被这个问题折腾得够呛，本来是希望在 Gitea 中使用 GTM，但发现怎么都配置不上，并且会导致 Gitea 前端的完全失效。     从截图看，问题已经比较明确：Gitea 本身的 JavaScript 并没有坏，主要是你加入的 GTM / Google Tag 代码违反了 Gitea 当前的 Content Security Policy (CSP)，导致浏览器阻止 inline script 执行。 截图里最关键的是： Executing inline script violates the following Content Security Policy directive 'script-src ...' Either the 'unsafe-inline' keyword, a hash (...) or a nonce (...) is required The action has been blocked. 上面的配置会导致： error: Gitea JavaScript code couldn't run correctly, please check your custom templates 这个错误，虽然是这个错误，但实际上不是模板的问题。     调试后，发现 CF 的预加载 Tag 管理的时候，因为 CSP 的问题导致 Gitea 的前端全部失效。 这是 CSP（Content Security Policy）阻止了 Google Tag Manager 加载后的 inline script 执行，不是 GTM Container ID 本身的问题。 直接使用 GTM 的问题     从截图看，错误已经很明确了：不是缓存问题，而是 CSP Nonce 不匹配导致 GTM 的 inline script 被浏览器拦截。 你页面里 Gitea 自己的脚本带了 nonce： <script nonce="c92794dc25088d64ef3706325643a422" src="/assets/js/iife.D2XhYhS2.js"></script> 但你后面加入的 GTM： <script> (function(w,d,s,l,i){ ... }) </script> 没有 nonce。 而浏览器收到的 CSP 大致是： script-src 'nonce-c92794dc25088d64ef3706325643a422' ... header.tmpl header.tmpl 不能把 nonce 写死。关键是要取得 Gitea 当前请求生成的 nonce。 所以针对你现在的 Gitea 1.27.3，我更建议不要继续和动态 nonce 对抗，而是把 GTM JavaScript 改成外部 JS 文件，这样 header.tmpl 本身不再包含 inline JavaScript。 <!-- Google Tag Manager --> <script src="{{AppSubUrl}}/assets/js/gtm-custom.js" defer></script> <!-- End Google Tag Manager --> Gitea 官方支持通过 custom 目录提供自己的静态资源。 然后创建： mkdir -p /var/lib/docker/volumes/gitea_gitea-data/_data/gitea/public/assets/js nano /var/lib/docker/volumes/gitea_gitea-data/_data/gitea/public/assets/js/gtm-custom.js 哪怕是这样，还是会出现 CSP 错误。     原因在于 GTM 的引用方式。 如果你要把 Matomo 用在当前 Gitea 上，建议和刚才 GTM 一样：不要把 Matomo 的初始化代码直接写成 inline <script>，否则还是会遇到 Gitea 的 CSP nonce 问题。 你当前 GTM 遇到的麻烦是 GTM 自己会进一步执行/生成各种 Tag，因此 CSP 会比较复杂。 Matomo 如果只是使用你上面这种标准 tracker： src.sharkdat.com │ ├── /assets/js/matomo-custom.js │ └── analytics.isharkfly.com/matomo.js │ └── matomo.php 修改后的部署版本为： var _paq = window._paq = window._paq || []; _paq.push(['trackPageView']); _paq.push(['enableLinkTracking']); (function() { var u = 'https://analytics.isharkfly.com/'; _paq.push(['setTrackerUrl', u + 'matomo.php']); _paq.push(['setSiteId', '1']); var d = document; var g = d.createElement('script'); var s = d.getElementsByTagName('script')[0]; g.async…

