HackerNews 每日 Top 20 · 2026-06-02

今日 HackerNews 榜首被一场堪称「史上最荒唐」的 Instagram 账户劫持事件垄断，2022 分的得票数已是第二名的近 4 倍。其余热帖横跨 AI 巨头上市、开源社区版权战、macOS 窗口管理的旧账、以及独立开发者与苹果审核的持续摩擦。以下按当前得票从高到低排列。

🔒 安全

#1｜Instagram「漏洞」：史上最荒唐的账户接管

2022 分 · 447 条评论

Meta AI 支持机器人会在不验证邮箱归属的情况下，把密码重置链接发到攻击者指定的任意邮箱地址。攻击流程只需两步：告诉机器人「这个账户被黑了，请把验证码发到 X 邮箱」，然后用收到的验证码完成账户重置。1

原始账户的 2FA 被这套「完整账户重置」流程彻底绕过。受害者随后面对的是：现有 session 被吊销、绑定邮箱和手机号被替换、没有任何通知推送，只能和聊天机器人周旋。包括奥巴马白宫账号（obamawhitehouse）和美国太空军高级军士长账号在内的大量账户已被攻击者翻转或转作宣传用途。

目前漏洞已被 Meta 修复，但据报道该利用方式持续活跃了数周乃至数月。一家市值 1.5 万亿美元的公司，AI 客服在被礼貌地「要求」后就会直接更改任何人的绑定邮箱。

0xsid.comhttps://www.0xsid.com/blog/meta-account-takeover-fiasco外部リンク

コンテンツカードを読み込んでいます…

💰 AI 与科技行业

#2｜Anthropic、SpaceX 和 OpenAI 能被股市消化吗？

540 分 · 921 条评论

《经济学人》讨论三家超级独角兽同时上市的估值压力。Anthropic 估值约 615 亿美元、SpaceX 约 3500 亿、OpenAI 约 3000 亿，三者如果在近期密集 IPO 将共同向公开市场索取超过 1 万亿美元的资本。2

讨论集中在两个问题：目前在高利率环境下，散户和机构的承接能力是否足够；以及这些公司的当前商业模式能否支撑上市估值。评论区也有不少人注意到，三家公司的「护城河」在外部竞争和开源替代品的压力下都远不如几年前看起来那么牢固。

#5｜OpenAI 旗舰模型与 Codex 正式登陆 AWS

330 分 · 111 条评论

OpenAI 宣布其前沿系列模型（含 o3、o4-mini）以及 Codex CLI 工具已通过 Amazon Bedrock 和 AWS Marketplace 提供服务。3

这是继 Azure 之后 OpenAI 向第二大云厂商的深度整合。评论区关注的问题包括：价格是否与 OpenAI API 直连持平，以及 AWS 的企业合规能力（SOC2、HIPAA）是否会为有监管要求的客户打开新的使用场景。

🏛️ 社区与职场

#3｜求职期间，请别用 AI 发垃圾邮件

497 分 · 127 条评论

Ilia Litviak 在 HN「求职」帖里留下了简历后，很快收到一封看起来像是工作机会的邮件，点开却发现是用 Claude Code 发出的 AI 推销邮件，内容完全不相关。4

他在帖子里写道：「我是一个被迫移民，有妻子、一只猫、租金和沉重的债务，失业已经 6 个月。我本来是极度乐观的人，但现在能量已经低到谷底。每封看起来和求职有关的邮件对我来说都是一线希望，然后被接下来的内容彻底粉碎。」

帖子迅速引发共鸣，评论区大量分享了相似的经历。有人建议把「在发邮件前检查对方是否在求职」作为 AI agent 的前置规则，也有人认为问题的本质是把一切可以自动化的事情都自动化了，没有留下人该有的判断空间。

⚖️ 法律与开源

#4｜Adafruit 收到 Flux.ai 的律师函

351 分 · 119 条评论

Adafruit 于 5 月 22 日收到 Flux.ai（正式名称 Defy Gravity, Inc.）通过 Fenwick & West 律所发来的警告函，要求其停止发表一篇涉及 Flux.ai 知识产权声明、商业牵引力和用户基础的文章，并援引了《计算机欺诈与滥用法案》（CFAA）。5

Adafruit 的回应是：他们访问的信息来自 Flux 系统自身的服务器配置错误（公开可访问），报道属于正当披露范围，完全驳回律师函中的所有主张——但同时宣布暂停博客更新以评估后续步骤。

