今日三荐：扩散模型 C/C++ 推理、可嵌入 Office SDK 与手机取证工具

1. stable-diffusion.cpp：一份推理实现，六种计算后端

为什么今天看

最值得拆的机制

• 一个模型一个文件，共用同一套图运行时。 src/model/diffusion/ 下面是 unet.hpp、mmdit.hpp、dit.hpp、flux.hpp、qwen_image.hpp、wan.hpp 这样按模型家族拆开的文件，张量、图构建和执行器放在 src/core/。新增一个模型，基本等于新增一份图描述，再挂到同一套运行时上。想看清楚「框架怎么同时容纳差异很大的模型」，把两个模型文件并排读最快。
• 后端是运行期选项。 CPU、CUDA、Vulkan、Metal、OpenCL、SYCL 六种后端在编译时打开，docs/backend.md 讲的是运行期怎么把不同部分放到不同设备上。src/core/backend_fit.cpp 和 src/device_residency_manager.h 负责判断哪些张量放哪里；9 月 24 日那条「选择整体执行时预留 128 MiB 余量」的提交，就是这层判断的一个补丁，属于典型的显存边界问题。1
• 权重格式被收敛到 GGUF。 src/model_io/ 里并排放着 gguf、safetensors、pickle、torch_zip 四个读取器。官方文档给的用法有两种：用 --type q8_0 这类参数在载入时自动转换，或者用 -M convert 提前转成 GGUF 再量化。同一篇文档还给了 SD1.5 在 512×512 下的内存表——f32 约 2.8 GB，q4_0 约 2.0 GB，开 Flash Attention 之后分别是 2.4 GB 和 1.5 GB。这几个数字摆在一起，「量化省的是哪一部分」就有了具体印象。8
• 零外部依赖是靠源码内嵌做到的。 thirdparty/ 目录里放着 oniguruma（正则）、httplib（HTTP 服务）、stb、utf8proc、miniz、libwebp、libwebm，分词器也自己实现了一份（src/tokenizers/）。一个 C++ 项目怎样在不动系统包管理器的前提下把依赖收进来，这个目录就是现成答案。
• 两种使用形态都在仓库里。 examples/cli 是命令行，examples/server 是一个 HTTP 服务，路由分成 OpenAI 兼容、sdapi 和 sd.cpp 三套，另外还有一个前端目录。README 的更新日志里，4 月 11 日那条写的是换上了新的内置网页界面。7

复现难度：低

最小上手路径

# 从发布页下载对应平台的压缩包，解压出 bin/sd-cli（这里用 Linux x86_64 CPU 版）
# 拿一份 SD1.5 权重
curl -L -O https://huggingface.co/stable-diffusion-v1-5/stable-diffusion-v1-5/resolve/main/v1-5-pruned-emaonly.safetensors

# 一条命令出图
./bin/sd-cli -m v1-5-pruned-emaonly.safetensors -p "a lovely cat"

# 想在载入前就压好：转成 q8_0 的 GGUF
./bin/sd-cli -M convert -m v1-5-pruned-emaonly.safetensors -o v1-5.q8_0.gguf -v --type q8_0

2. univer：一套插件核心，浏览器和 Node 里都跑

为什么今天看

最值得拆的机制

• 插件装配决定了你拿到什么。 核心包只管插件注册、命令总线、依赖注入和服务生命周期，表格、公式、渲染、界面各自是独立包，按需安装。仓库文档把两种组装方式分开讲：Plugin Mode 自己挑包、自己合并语言包、自己注册 Facade；Preset Mode 直接用 @univerjs/preset-sheets-core 这类预设集合。想理解「一个 SDK 怎么同时服务只要基础表格的人和要全功能的人」，对比这两种装配就够了。1113
• 渲染引擎和文档类型分开。 @univerjs/engine-render 是一层共享的 Canvas 渲染引擎，各类文档共用它；engine-formula 是独立的公式引擎。文档类型因此只需要描述自己的数据和交互，把画和算交出去。11
• Facade API 把内部结构包成了高层接口。 工作簿、工作表、区域、公式、命令、事件都有对应的 Facade 类，业务代码按这层写，就不必碰内部包。官方给的 Node 用法（Headless）也走同一套 API，服务端做无界面计算用的就是它。1114
• 版本线要整条一起升。 README 要求 @univerjs/* 的 SDK 包保持在同一版本线上，@univerjs/icons 这类独立发布的包按其 package manifest 声明的兼容版本走。多人协作的项目里，这条约定能省掉大量「某个包版本对不上」的排查。11

复现难度：低（当使用者）到中（读仓库）

最小上手路径

pnpm add @univerjs/presets @univerjs/preset-sheets-core

import { createUniver, LocaleType, mergeLocales } from '@univerjs/presets'
import { UniverSheetsCorePreset } from '@univerjs/preset-sheets-core'
import UniverPresetSheetsCoreEnUS from '@univerjs/preset-sheets-core/locales/en-US'
import '@univerjs/preset-sheets-core/lib/index.css'

const { univerAPI } = createUniver({
  locale: LocaleType.EN_US,
  locales: { [LocaleType.EN_US]: mergeLocales(UniverPresetSheetsCoreEnUS) },
  presets: [UniverSheetsCorePreset({ container: 'app' })],
})
univerAPI.createWorkbook({})

3. mvt：一套检查核心，吃两种手机的采集物

为什么今天看

最值得拆的机制

• 命令按平台分开，核心共用。 装完之后有三个入口：mvt 管版本、补全、插件和指标下载，mvt-ios 和 mvt-android 分别处理两种采集物。平台命令只是外壳，检查逻辑走同一套核心，这也是 iOS 和 Android 的支持能并排演进的原因。16
• 输入是采集物，不是设备。 iOS 这条路吃的是 iTunes 或 Finder 备份目录，命令是 mvt-ios check-backup；Android 吃的是 bugreport、ADB 采集出来的数据。整个分析在本机完成，备份始终留在自己手里。1617
• 提取和比对是两步。 check-backup 负责把痕迹从采集物里提取出来，落成 JSON；check-iocs 可以拿着指标文件，重新比对这些已经提取出来的结果。指标和采集物因此能分开更新：拿到一份新披露的 STIX2 文件，把比对那一步重跑就行。18
• 指标用的是 STIX2 格式，表达力边界写得很清楚。 --iocs 可以重复传多个文件，也可以走 MVT_STIX2 环境变量。官方文档写明目前支持的是单值比较，比如 domain-name:value='...'，多条件的布尔表达式还在支持范围之外；可匹配的类型限定在文档列出的那十几种，并且只有跟当前数据相关的模块才会用到。检查 URL 指标时会跟着短链做 HEAD 请求，并发上限 20，MVT_NETWORK_ACCESS_ALLOWED 可以关掉这类网络请求。18
• 插件包可以挂自己的检查项。 官方开发文档给出两种扩展点：往 check-* 命令里加取证模块，或者注册新的顶层命令。想练「给一个成熟 CLI 加子命令」，这比从零写一个命令行工具更接近真实项目的样子。19

复现难度：低到中

最小上手路径

pipx install mvt

# 拉取公开的 STIX2 指标，之后会被自动加载
mvt download-iocs

# 分析一份 iOS 备份
mvt-ios check-backup --output ./out /path/to/backup

# 也可以指定自己的指标文件，可重复传
mvt-ios check-backup --iocs ~/iocs/malware.stix2 --output ./out /path/to/backup

# 换个指标再比一次，不必重跑提取
mvt-ios check-iocs --iocs ~/iocs/malware.stix2 ./out

怎么选今晚的第一条路径