深夜的机房灯火通明，屏幕上的警报却无人应答。一家加拿大能源公司的核心代码库正被人悄然搬空，客户关系系统和员工数据库的钥匙，已经握在千里之外的黑客手中。这一幕并非电影桥段，而是正在全球多个大洲同步上演的真实网络攻防战。 Acronis威胁研究部门的最新调查揭开了一个令人不安的事实：一个被称为红鹭（Red Heron）的中文威胁组织，正利用Gitea平台一个评分高达9.8的严重远程代码执行漏洞，对暴露在互联网上的自托管服务器展开系统性洗劫。 作为一款轻量级开源代码托管平台，凭借部署简单、资源占用低、功能完整的特性在软件工程团队中积累了极高的人气。无论是初创团队还是大型企业，都愿意把最核心的数字资产——源代码托付给它。互联网扫描数据显示，全球面向公网开放的Gitea部署数以万计，这也意味着一旦平台本身出现安全缺陷，无数的知识产权、开发凭证和配置密钥将同时暴露在火力覆盖之下。 这次的漏洞编号为 2026-60004，CVSS评分达到9.8分的最高严重级别，影响范围覆盖1.17.0至1.27.0之间的所有版本。换句话说过去数年间部署且从未升级过的Gitea实例，几乎全部处于裸奔状态。 漏洞的根源藏在Gitea内部的补丁处理流程中：当服务器处理通过diffpatch端点传入的补丁文件时，会执行带有三路合并回退参数的Git命令，而这一过程恰恰给攻击者留下了注入恶意代码的缝隙。     当感染后最直观的就是会看到仓库无法被拉取，提示其中一个安全校验文件错误。   实际上这个校验文件根本就不应该存在。     如果看到上面的提示信息，表明你的服务器实际上被入侵。     更糟糕的是，Gitea 默认情况下是允许用户进行自行注册，新版本的安装中取消了这默认允许自行注册。 [service] DISABLE_REGISTRATION = true   如果你以为黑客攻入中央代码库只是为了窃取静态源代码，那就太小看这个组织的胃口了。Acronis的研究人员确认，红鹭维护着一份针对战略性行业的结构化侦察数据库，目标涵盖国防承包商、选举基础设施、航空航天企业和可再生能源供应商。 在首次侦察阶段，他们扫描了分布在七个国家的1386个Gitea实例，随后确认的攻击事件已波及加拿大、阿根廷中国台湾、美国和斯里兰卡的多家组织机构。 比数据失窃更难缠的，是攻击者留下的持久化后门。为了长期潜伏，红鹭部署了一个名为JITTERLY的定制C++后门程序，其中还内嵌了一个尚未公开的Linux共享库rootkit，内部追踪代号为SIXZUT。 这类恶意软件的可怕之处在于它对系统底层的接管能力：文件列表被篡改，敏感文件在管理员眼皮底下凭空消失；运行进程被隐藏，后门活动从任务管理器中彻底蒸发；网络连接记录同样遭到过滤，外传数据的通道被抹得干干净净。 甚至当管理员尝试终止可疑进程时，rootkit还会拦截终止信号，并在进程退出后自动将其重新拉起。 在这次 Gitea 的攻击中，被感染的服务器会被无人植入一个自动运行进程。 因为 hook 文件夹中会被攻陷，他们会在仓库中 Hook 目录下隐藏一运行脚本，哪怕是终止掉进程，代码还是会被重新拉取并且在后台运行。 当服务器被攻陷后，可能面临大规模的重新配置和进程扫描。 https://www.isharkfly.com/t/gitea-cve-2026-60004/10393

Discourse 升级后添加 Me Too 功能。     官方说明文章位置：Solved improvements: Allowing members to indicate they're experiencing a reported issue - Announcements - Discourse Meta     这个功能默认开放，当单击按钮后触发下面的 2 个操作： 计数器 +1 主题将会被跟踪（Tracking），用于后端的邮件提醒功能。   参数配置位置，后端搜索关键字： Enable solved shared issues   https://www.isharkfly.com/t/discourse-me-too/1760

2026年7月29日，Discourse 后端数界面又进行了大升级。     整个界面又进行了大调整。     本次更新需要重构，喜欢新界面的，赶紧更新下吧。   可以自行添加报表。     使用浮动 Tile 的布局。   https://www.isharkfly.com/t/discourse/1759

