每周见闻(87)：为了个耳机，换了个手机（笑）
每周见闻：2026-09-21 - 2026-09-27
为了个耳机，换了个手机（笑）
这个月新机不少，小米 18 Fold，小米 18 ProMax；iPhone Duo；华为的 Pura X View 还有 OV 两家……
说不心动是假的，但也不是必须。然而我在洗衣服时，忘记把耳机拿出来了。自然，报废了。
恰巧前一天小米的销售和我说买 18 PM 可以送一个耳机。这不巧了么……那就为了这个耳机顺便把手机换了。正好体验一下背屏有什么实用场景。
由于资金问题，我最后买的白色。但不得不说，这次透明版真的很好看。有一种 EVA 二号机的感觉，配上明日香的壁纸应该很绝！
安全
1、The V8 JavaScript Runtime Undermined My Constant-Time JavaScript Library - Dhole Moments[^1]
标签：安全,密码学,V8
作者六年前写的演示库 constant-time-js 被 UBC 的博士生挖出一个侧信道漏洞。一个在算法层面精心设计的“恒定时间”JavaScript 密码学库，最终被 V8 引擎自身的内部实现细节所“背叛”。
“恒定时间”代码的目标是：无论输入的秘密数据是什么（比如一个密钥的某一位是 0 还是 1），代码的执行路径、内存访问地址、执行时间都应该完全一致，不给攻击者留下任何可观察的差异。
而在 V8 运行时本身：ToBoolean 机制、对 -0/-1 的不同处理，加上读写 true/false 两个 Oddball 对象时落在不同缓存行。攻击者可以通过观察 CPU 缓存的行为，判断出哪个缓存行被加载了，从而推断出秘密条件到底是真还是假。而仅仅看“执行了哪些指令”是看不出问题的，因为指令序列是一样的——泄漏发生在数据地址层面，而不是指令层面。
2. 赌场里的老虎机，绝对不允许使用真正的“随机数”[^5]
标签：密码学,随机数,安全
非常有意思的文章！随机数也是计算机中一个重要的概念，但赌场该用真随机还是假随机数呢？
事实和我们认知的正好相反——谁敢装真随机发生器，执照直接吊销。作者讲得很透：物理随机在实验室完美，放到现实里就是个娇气包。芯片老化，让 0 和 1 偏出 0.0001%，乘上每天百万次下注，机器几个月就能亏掉几百万。更要命的是真随机没法事后复现，出了大奖纠纷法律谁都不信。
所以赌场卖的根本不是赌博，是确定性——一千万次后精确留 8% 利润。系统必须是“完全可预测”的，但对玩家来说必须是“无法预测”的。合规老虎机用的是加密级伪随机，种子可复现，监管把备案算法和种子一输，就能验出机器有没有被动手脚。伪随机在这儿不是数学工具，是一份随时能调出来验证的证据链。
之前坦克系统、乌军程序员的文章都出自于公众号：与众不同的露萱 想看看有趣视角的文章可以关注一下！
技术
1、Do Frameworks Matter Anymore?[^2]
标签：前端,框架,AI编程
AI 编程时代，框架到底还重不重要？主流说法是 React 赢了，模型在 React 上训练得最多，用它就对了。
作者是前 Remix/Shopify 工程师，觉得这逻辑站不住：模型真那么会写前端，干嘛还要在它和网页之间垫一层抽象？要么框架不重要，那也没理由非 React 不可；要么框架重要，那 React 的优势才成立。他最后的答案是：还是要框架，但要的是测试充分、安全、好推理、能让 agent 进入正确节奏的那种。
我是赞同作者的观点的。框架依然很重要，因为框架天然地提供了约束、规范还有结构，并且训练越多的的框架最佳实践应该也最多。只是框架从原本面向人变为了面向 agent。
2、Node.js built-ins that replaced npm packages[^3]
标签：Node.js,工具
现在 Node.js 给 axios, nodemon, dotenv, chalk, uuid 等内置了代替的 API 和功能。这篇列了 12 个：node:sqlite、node:test、全局 fetch、node --watch、--env-file、util.parseArgs、util.styleText、fs.glob、WebSocket 等等，并且标注了在 Node 24 LTS 的稳定程度。
就像现代浏览器吸收了很多 jQuery 的方法。Node 也会逐渐吸收成熟的依赖，这样一来我们就会少很多三方依赖同时在安全性上有一定的提升。
生活
1、他说的不一定对[^4]
标签：独立思考,认知,决策
作者跟老同事喝咖啡，他搬出行业大佬的长文当标准，作者没反驳，却意识到大家越来越爱用名字和金句给讨论按下暂停键。有感而发而写的随笔。可大佬的结论背后藏着团队、资金、容错这些看不见的约束，剥掉之后平移到你身上，就成了干扰。说到底，盲信权威是偷懒——引用零成本，试错才要勇气。
倒是有点和作者之前的文章的观点一致，别人问答案未必就是“参考答案”。因为渠道、资源，只要有一点不同，最后的结果就是天差地别。
参考文章:
- [1] The V8 JavaScript Runtime Undermined My Constant-Time JavaScript Library - Dhole Moments: https://soatok.blog/2026/09/12/the-v8-javascript-runtime-undermined-my-constant-time-javascript-library/
- [2] Do Frameworks Matter Anymore?: https://brookslybrand.com/posts/do-frameworks-matter-anymore/
- [3] Node.js built-ins that replaced npm packages: https://flaviocopes.com/node-builtins/
- [4] 他说的不一定对: https://blog.solazy.me/202609/
- [5] 赌场里的老虎机，绝对不允许使用真正的“随机数”: https://mp.weixin.qq.com/s?__biz=MzY4MzM3OTkwMw==&mid=2247485172&idx=1&sn=eff0c0de76f18f42a2fec15070f451b5&poc_token=HJckuWqjIgGM5xCBmwG_j3_83PDiUbIe-7NVIU0s