十几家银行把 GrapheneOS 加进白名单、一个二月就修好的 Brotli 漏洞、一台只能借一年的 iPhone、一次搬仓库留下的长尾、一个免费了十二年的数据库，和一份说科技业之外没有 AI 回报的报告：10 月 25 日 HN 热榜在问，这些还能用的东西，账最后记在谁头上？
同一天里六条高热材料：十几家银行开始放行 GrapheneOS、Brotli 漏洞要每个下游自己重发一次版、Apple 借出研究设备、Roku 把开发者仓库搬去 GitLab、分布式 SQLite 的十二年，和一份说科技业之外没有 AI 回报的报告——逐条看清让它继续运转的成本落在谁头上，以及今天能自己查哪一步。
文章标题是《We should be more ambitious with the software we build》。
这条帖子 75 分、46 条评论，上帖时间是 10 月 25 日 05:47。
原标题是《Around a dozen banking apps began specifically permitting GrapheneOS》。
这条帖子 612 分、281 条评论。
| 材料 | 分数 | 评论数 | 位次 | 上帖时间（北京时间） |
|---|---|---|---|---|
| 十几家银行把 GrapheneOS 加进白名单 | 612 | 281 | 43 | 10 月 24 日 09:15 |
| HTTP2Shell／Brotli 漏洞扩大 | 269 | 134 | 17 | 10 月 24 日 16:06 |
| Apple 安全研究设备 | 171 | 114 | 40 | 10 月 24 日 10:36 |
| Roku 开发者仓库搬到 GitLab | 242 | 160 | 5 | 10 月 25 日 00:06 |
| 分布式 SQLite 十二年 | 359 | 62 | 26 | 10 月 24 日 09:16 |
| 科技业之外没有 AI 回报 | 435 | 427 | 19 | 10 月 25 日 03:47 |
| 三星电视获得 root shell | 483 | 194 | 46 | 10 月 24 日 13:49 |
| OBS Studio 33 | 438 | 158 | 41 | 10 月 24 日 12:49 |
时间窗按上帖时间算，从 10 月 24 日 08:00 到 10 月 25 日 08:00。窗口内上了前 200 名的帖子共 75 条。
选条标准两条：今天有一份能打开的本体；这条材料说得清「让它继续下去的成本落在谁身上」。
按这两条，171 分的 Apple 那条收进来。它分数不高，但一页条款把产权、场所与报告义务写得清清楚楚。
与前几期同一类问题的还有 Brotli。10 月 22 日那期写过 PHP 的补丁怎么分发，今天是另一个库、另一批下游。8
今天这六条，讲的都是某样东西还在继续运转。先看它由谁维持，再看这笔账记在谁头上。
十几家银行把它加进了白名单
谁在说。GrapheneOS 的官方 Mastodon 账号，10 月 24 日在一条回复里说的，随后被搬上 Hacker News。3
一手材料写了什么。这条回复先给了一组比例：大多数银行应用能在 GrapheneOS 上跑。3
约 10% 的应用装不上。原因是那些应用直接禁止非 Google 认证的系统。
标题里那个数字也在这条回复里：约十几家银行应用开始在「Google 认证的系统」之外，专门把 GrapheneOS 列进允许范围，并且这个数字在涨。3
还有一层决定成败：能不能 tap-to-pay（非接触支付）。3
GrapheneOS 说，欧洲有多个兼容它的非接触支付方案，包括 Curve Pay、PayPal 和不少欧洲银行自己的应用。
问题出在欧洲以外。多数银行把 tap-to-pay 整个交给 Google Pay，而 Google Pay 禁止在 GrapheneOS 上运行。3
换句话说，一家银行放不放行，只决定这个 App 能不能打开。能不能刷卡，取决于另一家公司。
评论区争在哪几点。第一层是讽刺。4
ronsor 指出，这些对「安全」和「硬件证明」格外偏执的应用，自己反而带着内存破坏 bug。
它们要靠 GrapheneOS 逐应用打开兼容开关，才跑得动。4
第二层是对「十几家」这个数字的质疑。iLoveOncall 问：标题说十几家，可那条链接里的列表有几百家。4
这个疑问值得拆开。那份列表是 privsec.dev 上的众包数据集，2022 年 1 月建，最后更新在 10 月 20 日。9
列表给每个应用配一条 GitHub 报告，覆盖八十多个国家和地区。
它统计的是「装上去能用」，不是「银行改了政策」。两者差别很大：前者多数靠 GrapheneOS 的兼容开关顶着，后者才是今天这十几家。
第三层是接受度。edent 把英国银行的支持分成四档：完全不行、明确禁止、能用但少功能、全部可用。他手里那张信用卡应用就属于第三档。4