还揣着老黄历以为每年车辆都还需要进行年检，带着一脸不耐烦的跑到修理站，却被告知车辆已经不再强制要求年检，他们的年检标签打印机和系统账号都已经注销和关闭了。 这种老式的年检标记也走进了历史。     随后赶紧考古了下相关资料，确实是这样的，新罕布什尔州（NH）已经在今年1月31号起已经取消了车辆的年检要求。 新罕布什尔州（NH）已正式取消针对大多数乘用车的年度车辆安全与尾气排放检查，相关政策于 2026年1月31日 起生效。     此后，全州机动车检测站不再被授权发放州检标志（Inspection Sticker），且不再强制要求私家车主进行年度常规年检。 联邦诉讼纠纷：前年检系统承包商 Gordon-Darby 提起诉讼，指控取消年检违反了联邦《清洁空气法》（Clean Air Act）。联邦地区法院虽曾下达初步禁令要求恢复，但州总检察长办公室明确公告目前年检项目暂停，联邦巡回上诉法院也暂停了地方法院的恢复令。     在取消车辆年检这个事情上，大部分 New Hampshire 居民还是支持州政府作出的决定，因为每一年的年检都会耗费大量的时间和金钱。 清洁空气法 清洁空气法是在1970年的时候颁布并且实施。 依据这个法案，车辆的尾气治理是一个重要的组成部分。 随着内燃机的进步和三元催化以及柴油颗粒捕捉器的强制性安装，现行的内燃机已非常高效，并且在车燃油车汽油内也包含了 10% 的酒精。 如果还拿着几十年前的清洁法案去衡量现行内燃机的进步显然是不合时宜的。Gordon-Darby 公司主要是针对尾气排放而做的年检。 针对车辆的年检标志，NH 州政府每年每一个年检标志收取 $3.25，在车辆年检标记上面，州政府的收入每一年收入是 $3.4 million （340万美元）。 当然实际最终消费者的年检费用现在是 45 美元。对有资格进行车辆年检的修理厂还是一个不错的收入。 当车辆被检出有问题的时候，车辆修理厂会强制要求客户修复问题，然后才能给年检合格标记。 Gordon-Darby 公司为了钱，把其他所有人的便利和成本支出全部当做他们公司营收的工具。 因州政府取消了车辆年检的项目，那么 Gordon-Darby 无法获得州政府针对尾气检测的相关合同，对他们来讲，每一年会丧失一大笔合同的费用。 所以他们会现在在死磕州政府，要求州政府恢复车辆年检。 不过好在 NH 政府不是唯一一个取消车辆年检的，在新英格兰地区是第 1 个。 完全不需要年检的州 阿拉斯加州 (Alaska) 阿肯色州 (Arkansas) 爱荷华州 (Iowa) 密歇根州 (Michigan) 明尼苏达州 (Minnesota) 密西西比州 (Mississippi) 蒙大拿州 (Montana) 南卡罗来纳州 (South Carolina) 北达科他州与南达科他州 (North/South Dakota) 其他如阿拉巴马州、肯塔基州等部分地区也无强制年检要求。 就这样来说，哪怕 Gordon-Darby 不停的起诉新罕布什尔州政府，我觉得州政府还是有机会赢。 毕竟不是第1个取消年检的州嘛。取消后真的带来很大的方便，不需要每一年快过期之前去跑修理厂，约一下年检乱七八糟的搞一下又是半天。 2025年的时候已经有讨论取消相关年检，当时记得讨论的的内容是把年检从 1 年变成 5 年。 谁能想到州政府步子迈得更快，直接把年检给取消，虽然折腾来折腾去慢了一点，但终究也算是与时俱进。   https://www.isharkfly.com/t/nh/2987

IntelliJ IDEA 2026.2 已正式发布，带来了针对开发工作流与新技术的重大升级。 核心亮点包括原生集成 GitHub Copilot、新增 Logpoints 调试支持，以及对 Java 27 和 Kotlin 2.4 的首日支持。     发布日志可以参考官方的博文。     AI 的性能有些提升。   https://www.isharkfly.com/t/intellij-idea-2026-2/2983