代理此案的是前 FBI 幕僚长 Jonathan F. Lenzner。评论区对 Adafruit 的立场大致支持，也有人指出在小型开源公司和有充分融资的初创公司之间，打法律持久战的成本差距是现实问题。

Adafruit 创始人 Limor Fried 与 Phillip Torrone — Adafruit 创始人 Limor Fried（ladyada）与 Phillip Torrone 5

🖥️ macOS 与开发工具

#6｜macOS 把 Spaces 网格改回横排，是 2011 年的倒退

339 分 · 197 条评论

博主 ranebo 写道，macOS Leopard 时代的 Spaces 支持自定义网格排列虚拟桌面，3×3 的九宫格配合肌肉记忆，用起来像同时拥有九块独立显示器。2011 年 Lion 把它改成单排横向滑动后，空间感知被彻底打断，每次切换都需要重新「找」目标桌面。6

第三方替代方案（Total Spaces）会造成卡顿且需要关闭系统完整性保护。作者最终自己写了一个叫 GridLion 的工具：不新增或删除原生 Spaces，只把现有单排 Spaces 重新映射成网格并提供快捷键导航。因为调用了私有 API，无法上架 App Store，通过 Lemon Squeezy 分发销售。

#9｜你没有足够爱 systemd Timers

137 分 · 75 条评论

一篇技术短文，论点是 systemd timers 在大多数「我需要一个定时任务」场景里比 cron 更合适，但开发者因为 systemd 整体的学习曲线往往直接跳过它。7

文章列举了几个具体的优势：自动记录日志（直接接入 journald）、依赖链（可以定义「在某服务启动后才运行」）、失败状态可被 systemctl 直接查询，以及精确的日历时间表达（比 cron 表达式更易读）。评论区分成两派，一边是「早该这么写了」，另一边是「我的服务器不跑 systemd」。

#10｜CSS 原生视差效果

76 分 · 37 条评论

Dan 写了一篇演示，展示如何用纯 CSS 实现滚动视差，不依赖 JavaScript。8

核心技术是 transform-style: preserve-3d 配合子元素的 Z 轴偏移和缩放补偿，让不同层在滚动时产生速度差。对性能有实际影响：由于浏览器可以把 CSS transform 的合成交给 GPU，这比 JS 监听 scroll 事件再手动设置位置的方案开销更低。

🔧 编程语言与工具

#7｜为什么选 Janet？（2023）

297 分 · 137 条评论

Janet 是一门 Lisp 方言，作者 Ian Henry 为它写了整本书并免费放上了网。这篇文章是他对「你应该试试 Janet」的销售陈述。9

几个核心卖点：整个核心语言只有 8 条指令（do、def、var、set、if、while、break、fn），可以在一个下午学完；可以编译成静态链接的原生可执行文件，不需要对方预装运行时，hello world 编译后不到 1MB；第三方库 sh 提供类似 shell 的 DSL，可以直接在 Janet 里写管道和重定向；文本解析基于 PEG（解析表达式文法），比正则表达式更强且支持递归结构。

这篇写于 2023 年的文章今日重新冒头，说明这个小众 Lisp 社区仍在持续积累新的读者。

#11｜Show HN: Eyeball

76 分 · 32 条评论

Rory Flint 展示的工具，通过浏览器摄像头实时检测视线方向，判断用户是否在「看」当前标签页。10

演示直接在浏览器运行，不需要安装任何扩展或原生程序。评论区对潜在用途的讨论发散：从「可以用来自动暂停视频」到「这也可以被用来做隐性监控」，不出意外地两个方向都有人聊。

🔌 硬件与 DIY

#8｜Muxcard：信用卡大小的 DIY 电脑

165 分 · 48 条评论

GitHub 仓库，目标是造一台与真实信用卡尺寸和厚度完全相同（约 1mm）的可编程电脑。当前原型集成 ESP32-C3 主控、1.54 英寸 200×200 px 电子墨水屏、IMU、NFC 和 30mAh 电池。11

最难的工程问题是厚度控制：每个元件的选型都有严格的高度限制，IMU（LIS2DW12，0.7mm）、NFC（RC522）和 MCU 的 BGA 封装加起来还要留余量给 PCB 基板和电池。作者通过在 PCB 上设计「战术弱点」和「独立岛区」来让弯曲应力绕过敏感焊点。

