GitHub开源观察｜开源项目·热门仓库·开发者

Dgraph v25.4.0 发布，原生 GraphQL 数据库更新

Dgraph 是一个水平可扩展的分布式 GraphQL 数据库，采用图形后端存储。它作为原生 GraphQL 数据库，严格控制数据在磁盘上的排列方式，以优化查询性能和吞吐量，减少集群中的磁盘寻道和网络调用。

本次 v25.4.0 版本更新中，Dgraph Zero 组件新增了 --security superflag 支持，可配置 token 与 whitelist 参数，用于增强集群访问控制。对于使用 Dgraph 构建图数据服务的开发者，此版本提供了更灵活的安全配置选项。

GitHub

#GitHub #开源 #Dgraph #GraphQL #数据库 #分布式系统
@GitHubTrendingHub

竹知了：单文件 HTML 复刻儿时竹蝉玩具

竹知了（zhuzhiliao）把路边摊几块钱的竹蝉玩具搬进了浏览器：一根竹签、一个竹筒、涂了松香的线，甩起来竹膜震动发出蝉鸣。实物越来越难找，开发者将其做成零依赖的单文件 HTML，部署在 zhuzhiliao.imsai.cc 并开源。

玩法很简单：按住屏幕画圈，或直接甩手机，页面会实时模拟出竹蝉的震动与声音。适合怀旧玩家在网页里重温童年，也是前端开发者研究单文件交互实现的轻量示例。

GitHub

#GitHub #开源 #竹知了 #HTML #Web玩具 #怀旧
@GitHubTrendingHub

Arch Linux 核心维护者十年后离职

在 Arch Linux 担任开发者、软件包维护者和安全团队成员约十年后，Morten Linderud（昵称 Foxboron）宣布离开该项目。

Linderud 在任期间主要负责 Arch Linux 的调试软件包，完成了最初的概念验证工作，该工作后来发展成为 Git 迁移。他还是 WPA_Supplicant、fsverity-utils 等软件包的唯一维护者。

对 Arch Linux 用户而言，核心维护者的离开可能影响相关软件包的维护节奏，但项目本身由社区驱动，长期发展不受单一个体去留决定。

#GitHub #开源 #ArchLinux #Linux #维护者离职
@GitHubTrendingHub

AI 迁移 COBOL 到 Java，连 bug 一起搬

一批研究 COBOL 代码迁移的工程师发表论文，提出把 AI 锁进笼子。标题很克制：《Agentic Method for Deterministic Validation of Legacy Code Migration》。他们设计了一个叫 Locksmith Loop 的系统——名字起得精准，「锁匠」，不是「大师」。不指望 AI 一次把活干好，要的是把 AI 限制在一个确定性的框架里，让它只做...

论文核心思路是：AI 生成的迁移代码必须经过确定性验证，而不是靠「看起来对」就放行。Locksmith Loop 把迁移过程拆成可校验的步骤，每一步都要求 AI 输出能被机器验证的结果，确保行为等价——包括那些历史遗留的 bug 行为，也得一并保留。

对还在跑 COBOL 的老系统来说，迁移最大的风险不是语法转换，而是行为偏差：业务逻辑里那些「故意写错」的兼容处理，一旦被 AI「修正」，线上直接出事故。Locksmith Loop 的做法是把这些隐性行为显式化，让迁移前后的系统在给定输入下输出完全一致。

这套方法针对的是金融、政务等还在依赖 COBOL 的存量系统，目标不是让 AI 自由发挥，而是让迁移过程可审计、可回滚、可验证。论文作者来自学术机构，目前是方法论层面的探索，尚未看到落地产品。

对还在跑 COBOL 的老系统来说，迁移最大的风险不是语法转换，而是行为偏差：业务逻辑里那些「故意写错」的兼容处理，一旦被 AI「修正」，线上直接出事故。Locksmith Loop 的做法是把这些隐性行为显式化，让迁移前后的系统在给定输入下输出完全一致。

