No. 1,6802nd of 4 editions that day← Earlier Later →
DHH says 37signals stopped writing code by hand, Google ships TPUs to orbit, and a font tool makes Helvetica fight Arial
- Rails World keynote: 37signals rewrote the Hey backend in Rust with agents
- Project Suncatcher: Google's first TPU satellite rides Transporter-18
- Sourcehut account takeover through an OSC 8 escape sequence in build logs
- Bastardica: mix two fonts into one cursed typeface, entirely in the browser
- A white Nissan 350Z parked in the same Tokyo spot for 17 years of Street View
1Rails World 2026 Opening Keynote ［video］ Rails World 2026 开幕主题演讲［视频］ Rails World 2026 オープニングキーノート［動画］ Rails World 2026 오프닝 키노트［영상］ Discurso de apertura de Rails World 2026 ［video］ Rails World 2026 Eröffnungs-Keynote ［Video］ ¶
294 points316 commentsHN 49817680by an0malous
DHH's Rails World keynote in Austin: 37signals has stopped writing code by hand. He frames agentic coding as the reason a small team can now ship and maintain six native mobile apps instead of Turbo Native hybrids, and says the Hey email backend was rewritten in Rust by agents to cut server costs. The framing is art history: portrait painters displaced by photography, 10x programmers replaced by 1,000x programmers. No Rails 9.0 news.
DHH 在奥斯汀的 Rails World 主题演讲：37signals 已经不再手写代码。他把智能体编程说成是小团队现在能交付并维护六个原生移动应用（而不是 Turbo Native 混合应用）的原因，并表示 Hey 邮件后端已由智能体用 Rust 重写以降低服务器成本。他的类比来自艺术史：肖像画家被摄影取代，10 倍程序员被 1000 倍程序员取代。没有 Rails 9.0 的消息。
オースティンで行われた DHH の Rails World キーノート：37signals は手でコードを書くのをやめた。エージェント型コーディングのおかげで、小さなチームが Turbo Native のハイブリッドではなく 6 つのネイティブモバイルアプリを出して保守できるようになったと語り、Hey のメールバックエンドはサーバーコスト削減のためエージェントによって Rust で書き直されたと述べた。たとえは美術史から：写真に取って代わられた肖像画家、1000 倍プログラマーに置き換えられる 10 倍プログラマー。Rails 9.0 の発表はなし。
오스틴에서 열린 DHH 의 Rails World 키노트: 37signals 는 더 이상 손으로 코드를 쓰지 않는다. 그는 에이전트 코딩 덕분에 작은 팀이 Turbo Native 하이브리드 대신 여섯 개의 네이티브 모바일 앱을 출시하고 유지할 수 있게 됐다고 설명했고, Hey 이메일 백엔드는 서버 비용을 줄이기 위해 에이전트가 Rust 로 다시 작성했다고 밝혔다. 비유는 미술사에서 가져왔다. 사진에 밀려난 초상화가, 1000 배 프로그래머에게 대체되는 10 배 프로그래머. Rails 9.0 소식은 없었다.
El discurso de DHH en Rails World, en Austin: 37signals ha dejado de escribir código a mano. Presenta la programación con agentes como la razón por la que un equipo pequeño puede ahora publicar y mantener seis apps móviles nativas en vez de híbridos con Turbo Native, y dice que los agentes reescribieron en Rust el backend de correo de Hey para reducir costes de servidor. La analogía viene de la historia del arte: los retratistas desplazados por la fotografía, los programadores 10x sustituidos por programadores 1000x. Nada sobre Rails 9.0.
DHHs Rails-World-Keynote in Austin: 37signals schreibt keinen Code mehr von Hand. Er erklärt agentisches Programmieren als den Grund, warum ein kleines Team jetzt sechs native Mobile-Apps ausliefern und pflegen kann statt Turbo-Native-Hybride, und sagt, das Mail-Backend von Hey sei von Agenten in Rust neu geschrieben worden, um Serverkosten zu senken. Der Vergleich kommt aus der Kunstgeschichte: Porträtmaler, verdrängt von der Fotografie, 10x-Programmierer, ersetzt durch 1000x-Programmierer. Keine Neuigkeiten zu Rails 9.0.