官方安装的方法请参考：Social Share - Theme component - Discourse Meta 这里安装有几个坑，安装的这个是主题不需要重启，但是需要到主题界面中去安装。 安装路径 进入主题界面后，单击安装。     选择从 Git 安装。   在这里需要输入官方 Git 的地址： GitHub - discourse/discourse-social-share · GitHub 后单击安装即可。 配置 在配置中需要进行一些参数的修改，没有选择项，使用的是逗号分隔符。 在主题上，需要选择应用的主题，意思就是在那些主题中有应用这个分享连接。 比较坑的就是分享连接这里，这里需要使用手动的逗号分隔符进行分割。 使用 Reddit 为例： Social Share Links 的内容就是： Reddit, fab-reddit, Share to Reddit, https://www.reddit.com/submit?url= SVG Icon 用： fab-reddit 因为 Discourse 使用了 Search Icons & Find the Perfect Design | Font Awesome Icon，所以对应的 SVG 图标需要到上面去搜。     比如说，微信使用的是上面的图标。     因此在 SVG Icon 这里就需要使用 fa-weixin。 运行效果图如下：     会在前端界面中出现一个分享的按钮，对应后端的配置。   https://www.isharkfly.com/t/discourse-social-share/2609

很多年前去亚马逊的时候，能感觉到活力，这次去亚马逊总感觉死气沉沉。 美国的科技大厂经过几次裁员和清洗以后，现在里面的人估计个个都是小心翼翼的。 给人的感觉是不求做对，但求不做错，所有的流程和事情都照本宣科，还是一堆的印度人，但感觉不到活力了，他们更多的就像完成一个每天都去做的工作而已，没有说把这个东西怎么做得更好。 门口还给一个稀烂的没有任何收藏价值的工牌，打印机纸介质打印的，连塑料片都不舍得给。 哪怕就算这么一个稀烂的 visitor 卡，还因为没佩戴好，被别人问了好几次，就是过来一天办点事情，还被人盯着问，你的工牌呢？ 说心里话，对你们这个工牌也没有什么太大兴趣，本身也没有收藏价值。 现在这种普通 RFID ID 的普通白板卡便宜的不要能再便宜，大不了就投资一个打印机嘛，打一个漂亮的画上去不行吗？ 实在不行，再不济也可以从中国淘宝或者拼多多买一点漂亮的挂绳行不行，要提高员工的认同感，细节上面上点心好不好？ 就盯着别人挂没挂工牌，就挂上这破工牌是能骗两罐可乐还是骗顿免费中饭呀。 突然觉得很多人，包括自己和《疯狂动物城》里面这些打工的小老鼠是同样的生活。 穿着最体面的衣服，在最豪华的办公区，但是吃着最便宜的冰棍。 看了这么多次，还是第1次注意到上面的银行的名字叫做 lemming Brothers bank，这显然就是在讽刺的是雷曼兄弟银行。 片中仓鼠职员排着整齐划一的队伍转弯，人手一只冰棍，辛辣地讽刺了金融圈盲目跟风和随波逐流的投机心理。 《疯狂动物城》电影上映这么多年了，里面的彩蛋还在不停的被不经意的注意到，真的算是一部宝藏动画片。   https://www.isharkfly.com/t/topic/2980