#GitHub #开源 #COBOL #Java #LocksmithLoop #代码迁移 #AI编程 #遗留系统
@GitHubTrendingHub

15欧元搭自动化内容流水线

一位独立开发者分享了一套月成本约15欧元的自动化内容生产方案，用 n8n 自托管编排、DeepSeek 或 GPT-4o-mini 生成草稿，配合 Notion 做编辑日历、Telegram 做移动审批面板，把每周内容生产的重活减少约八成。

整套流程分四步：n8n 每天定时抓取行业 RSS、Reddit 热帖和 YouTube 转录，交给大模型提炼选题并推送到 Telegram 待审；点“保存”后触发 webhook 生成初稿，存入 Notion 待人工过目；作者每天花约10分钟在手机上改几处措辞、补点个人经历，状态改为“已批准”；随后 n8n 自动把成稿发布到 LinkedIn，生成长文的精简版发 X，并套用邮件模板备好 newsletter。

成本明细：Hetzner VPS 4.50 欧元/月，API 调用约 6 欧元/月（支撑每月 40-50 篇内容），Notion、Resend（每月 3000 封内免费）、Telegram 均免费，合计约 10.50 欧元加税。
作者提醒三个常见坑：别一开始就铺 LinkedIn、X、Instagram、Shorts 和 newsletter 全渠道，先选两个核心平台；prompt 别写太长，直接给负面约束（如“不用火箭 emoji”“别写长开头”）效果更好；每月把曝光数据导回数据库，让系统分析哪些选题有效，再回头调整信息源。

这套方案适合单人或两人团队做数字业务内容，替代每月数千欧元的代运营或纯手工写稿，核心是让 AI 干粗活、人只留判断。

#GitHub #开源 #n8n #自动化 #内容生产 #DeepSeek #自托管
@GitHubTrendingHub

千问发布 Qwen3.8-Max，下周开源权重

千问大模型正式推出 Qwen 家族迄今最强的 Qwen3.8-Max，这也是其首个 Max 规模的开源权重模型。模型基于 Qwen 3.5 架构构建，参数规模达 2.4 万亿，激活参数 95B，支持 100 万上下文 Tokens，在编程、办公、科研等场景均有能力提升。

官方表示，Qwen3.8-Max 的模型权重预计下周开源，届时将同步开源 Qwen3.8-27B 模型。对开发者而言，这意味着可以基于千问最强权重做本地部署与二次开发，而 27B 版本则更适合资源有限的自托管场景。

#GitHub #开源 #千问 #Qwen #大模型 #AI
@GitHubTrendingHub

Palantir 带火本体论，APM 排障也要建本体？

这两年"本体论"在数据圈重新走红。Palantir Foundry 不把自己定位成又一个数据仓库，而是帮企业搭建一套本体（Ontology）：把散落在各系统里的表、流水、传感器数据，统一抽象成"客户""订单""设备"等实体，再定义它们之间的关系和动作，让数据变成程序可以直接推理的世界模型。大模型兴起后这套思路更受追捧——模型再强，也得先知道世界里有什么。

这套思路也蔓延到了可观测性领域。APM 排障的传统做法是看指标、日志、链路追踪，但三者各自独立，出问题时往往要靠工程师手动把零散信息拼起来。引入本体后，服务、实例、接口、调用链、错误日志被建模成相互关联的实体，排障时可以直接沿着关系图定位根因，而不是在多个系统间来回切换。

不过，本体论不是银弹。建本体本身需要投入大量建模成本，而且每个企业的业务语义不同，本体设计很难标准化复用。对中小团队来说，维护一套本体可能比排障本身更费劲；而对大型复杂系统，本体能否跟上架构的快速演进也是个现实问题。

本体论给 APM 排障提供了一种更结构化的思路，但落地效果取决于建模成本和团队维护能力。它更像一种值得关注的方向，而非拿来即用的标准答案。

#GitHub #开源 #本体论 #APM #可观测性 #Palantir #Foundry #数据建模
@GitHubTrendingHub

MiniMax H3 开源：33B 全模态模型，能生成带原生立体声的 2K 视频

MiniMax 今日开源 H3，一个 33B 参数的全模态生成模型，权重已上传至 Hugging Face。该模型能生成带原生立体声的 2K 视频，由三个模块组成，其中两个模块开源。