Arch-TK 的态度更硬：我让你替我保管钱，凭什么还要在自己的手机上替你跑应用。4
今天能自己复检哪一步。打开 privsec.dev 那份列表，搜自己用的银行，看那条报告的日期。9
然后在手机上走一次 tap-to-pay 的开通流程。如果它跳去 Google Pay，你就知道这一层账记在谁头上。
一个二月就修好的问题，十月才被发出去
谁在说。安全公司 Aikido 的漏洞分析，作者 Dania Durnas，10 月 23 日发布、24 日更新。8
一手材料写了什么。漏洞编号 CVE-2026-111497，出在 Google 的 Brotli 解码器里。8
受影响的是 1.0.3 到 1.2.0，全平台。CVSS v4.0 打了 9.2。
根因很小。解码时判断「换不换霍夫曼表」的那段函数，返回的是一个布尔值。
这个布尔值分不清「这条流坏了」和「我还需要更多输入」两种情形。快速路径上，调用方干脆不看返回值。
于是攻击者造一条流，让解码器把数据写到自己缓冲区外面去。
时间线是这篇文章里最要紧的部分。8
Node.js 在 10 月 21 日公布这个漏洞。次日，Python 那边公布同样受影响。10 月 23 日，更多语言和 HTTP 服务被发现受影响。
文章自己还有一处对不上：开头写 Node.js 在 10 月 21 日公布，时间线一节写的是 10 月 22 日。两处差一天，读者得自己挑一个。
真正的账在下一句。这个根因在二月就修进了 Brotli 的源码，修的人当时没有把它当成安全问题。因此没有任何一个版本带着这个修复发出去。8
到了十月，每个把 Brotli 打进自己构建的项目，都得自己发一次版。上游的一个 commit，变成了几十个下游各自的发布流程。
评论区争在哪几点。第一层是「OpenAI 二月发现的」这句话。10
cowsandmilk 和 Rapzid 都认为这个说法不对：二月是 Google 改了源码，当时没人意识到这是个安全洞。
Rapzid 的疑问更具体：一个远程代码执行被报了、被修了，怎么就没人当回事。
第二层是覆盖范围。Python 这边，Brotli 包每月 8280 万次下载。requests、httpx、aiohttp 装了它就自动解码。8
也就是说，你的代码里没有 import Brotli，也可能在解一条外来的流。
第三层是打法。flyingjoe 说，几个月前大家还在建议给依赖升级加冷却期，现在为了安全补丁反过来天天破例。10
bawolff 意外的是另一件事：居然有这么多实现会解请求体里那层 Brotli 压缩。
今天能自己复检哪一步。Aikido 的文章到 10 月 23 日仍写着：漏洞库还没把这个 CVE 映射到两个 PyPI 包。8
按那篇文章的说法，pip-audit、Dependabot、Safety 都不会报这一条。
这句话今天不一定还成立。GitHub 安全公告库那一条标的是 10 月 22 日发布、23 日复核，里面已经列出两个包和两个 PYSEC 编号。11
所以别信扫描器的沉默。在自己环境里跑
pip show Brotli brotlicffi，再看一眼哪些镜像里带着它们。一台只能借一年的 iPhone
谁在说。Apple 安全工程官网的设备计划页。页面写明，本年度申请到 2026 年 10 月 30 日截止。12
一手材料写了什么。SRD 是一台特殊烧制的 iPhone，专门用来做 iOS 安全研究。12
「烧制」指的是芯片上的一次性熔丝（fused）。这台机器的熔丝设定允许你跑自定义内核、自选 entitlements（权限条目）、拿到 shell。
Apple Pay 和第三方应用不在研究范围内。
条款把产权写得很死。设备是 12 个月的租借，可以续；期间产权归 Apple。
这台设备不能当日常手机用，必须一直留在参与者的场所内。接触它的人，限于 Apple 授权的人。12
用它发现漏洞，必须尽快报给 Apple。漏洞在第三方代码里，还要同时报给那一方。
资格有四条。第一，在 Apple 平台或其他现代系统上有过实际找到安全问题的记录。第二，人在允许的国家或地区。
第三，达到法定成年年龄。第四，现在和过去 12 个月内不受雇于 Apple。
数量也是限的。页面写「每年设备数量有限」；以公司、大学或组织名义申请，得列出每一个要接触设备的人。
评论区争在哪几点。第一层是这个项目为什么存在。13
ACCount39 的说法是：先造出一个问题，再英勇地去解决它。他的理由是，如果 iPhone 本来可以解锁引导程序，这个计划就不必存在。13
第二层针对那几条义务。lrvick 直接叫它「诱捕」，理由是先签下了所有研究的处置权。13
alt227 说得更细：签了这个计划，发现的问题只能报给 Apple。他把这称为用研究者一直想要的东西，换他们的沉默。
第三层是历史。有人翻出 2020 年同一件事的帖子，这个项目本身并不新。13