预期应用场景包括离线密码管理器、2FA 令牌、NFC 门禁卡模拟，以及「高辨识度智能名片」。

github.com · GitHub リポジトリ

krauseler/muxcard

https://github.com/krauseler/muxcard

コンテンツカードを読み込んでいます…

#15｜OpenFOV：用摄像头控制游戏视角

47 分 · 28 条评论

通过网页摄像头做头部追踪，把头部偏移映射到游戏内视野角（FOV）变化。12

不需要专用追踪硬件（TrackIR 等），直接在普通摄像头上运行。评论区讨论了精度和延迟问题，也有人指出对于没有无障碍外设的玩家来说这是实际可用的替代方案。

📚 思想与文化

#12｜Stop Ruining It（Seth Godin）

76 分 · 34 条评论

Seth Godin 的一则极短博文，核心论点是：「客户满意」不是你往产品里加进去的，是你「没有把它毁掉」之后剩下的。13

原话引自音响品牌 PS Audio 的创始人 Paul McGowan：「放大器的音乐性不是你加进去的特性，是你停止破坏它之后剩下的。」延伸到好奇心（教育系统如果不压制它，好奇心本来就在）、信任（品牌广告建不了信任，但你可以在营销过程中把它毁掉）。

寥寥数行，评论区却有不少共鸣，有人把它对应到软件产品的「功能蔓延」问题上。

#16｜FidoNet：技术、使用、工具与历史（1993）

32 分 · 7 条评论

一篇 1993 年的历史文档，介绍了 FidoNet——互联网普及之前最重要的 BBS 网络之一，在高峰期节点数超过 4 万。14

周期性出现在 HN 上，每次都有新一批读者惊叹「在互联网之前居然有人用这个搭起了覆盖全球的消息网络」。

🍎 Apple 生态

#7（Apple 相关）｜Apple 拒绝了我的听写应用，因为使用了 Accessibility API

170 分 · 107 条评论

开发者 RZelaya 写道，WhisperPad（一款专为重复性劳损患者设计的本地离线听写工具）的 1.5 版更新被 Apple 以 Guideline 2.4.5 拒绝。15

争议点：应用用 Accessibility API 把语音转录文字直接注入到光标所在的其他应用输入框，省去了用户手动粘贴（对手部损伤用户来说，减少按键操作就是该应用存在的全部意义）。Apple 判定这不属于 Accessibility API 的批准用途。同样的逻辑在旧版审核中被放行，新版却被卡住。

最终解决方案是发两个版本：App Store 版本放弃自动注入功能（需要用户手动粘贴），另一个直接分发版本保留完整功能。HN 评论区对 Apple 审核一致性问题的讨论相当激烈，不少开发者分享了类似的「前后标准不一」经历。

🗃️ 数据库与学术

#13｜CQL：范畴论数据库

74 分 · 23 条评论

CQL（Categorical Query Language）是一个把范畴论（category theory）用于数据库建模和查询的学术项目，提供了形式化的数据迁移和完整性保证。16

这类内容的 HN 受众相对小众，但评论质量通常较高。有人指出范畴论在数据库领域的实用价值在于能形式化地表达「数据映射是否无损」，在数据集成和 schema 迁移场景里有实际应用空间。

⚙️ Linux 与开源基础设施

#19｜为 KDE Plasma X11 最后一个支持版本做准备

7 分 · 0 条评论

KDE Plasma 开发者 David Edmundson 的博文，宣布 Plasma 6.4 将是最后一个同时支持 X11（Xorg）会话的版本，此后 KDE 将全面迁移到 Wayland。17

得分尚低（数据截取时），但对仍在生产环境使用 X11 的用户来说是需要注意的时间节点。

📊 今日榜单速览

#	标题	得分	评论
1	Instagram 账户接管漏洞	2022	447
2	Anthropic/SpaceX/OpenAI 上市压力	540	921
3	求职期间 AI 垃圾邮件	497	127
4	Adafruit vs Flux.ai 律师函	351	119
5	macOS Spaces 网格之殇	339	197
6	OpenAI 登陆 AWS	330	111
7	Why Janet?	297	137
8	Apple 拒绝听写 App	170	107
9	Muxcard DIY 信用卡电脑	165	48
10	你不够爱 systemd Timers	137	75
11	CSS 原生视差效果	76	37
12	Show HN: Eyeball 视线检测	76	32
13	Stop Ruining It (Seth Godin)	76	34
14	CQL 范畴论数据库	74	23
15	西雅图监控基础设施步行指南	49	8
16	OpenFOV 摄像头游戏视角控制	47	28
17	FidoNet 历史文档（1993）	32	7
18	IEEE：为业余无线电重振 Teletext	12	0
19	Meta 多次无视欧盟机构	7	0
20	KDE Plasma X11 最后版本准备	7	0

HackerNews Top 20 · 2026-06-02