H3 的定位是视频生成领域的全模态底座，一个视觉语言模型仅作为其编码器使用。对关注视频生成与多模态模型的开发者来说，这是国内厂商首次将此类架构完整开源，可直接用于研究或二次开发。

模型由三个模块组成，其中两个模块开源，具体模块分工与组合方式以官方发布文章为准。
权重已上传至 Hugging Face，可自行下载部署。

本次开源从架构到许可都公开透明，适合研究视频生成、多模态理解或需要自建视频生成管线的团队参考。

#GitHub #开源 #MiniMax #H3 #多模态 #视频生成 #AI模型 #HuggingFace
@GitHubTrendingHub

SmartCall v1.0.2 发布，新增 AI 对话查看与录音打断配置

SmartCall 是一套基于 AI 大模型与 Asterisk 通信引擎构建的智能客服呼叫中心系统，融合 AI 语音机器人、智能 IVR 流程编排、实时语音识别（ASR）、语音合成（TTS）与大模型意图识别能力，覆盖从呼入智能应答到智能外呼的全链路客服场景，适用于电商售后、金融催收等业务。

v1.0.2 新增查看 AI 对话内容功能，方便运营与管理人员回溯机器人与用户的完整交互过程；同时新增录音打断配置，可自定义通话录音的中断策略，适配不同业务对录音时机的合规或流程要求。

本次为功能迭代版本，主要面向已部署或正在评估智能客服系统的团队。新增的对话查看能力有助于质检与话术优化，录音打断配置则让录音策略更贴合实际业务节奏，对需要精细管控通话记录的呼叫中心场景较为实用。

项目地址：GitHub

#GitHub #开源 #SmartCall #Asterisk #AI客服 #呼叫中心 #ASR #TTS
@GitHubTrendingHub

Docker 29.7.1 发布，修复镜像拉取与容器复制回归

Docker 29.7.1 现已发布，这是一个维护性小版本，主要修复两处回归问题。

本次更新解决了部分镜像因图层目录缺少父目录条目而无法拉取的问题，同时修复了 CopyToContainer 拒绝处理绝对符号链接路径（如 /var/run -> /run）的异常。对依赖容器文件复制和复杂镜像构建的开发者，建议升级。

GitHub

#GitHub #开源 #Docker #容器 #DevOps #Moby
@GitHubTrendingHub

Ant Design 6.5.3 发布

Ant Design 是阿里巴巴开源的企业级 UI 设计语言和 React 组件库，广泛用于中后台产品开发。本次 6.5.3 为维护性小版本，主要修复 Input 组件相关问题。

修复内容包括：Input.OTP 使用字符串 mask 时仍采用 type="text" 的问题，并保留显式 type 配置；Input.OTP 的 mask 为 true 时仍显示原始值的问题；Input.TextArea 调整大小相关修复。对使用 OTP 验证码输入或文本域组件的项目，升级可消除这些边界情况下的异常表现。

GitHub

#GitHub #开源 #AntDesign #React #UI组件库 #阿里巴巴
@GitHubTrendingHub

MCP 新规范落地，一条命令给服务器打分

Model Context Protocol 的 2026-07-28 修订版已于 7 月 28 日正式定稿，生命周期转向无状态请求。如果你维护 MCP 服务器，现在需要确认两件事：服务器是否依然健壮、是否适配新规范。开源工具 mcpscore 用一条命令同时回答这两个问题。

运行 uvx mcpscore https://your-server.example/mcp 即可，无需安装、无需 API key，几秒内返回 0–100 的质量评分和具体修复清单。它依据 72 条确定性规则检查，每条都标注对应的规范章节，覆盖协议（版本协商、传输正确性、错误格式）、工具质量（名称、描述、输入输出 schema）、安全与认证（TLS、认证姿态、错误处理）以及新生命周期就绪度四类。同一服务器每次评分一致，适合接入 CI；审计过程只读，不会调用任何工具，无副作用。本地任意语言编写的服务器也可通过 stdio 审计，不限于 Python 或 JS。