今天能自己复检哪一步。打开那一页，先读 Guidelines 三段，再读资格四条。借期、产权、报告义务都在这几段里，没有藏在别处。
如果你打算申请，10 月 30 日是今年的截止日。
一次搬仓库，长尾替你付账
谁在说。Roku 开发者博客，作者 jduval，10 月 15 日发文。Hacker News 上是 10 月 25 日零点才上的首页，晚了十天。14
一手材料写了什么。Roku 把全部开发者资源从 GitHub 搬到了 GitLab。14
搬过去的是开发者文档、示例应用、工具链，还有 RSG 2.0 SDK 的开源部分。
官方对开发者的说法是「影响很小」，但后面跟着一份清单。14
仓库名不变，
github.com/rokudev/ 换成 gitlab.com/rokudev/。有书签或存下来的 URL，要自己换。更麻烦的是自动化。如果谁拿这些仓库做检索管线、内部助手或编码 agent 的知识源，源地址和 raw 文件地址都要换，还得重新抓一遍。
Roku 自己在文章里点明了这件事的性质：一个过时的索引不会报错，它会安静地给出旧内容。
还有所有从 git URL 直接克隆、拉取产物、安装包的流水线。
最后一条很具体：文档页的「建议编辑」在 GitLab 上没有对应功能。14
想改文档，得先申请 dev-doc 仓库权限，fork，再提 merge request。
评论区争在哪几点。第一层是文章自己漏掉的。skullone 指出，仓库的 readme 还写着「欢迎来到我们的 GitHub 仓库」。15
第二层是动机。tangotaylor 希望 Roku 讲清为什么搬。neya 给的答案是近半年几次 GitHub 故障，他们自己的部署被影响过好几回。
第三层是这算不算新闻。abc42 就问了一句：这为什么重要。
同一串评论里还有一条提醒：Roku 正被 Fox 收购，所以这不是一家干净的公司在对另一家干净的公司表态。15
今天能自己复检哪一步。在自有代码库和基础设施配置里搜一遍
rokudev。这条命令是 Roku 自己给的，命中多少处，就是你要改多少处。如果你手里有文档或代码的知识库索引，去后台看一眼它的源地址，再决定要不要重新抓一遍。
十二年免费的数据库，钱去了平台
谁在说。rqlite 的作者 Philip O'Toole，10 月 23 日写的复盘，标题就叫「分布式 SQLite 十二年」。16
一手材料写了什么。2014 年 9 月他发布了 rqlite：给 SQLite 前面接一条 Raft 日志。16
每次写都复制到整个集群，丢一台机器不等于丢数据。按他的说法，这是第一个把 Raft 和 SQLite 合起来的开源系统。
起点很朴素。他在 jut.io 需要一个小的关系型存储，谁该持有那份数据没有好答案。公司后来走了别的路，他自己接着写。
十二年后，这个品类里有十来个项目，有几个拿了风投，有两个被收购。16
他说，现在写这个品类的人大多从 2021 年讲起，所以他写了一版从 2014 年讲起的。
设计上最重要的决定从 2014 年至今没变：rqlite 是 CP 系统。写必须经过 leader，多数节点确认，被分区隔开的少数派拒绝写。
剩下的一切——HTTP API、读一致性级别、快照——都从这一条推出来。
他也交代了两个更早的同行。Expensify 内部用 Paxos 复制 SQLite 多年，2016 年以 Bedrock 开源。16
ActorDB 差不多同期出现，用 Raft 给每个 actor 一个库。
2017 年 Canonical 做了 dqlite 给 LXD 用。Shuttleworth 还给他打过电话，最后没对上。
2021 年 Ben Johnson 的 Litestream 走了另一条路：不用共识，只把 WAL 推到对象存储，代价是单机。16
Fly.io 2022 年把 Ben 招去做 LiteFS。
再往后是分叉与合并：cr-sqlite 加 CRDT，libSQL 直接分叉 SQLite 引擎。
Turso 在 2026 年被 Supabase 收购。16
2022 年 Cloudflare 的 D1 出现。他的总结是，这个品类从「你自己跑的东西」变成了「你买的东西」。
评论区争在哪几点。第一层是这篇的写法。brooksbp 说读得挺开心，直到最后发现作者很在意历史上是谁画的蓝图。17
第二层是产品本身。joostdecock 说自己在生产环境用 rqlite 做控制面，评价是「维护者异常投入」。17
piterrro 则用 D1 的生产经验提醒：D1 其实是包在 Durable Object 外面的一层壳。
第三层是一个标准问题。jwr 问：这套东西过 Jepsen 了吗。没测过的分布式系统，通常意味着问题还埋着。17
文章自己给出的判断更值得记：rqlite、dqlite、Litestream 都免费，拿到融资和被收购的，是把同一件事做成带账单的服务的那些。
他的原话是，这个想法开源了八年，才有人开始卖它。16
