl+Shift+P 瞬间覆盖整个屏幕。

技术原理：通过注入 CSS 规则应对 React 重渲染，拦截 Notification 构造器，Hook getDisplayMedia 检测共享状态。Manifest V3 合规，零数据收集，无需注册。

Chrome: Chrome Web Store
Firefox: Firefox Add-ons

#开发者 #工具

📢 频道：@DevToolboxHub

ACP 开源：为 Agent 削减 84% Token 消耗

Atomic Content Protocol（ACP） 发布，一个专为 AI 代理优化的结构化内容信封规范，瞄准 HTML 全量解析带来的高 token 浪费问题。

要点：
- ACP 预先生成紧凑摘要、标签、实体等元信息，Agent 请求时优先返回信封而非完整页面，仅在需要时请求正文。
- 实测 Wikipedia 文章：全量读取约 25,000 tokens → ACO 信封仅 350 tokens，节省约 99%；在 13 个文档测试中 token 减少 84–93%。
- 基于 MCP 协议构建，已集成至产品 Stacklist 的 MCP 服务器 Stacky，默认提供 ACO 信封。
- 完全开源，MIT 许可，已发布 npm 包，支持异步管道（脏标记→队列→持久化）。

原文链接

#开发者 #工具

📢 频道：@DevToolboxHub

Docker+K8s 生产部署实战指南

从 Docker 多阶段构建到 Kubernetes 生产级部署，系统梳理容器化与编排工作流。要点包括：

- Docker 镜像优化：多阶段构建、精简基础镜像、合并 RUN 指令
- 本地开发环境：Docker Compose 配置数据库、缓存等完整依赖
- 生产级 K8s 配置：Deployment、Service、ConfigMap、Secret、Ingress
- 健康检查与自动扩缩容：liveness/readiness/startup 探针 + HPA
- 滚动更新与回滚策略：零停机部署与快速回退
- 监控与日志：Prometheus + Grafana 接入、EFK/PLG 日志收集

原文链接

#开发者 #工具

📢 频道：@DevToolboxHub

'O MASTO：AI编码的安全护栏

实验性项目 'O MASTO（编排多智能体安全与测试监督）受 Stripe Minions 启发，旨在为 AI 辅助开发构建信任基础设施。关键设计：

- GitHub 初始只读，任务需通过范围、可测试、清晰度、安全性四道语义门控才能进入规划。
- 工作流：规划 → 架构 → 执行 → PR 创建 → 审查 → 合并验证，每一步由 'O MASTO 层把关。
- 核心理念：不信任智能体，也不盲目信任人类审查，由门控系统（gate）决定“是否够好”。
- 目标：在 AI 生成代码到达主分支前，用传统工程纪律（验证、拒绝、重试、追踪、合并控制）拦截错误。

原文链接

#开发者 #工具

📢 频道：@DevToolboxHub

GitHub Copilot 2026年起按token计费

GitHub 宣布自2026年6月1日起，Copilot 所有计划将转用基于 token 消耗的计费模式（GitHub AI Credits），取代原有的 Premium Request Units。新模式按实际输入、输出和缓存 token 量（以各模型公布的 API 费率）计费。

要点：

- 旧模式下一次对话与一次数小时自治编码会话成本相同；新模式下长 agent 会话将按实际消耗收费。
- 高倍率模型（Claude Opus 4 为 10x，GPT-4.5 为 50x）的高频使用将显著增加成本。
- 可通过确定性钩子、委托子 agent、工具隔离和模型路由等策略控制开支，避免浪费。

原文链接

#开发者 #工具

📢 频道：@DevToolboxHub