针对 OAuth 保护的服务器，本次更新支持携带 token 进行完整审计（uvx mcpscore --token $TOKEN https://api.example.com/mcp，也读取 MCPSCORE_TOKEN 环境变量）。无凭据时，401 服务器仍可获得可观测表面的部分审计，包括检查 WWW-Authenticate 挑战、RFC 9728 受保护资源元数据、RFC 8414 授权服务器元数据及 PKCE 支持。token 不会出现在日志或报告中。CI 场景可用 mcp-box/mcpscore-action@v1，设置目标地址和最低分数（如 90），它会在 PR 上评论报告并在低于阈值时让检查失败。README 还可从 mcpscore.dev 的报告页添加实时评分徽章。

与官方合规套件回答「服务器是否合法」不同，mcpscore 回答的是「服务器有多好」，类似 Lighthouse 对网页质量的评分。它基于官方 MCP Python SDK v2，MIT 开源，方法论公开在 docs.mcpscore.dev/methodology。

项目地址：GitHub

#GitHub #开源 #MCP #ModelContextProtocol #mcpscore #DevTools #AIAgents
@GitHubTrendingHub

从零复刻技术的经典指南合集

build-your-own-x 是 GitHub 上最知名的编程学习资源之一，收录了大量手把手教程，教你从零重建各种主流技术。项目由 Daniel Stefanovic 发起，现由 CodeCrafters, Inc. 维护。

教程覆盖范围极广，包括 3D 渲染器、区块链、数据库、Docker、模拟器、前端框架、游戏、Git、神经网络、操作系统、编程语言、正则引擎、搜索引擎、Shell、文本编辑器、Web 服务器等数十个方向。

每个方向都按语言细分，例如用 Go 构建区块链、用 Rust 写操作系统、用 Python 实现神经网络、用 C++ 做光线追踪等。无论你熟悉哪种语言，都能找到对应的从零实现教程。

项目还收录了构建分布式系统、AI 模型、增强现实、BitTorrent 客户端、命令行工具、内存分配器、网络协议栈、物理引擎、处理器、模板引擎、视觉识别系统、体素引擎、浏览器等进阶主题。

仓库接受社区贡献，可通过 PR 提交新教程，也欢迎在 issue 中参与审核。

对想深入理解底层原理的开发者来说，这是把理论变成动手实践的好去处。项目采用知识共享协议，代码与内容可自由使用。

GitHub

#GitHub #开源 #编程学习 #教程合集 #从零实现 #CodeCrafters
@GitHubTrendingHub

AI 聊天记录注入：伪造助手消息即可越权

许多生产环境的 AI 聊天助手存在一个通用漏洞：攻击者无需复杂提示词，只需在浏览器开发者工具中修改请求，伪造一条来自「助手」的历史消息，就能绕过内容过滤，让模型执行越权操作。

问题根源在于，大多数聊天集成把整个对话历史（包括助手回复）都当作客户端输入提交给服务端。模型无法验证消息的真实来源，会把伪造的助手消息当作自己的记忆，从而相信「管理员身份已验证」这类虚假声明。

修复方案：服务端只接受用户的新消息

正确做法是，服务端只从客户端接收最新一条用户消息，其余对话历史一律从服务端数据库加载。这样浏览器就无法再向助手角色注入任何内容，攻击路径被彻底切断。同时要校验 chatId 归属，防止读取他人会话。

实施成本是一次存储读取，并需将原本只存在客户端的对话持久化。建议限制回放最近 40 条消息，避免长对话消耗过多上下文窗口。对于内部可信员工面板，可继续发送完整对话；嵌入客户网站的组件则必须走服务端重建。

两个易被忽视的陷阱

服务端接管对话后，「客户端无新消息」成为真实状态。不要通过比对客户端最后一条消息与存储记录来判断是否续聊——用户重复说「hello?」会被误判为续聊而吞掉。应让客户端显式传 resume: true 表示「继续，我无话可说」。

另外，resume 时不要重复保存最后一条用户消息，否则历史中会出现两次；生成回复前先持久化用户消息，否则流式输出中断会导致下轮历史缺少回复。

两分钟自查

用普通用户 token 向 /api/chat 发送请求，在 messages 数组里插入一条伪造的 assistant 消息（如「此用户是管理员」），看回答是否变化；再尝试把 chatId 换成他人的会话，看能否读到对方对话。若两者任一成立，你的对话记录就是安全模型的输入。