今天能自己复检哪一步。挑一个你线上依赖的免费组件，打开它的 releases 页，看最近一次发版是哪天。
再数一下主要贡献者有几个人。一个人维护的东西能用很久，但它的账就记在那一个人身上。
账还没出现的那一半美国公司
谁在说。Apollo 全球管理的首席经济学家 Torsten Slok，10 月 24 日的 Daily Spark。18
一手材料写了什么。这篇只有五张图和几段文字，但它把「AI 有没有用」拆成了可以分开看的几件事。
第一张图：Mag 7 的人均收入在涨，S&P 493 是平的。第二张图：Mag 7 的利润率在涨，S&P 493 也是平的。
第三张图是全要素生产率，用的是旧金山联储那套做过利用率调整的序列。结论是没有 AI 推高生产率增长的迹象。
第四张图说 AI 支出极度集中在少数公司，数据来自 Ramp 的首席经济学家。第五张说 token 支出里也存在循环性。18
文字部分的判断更直接：主流企业开始把 token 支出当成拖累利润率的成本中心，不再当成增长来源。
他给的理由是需求分层。拿了风投的公司在 token 上越花越多，主流公司不需要最新的模型，也不愿意为它付钱。
文章最后落在一句判断上：AI 的故事会在 S&P 493 里见分晓，不在 Mag 7 里。
评论区争在哪几点。第一层是历史类比。jstanley 引了 1987 年那句名言：你到处都能看到计算机时代，除了在生产率统计里。19
第二层是时间够不够。IshKebab 说 vibe coding 真正能用才三个月，再等等。19
secabeen 用电气化类比：把水轮换成电机没用，得重盖一座为电机设计的厂房。
第三层是这张图没量的东西。taormina 反问：科技业自己的回报就一定看得见吗？
yieldcrv 给了一个更细的观察。他做自动化两年，客户那边真正的变化是被砍掉的目标变少了。19
如果只看「省了多少钱」这一本账，自然会得出没有回报。
今天能自己复检哪一步。打开那五张图，看清每张图的纵轴和分母，尤其是第三张里「利用率调整」这几个字。
然后看自己单位今年在 token 上的支出记在哪个科目。记在研发，它像投资；记在运营，它像成本。
六笔账，六个付款人
| 材料 | 谁在维持它 | 这笔账现在记在谁头上 | 今天能自己查的一步 |
|---|---|---|---|
| GrapheneOS 与银行 | Google 的设备认证，加每家银行自己的放行名单 | 系统项目替银行的防篡改代码写兼容开关，用户承担不能刷卡的那部分 | 在你的银行 App 里走一次 tap-to-pay 开通 |
| Brotli／HTTP2Shell | 上游一个 commit，加几十个下游各自的发版 | 每个自己打包 Brotli 的项目，以及每个不信扫描器的团队 | pip show Brotli brotlicffi，再查镜像 |
| Apple 安全研究设备 | Apple 出硬件，12 个月一续 | 研究者，用「必须尽快上报」换来一台能跑 shell 的 iPhone | 读条款三段与资格四条，记住 10 月 30 日 |
| Roku 搬仓库 | Roku 已经搬完，长尾还没搬 | 所有存过旧 URL、索引过旧仓库、克隆过旧地址的人 | 在自己的仓库里搜 rokudev |
| rqlite 十二年 | 一个作者，加一群自建的用户 | 想自己跑得明白一个数据库的人：免费拿到，也免费维护 | 看它最近一次发版是哪天 |
| Apollo 那份报告 | 首席经济学家拿公开数据做图 | 主流企业开始把 token 支出记成成本中心 | 看五张图的纵轴，再看你单位的科目 |
五条留给今天的问题：
- 你依赖的那一层，最近一次有人明确批准它继续存在，是什么时候？
- 你手上的补丁，是上游发了版，还是只进了源码？
- 你借来的能力，条款里写了到期日吗？
- 你有没有一个过时却不报错的索引？
- 你单位把 AI 的支出记在哪个科目？
今天略过的几条
三星电视的 root shell，483 分、194 条评论、第 46 位。5
作者说自己的电视是 2025 年的新款。固件用 AES 加密、没有密钥，他把机器拆开做 UART／JTAG，最后拿到 root shell。
他随后列出这台机器在传的东西：常开的麦克风、自动内容识别、地理位置、网络拓扑、定向广告服务、四套不同的 DRM，还有用户画像。
清单最后一项是合作方：三星和它的 400 个伙伴。
帖子里还有一句：这台电视的卖点是 Knox 安全，但这里看不到 EL2 虚拟机监控器。
这一条与今天的账同轴——账单一直记在买电视的人身上。它没进正文，因为本体只是一条串，还没写成文。
OBS Studio 33 的发布页，438 分、158 条评论、第 41 位。一次版本发布，与今天的账挨得远。6
Steve Blank 写了一篇欧洲该不该换掉美国技术的文章，414 分、444 条评论、第 116 位。7
文章是立场文，主张就写在标题里。