来说一则和经济有关的事，根据韩联社的消息，在 2026 年的上半年，韩国化妆品出口创新高达到70 亿美元。 这则消息与美国市场上的直观感受是接近的。 近些年逛超市的时候，发现很多化妆品或者护肤品都来自于韩国，以前这部分的东西多是美国本土或者日本的品牌居多。 直观的感觉到市场上韩国的化妆品和护肤品数量占比攀升很快。 再叠加韩国女团和电影产业的发展，韩国文化入侵这些年非常厉害。 Netflix 最近投资韩国的几部电影都是大赚的，比如说《kpop demon hunters》，《Squid Game》。 以及一些不少朝韩关系题材的电影：《特工》都收获了非常好的评价。 随着文化产业的快速推进和出入侵，线下相关服务也会持续需求旺盛。 比如说韩国提供的医美服务，也在逐步侵入到西方和周边国家。 韩国商品 如果说非要研究一下周边国家，我觉得日本和韩国，值得去深入研究。 韩国这个国家地理面积不大，但是在各个领域都能攻城略地。 比如说在工程制造、机械、家电、汽车，半导体等产业都能够在世界市场中获得话语权。 哪怕是在最近还没有结束的世界杯，韩国也能踢进世界杯，虽然被骂得够呛，但是别人踢进去了。 在家电领域，韩国的 LG 品牌在美国也是攻城略地般的横扫市场。 说到家电这里就不得不说一下 GE 和 LG，GE 这个品牌早就是海尔代工的了，2016年，海尔斥资54亿美元完成对美国通用电气（GE）家电业务的收购。 冲着对 GE 家电品牌的信任，早年买过一台 GE 的冰箱，还没到 10 年，冰箱的各种问题层出不穷，制冰盒无法制冰，莫名其妙的噪音，因早就过了保修期，修也没法修，你说完全坏吧，又没有完全坏，但是用起来就是很烦。 也用过一些 LG 的产品说心里话，LG 的东西也好不到哪去，该坏也是坏的，但是就是没有 GE 这台冰箱坏得那么恶心。 海尔拿到 GE 的家用电器，应该真正的把品牌质量做做好，现在身边的朋友一提到 GE 的家电都是摇头，还不如美国自己 Frigidaire。 为什么韩国的商品就是能够在市场中攻城略地，市场是公平的，就好像韩红在电影《抓特务》的宣发中栽了跟头一样，市场是有自己的约束和规律。 哪怕是同样的电影，别人用的是”特工“，我们用的是”特务“，中文里面差一个字，差一个字就天壤之别。 中国代工的产品，出口到国外的和自己用的就是不一样，我们不是做不出来，但是我们就是不愿意去做。 要真正的民族复兴，还得踏踏实实的把脚下的路走好才行，这需要每一个人的坚持。 https://www.isharkfly.com/t/2026-70/2978

T 字特快列车在国人的记忆中总是无法被磨灭，至少在我内心中是这样。 从背起行囊到大学读书那天开始，最喜欢乘坐的一趟列车就是 T5/T6 次。 每次见到蓝白相间的车体，总感觉是那么的亲热。随着中国铁路的提速 T5/T6 次现在也被改成Z5/Z6。 大学毕业后乘坐机飞机的机会并不多，把大量的时间交给了 T1/T2 次，在北京和长沙之间往返。 虽然随后北京西和长沙之间也开通了一趟 Z1/Z 次， 回想起第 1 次去北京工作的时候，乘坐的还是南昌到北京西的 T146 次，也是走的京广线。 可以说在过去的几十年，特快列车蓝白相间的车底已烙印在记忆中。 2026年6月30日，成都至北京西的T8/T7次普速列车也正式停运。相信对很多人来说，就好像当年我听到 T5/T6 次停运一样的感觉。 这些年中国铁路的跨越式发展，不少的城市之间都投入大量的动车和高速列车，这类 K 字头和 T 字头的车已经逐步被压缩甚至被边缘化，哪怕是 Z 字头的车也被压缩了不少。 几年前有机会回国，铁路总局把所有的普速列车全部刷成了绿皮，再也看不到蓝白的 T 车，纯白的 Z 车，红白的 K 车，以及真正的绿皮车。 刹那间感觉铁路的提速拉近了城市的距离，但列车好像也慢慢地失去了灵魂。 高铁跑得很快，但拿出相机拍一下列车的心情却感觉被远远的抛在了身后，而这些老式涂装却成了心目中永久的记忆。 过道上售货员的花生瓜子矿泉水叫卖也越来越少，也没有办法吃到火车餐车上现炒的盒饭。 在我看来这一切都是生活的真实，有些时候跑得太快，一路上迷人的风景也被忽略掉了。   https://www.isharkfly.com/t/t/2325