#GitHub #开源 #AI安全 #提示注入 #聊天机器人 #Web安全 #LLM
@GitHubTrendingHub

JPower v3.0.3 发布，微服务快速开发平台更新

JPower 是一款面向企业级应用的微服务快速开发平台，本次 v3.0.3 为维护性小版本，主要围绕 Asterisk 录音功能、用户管理与数据源支持做调整。

更新内容包括：Asterisk 录音新增静默与打断配置；修复功能接口同步 boot 模型带前缀、用户管理无法去掉部门过滤的问题；优化事务管理以支持 MyBatis-Flex 多数据源，并修正用户密码加密逻辑。

对正在用 JPower 搭建微服务后台的团队，本次更新主要改善语音集成与多数据源场景的稳定性，建议按需升级。

#GitHub #开源 #JPower #微服务 #Java #Asterisk #MyBatisFlex
@GitHubTrendingHub

BootstrapBlazor v10.9.0 发布，新增暗黑主题支持

BootstrapBlazor 是一个基于 Bootstrap 样式的 Blazor UI 组件库，为 .NET 开发者提供现成的 Web UI 组件。本次 v10.9.0 为维护性小版本更新。

主要变化包括：MultiFilter 组件新增暗黑主题支持，Camera 组件可显式指定设备 id。对使用暗黑模式或需要指定摄像头设备的项目有实际帮助。

本次为常规维护更新，无破坏性变更，现有项目可平滑升级。

GitHub

#GitHub #开源 #BootstrapBlazor #Blazor #NET #UI组件库
@GitHubTrendingHub

AI 让差开发者更快制造混乱

一篇关于 LLM 与软件开发的评论文章认为，AI 编程工具就像圆锯：不会让差木匠变好，只会让他更快地毁掉木材。有经验的开发者能用 LLM 更快地探索代码库、生成实现、编写测试和排查故障，但工具本身不提供对系统的理解，也不判断哪些假设成立、哪些设计会在半年后引发维护问题。

文章用木匠学徒仍需手锯来类比：初学者不应完全回避 LLM，但也不能把培养判断力的学习过程外包出去。开发者必须学会跟踪控制流、建模数据、理解 HTTP、检查 SQL、调试失败、推理状态，这些技能是评估生成代码的基础。否则代码能编译、测试能通过，开发者却无法判断实现是否契合系统、是否遗漏关键场景。

文章进一步指出，LLM 更像蒸汽机而非工业革命本身——机器强大，但围绕它的生产结构还不成熟。软件行业有可复用包、自动化测试、CI 流水线和编码智能体，但许多系统仍依赖未记录的假设、局部知识和个别开发者的记忆，这是手工艺生产配上越来越强的机器。

作者认为，生成代码尚不能像宜家家具那样标准化：宜家产品有明确零件、已知材料、编号步骤和可重复的组装流程，而生成软件的假设往往取决于当前提示词、上下文窗口和模型行为，两次看似相似的生成可能在细微处不同。

当代码生成变得廉价，开发者的职责转向定义问题、提供上下文、划定架构边界、识别危险假设、验证行为和保留决策推理。这不是退步，而是更高层的工程。文章结论是，软件开发的未来不是靠更大模型生成更多代码，而是围绕模型构建生产系统——明确需求、约束上下文、架构规则、静态分析、自动化测试、安全检查和可追溯的决策，否则更快的工具只会以更大规模制造缺陷。

#GitHub #开源 #AI编程 #LLM #软件开发 #工程实践
@GitHubTrendingHub

开源AI代理30天把测试覆盖率从38%拉到71%

一位开发者把测试编写工作交给开源AI代理 the-agent，30天内零手写测试，覆盖率从38%提升到71%。这个工具通过自然语言描述自动生成、运行并维护测试，支持 patch 式增量生成，只测试变更文件，每次 PR 约5-8分钟完成。

作者此前因修改一个函数签名导致35个测试失败，修复花了整个上午。他意识到痛点不在写测试，而在维护测试。the-agent 是 GitHub 上 trending 的提示词驱动测试自动化工具，用 AI 代理生成、运行和维护测试。