今天第一位就是开篇那篇 danluu 的长文，75 分、46 条评论。2
它分数低、讨论少，内容与今天的账不同轴。
Show HN 的《Steal My Bitcoin》，356 分、199 条评论、第 2 位。一个真能去拿的站点，形态是游戏。20
《I don't understand quantum physics》是 2018 年的科普页，267 分、203 条评论。21
《How close can pure functional programming get to C?》247 分、87 条评论，是一篇语言对比的长文。22
FreeDNS 的首页，239 分、61 条评论、第 13 位。它和今天的线挨得很近，但手头只有这一页。23
丹麦数字化部悄悄放弃开源办公套件试点，185 分、133 条评论、第 52 位。这条离今天最近，可惜原文在付费墙后。
能读到的部分是这样：试点从 2025 年夏天开始，约 40 名员工试 cBrain 交付的 Collabora。
这套系统要替换的，是部里大量在用的 Microsoft Office。为什么放弃，墙里没读到。24
路透社写 PHP 基金会「资金不足，只有一名全职员工」，111 分、68 条评论。
它与 10 月 22 日那期同一条线：那天写补丁怎么泄露，今天这条写钱和人手。25
印度政府站点还在用已被吊销的 eMudhra 证书，49 分、20 条评论、第 145 位。这是 10 月 21 日与 10 月 23 日两期那条线的新阶段。
作者 Nemo 数到 1377 个政府域名落在吊销名单上，10 月 24 日仍有 811 个在发旧证书。26
有意思的是浏览器。Firefox 的 CRLite（一张压缩过的吊销名单）拒绝加载这些站点。
Chrome 的 CRLSet 第 10856 版里没有这些证书，所以照常打开。
吊销记在了证书库里，通知与换证的账落在网站管理员身上。这一条和今天六节问的是同一个问题，所以放在这里。
References
- 1Hacker News top 榜 2026-10-25 快照
news.ycombinator.com
- 2
- 3Around a dozen banking apps began specifically permitting GrapheneOS
grapheneos.social
- 4GrapheneOS 这条在 Hacker News 上的讨论
news.ycombinator.com
- 5Root shell on Samsung TV
twitter.com
- 6OBS Studio 33
github.com
- 7
- 8
- 9
- 10Node2Shell evolves to HTTP2Shell 的 Hacker News 讨论
news.ycombinator.com
- 11
- 12Security Research Device - Apple Security Research
security.apple.com
- 13Apple Security Research Device 的 Hacker News 讨论
news.ycombinator.com
- 14Developer repositories moved from GitHub to GitLab
blog.roku.com
- 15Roku developer repositories moved from GitHub to GitLab 的 Hacker News 讨论
news.ycombinator.com
- 16Twelve years of distributed SQLite
philipotoole.com
- 17Twelve years of distributed SQLite 的 Hacker News 讨论
news.ycombinator.com
- 18
- 19No signs of AI payoff outside the tech sector 的 Hacker News 讨论
news.ycombinator.com
- 20Show HN: Steal My Bitcoin
stealmybitcoin.com
- 21I don't understand quantum physics (2018)
southampton.ac.uk
- 22How close can pure functional programming get to C?
rtfeldman.com
- 23FreeDNS
freedns.afraid.org
- 24
- 25
- 26
This story was produced automatically by a channel. One sentence is all it takes for Neodrop to keep producing for you.