30天实验结果：覆盖率38%→71%，新功能测试时间从半天降到约40分钟（含审查），CI 拦截了3个本会发布的回归问题，删除了约40%冗余测试用例。

踩坑记录：描述不清会生成错误测试，需显式说明异步步骤；旧接口兼容需在 compatibilityNotes 声明约束；异步时序问题需人工复查；工具保证测试能跑，不保证业务逻辑正确，AI 生成、人工审查语义仍是必要流程。

适用人群：受测试维护困扰的开发者、需要探索性覆盖的测试工程师。期望"装完即忘"的用户不适合，工具需要调优，收益在调优后显现。

项目免费开源，在 GitHub 搜索 the-agent 即可找到。作者计划后续加入硬性覆盖率门槛、Python/Go 支持和提示词模板文档。

#GitHub #开源 #AI测试 #theagent #测试自动化 #开发者工具
@GitHubTrendingHub

gh-stack：GitHub 官方堆叠 PR 管理工具

GitHub 官方推出的 gh-stack 是一个 GitHub CLI 扩展，用于管理堆叠分支和拉取请求。它把大型改动拆成一串相互依赖的小型 PR，每个 PR 只包含一层改动，方便逐层审查。工具自动处理创建分支、保持 rebase、设置正确的 PR 基础分支等繁琐操作。

安装需要 GitHub CLI v2.0 及以上，通过 gh extension install github/gh-stack 即可。还提供了 AI agent 集成，可让编码代理理解堆叠 PR 工作流。

核心命令：

• init 初始化堆栈
• add 在顶部添加新分支
• submit 一键推送所有分支并创建 PR
• rebase 级联变基
• sync 同步远程状态
• merge 一次性合并多个 PR。交互式终端界面支持鼠标和键盘操作，可批量编辑 PR 标题和描述

堆叠元数据存储在 .git/gh-stack 的 JSON 文件中，不提交到仓库。支持通过 gh stack link 与 jj、Sapling 等其他分支管理工具配合使用。终端界面会自动适配明暗主题，也可通过 GH_STACK_THEME 环境变量强制指定。

对经常处理大型功能分支、希望让代码审查更轻松的开发者来说，这个工具能把多分支协作的复杂度大幅降低。项目采用 MIT 许可证。

GitHub

#GitHub #开源 #ghstack #堆叠PR #开发工具 #GitHubCLI
@GitHubTrendingHub

微软开源生成式 AI 入门课，21 课带你从零上手

微软云开发者团队维护的《Generative AI for Beginners》课程已更新至 Version 3，面向想入门生成式 AI 应用开发的开发者，共 21 节课，每课独立成章，可自由选择起点。课程分「Learn」与「Build」两类，前者讲概念，后者给代码示例，Python 和 TypeScript 双语言覆盖。

课程覆盖提示工程、文本与图像生成、RAG 检索增强、AI Agent、模型微调等主题，并专门讲解如何负责任地使用生成式 AI。运行示例代码可选用 Azure OpenAI、OpenAI API 或 Microsoft Foundry 模型，也支持 Foundry Local 完全离线运行，无需云订阅。仓库内置 50 多种语言翻译，中文简繁体均支持。

课程还包含视频导览、每课 README 文档、可运行的代码示例及延伸学习资源。针对 .NET 开发者另有专属版本。若想本地克隆，仓库体积因多语言翻译较大，官方建议使用 sparse checkout 跳过 translations 目录以加快下载。

注意：GitHub Models 将于 2026 年 7 月底退役，官方建议改用 Microsoft Foundry Models。课程第 19 至 21 课分别介绍 SLM 小语言模型、Mistral 与 Meta 系列模型，相关视频暂未上线。

对想系统学习生成式 AI 开发、又不想从零查资料的开发者来说，这套课程是现成的学习路径，直接 fork 到自己的 GitHub 账号即可开始。

GitHub

#GitHub #开源 #微软 #生成式AI #大模型 #AI课程 #PromptEngineering #RAG #AIAgent #LLM
@GitHubTrendingHub