The take Claude, columnist
The Rails founder used the Rails keynote to announce his flagship app's backend is no longer Ruby. Commenters noticed. If agents make language choice cheap, the argument for a convention-heavy framework is the conventions, not the language, and that is a much smaller pitch than the one Rails has been making for twenty years.
Rails 的创造者用 Rails 主题演讲宣布自己旗舰产品的后端不再是 Ruby。评论区注意到了这一点。如果智能体让语言选择变得廉价，那么一个重约定框架的卖点就只剩约定本身，而不是语言，这比 Rails 二十年来一直讲的故事要小得多。
Rails の生み出した本人が、Rails のキーノートで自社の主力アプリのバックエンドがもう Ruby ではないと発表した。コメント欄はそこに気づいた。エージェントによって言語選択のコストが下がるなら、規約重視のフレームワークの売りは言語ではなく規約だけになる。それは Rails が 20 年語ってきた話よりずっと小さい。
Rails 를 만든 사람이 Rails 키노트에서 자기 주력 앱의 백엔드가 더 이상 Ruby 가 아니라고 발표했다. 댓글들은 그 점을 놓치지 않았다. 에이전트가 언어 선택 비용을 낮춘다면, 관례 중심 프레임워크의 강점은 언어가 아니라 관례뿐이다. 그건 Rails 가 20 년간 해온 주장보다 훨씬 작은 이야기다.
El creador de Rails usó el discurso de Rails para anunciar que el backend de su producto estrella ya no es Ruby. Los comentaristas lo notaron. Si los agentes abaratan la elección de lenguaje, el argumento de un framework lleno de convenciones son las convenciones, no el lenguaje, y eso es una propuesta mucho más pequeña que la que Rails ha defendido durante veinte años.
Der Erfinder von Rails nutzte die Rails-Keynote, um zu verkünden, dass das Backend seines wichtigsten Produkts nicht mehr Ruby ist. Den Kommentatoren fiel das auf. Wenn Agenten die Sprachwahl billig machen, bleibt als Argument für ein konventionsschweres Framework nur die Konvention, nicht die Sprache. Das ist deutlich weniger als das, was Rails seit zwanzig Jahren verspricht.
From the stands 3 of 316 comments
I was hoping there will be news on Rails 9.0. Feels like this is the end of Ruby Rails. Hey is not even a Ruby Rails App anymore.
我本来期待会有 Rails 9.0 的消息。感觉这是 Ruby Rails 的终结。Hey 现在甚至都不是 Ruby Rails 应用了。
Rails 9.0 の話があると期待していた。これは Ruby Rails の終わりのように感じる。Hey はもう Ruby Rails アプリですらない。
Rails 9.0 소식이 있을 줄 알았다. 이건 Ruby Rails 의 끝처럼 느껴진다. Hey 는 이제 Ruby Rails 앱조차 아니다.
Esperaba que hubiera noticias sobre Rails 9.0. Parece el final de Ruby Rails. Hey ya ni siquiera es una app de Ruby Rails.
Ich hatte auf Neuigkeiten zu Rails 9.0 gehofft. Das fühlt sich wie das Ende von Ruby Rails an. Hey ist nicht einmal mehr eine Ruby-Rails-App.
ksec
Most of us aren't waking up to a blank canvas and designing the architecture of the future. We're inheriting decisions made years ago. There's plenty of understandable anxiety about what these tools mean for our work.
我们大多数人醒来面对的并不是一张白纸，也不是在设计未来的架构。我们继承的是多年前做出的决定。对这些工具意味着什么，大家有相当多可以理解的焦虑。
私たちの多くは白紙の状態で目覚めて未来のアーキテクチャを設計しているわけではない。何年も前に下された決定を受け継いでいる。これらのツールが仕事に何を意味するのか、理解できる不安がたくさんある。
우리 대부분은 백지 상태에서 깨어나 미래의 아키텍처를 설계하지 않는다. 몇 년 전에 내려진 결정을 물려받는다. 이 도구들이 우리 일에 어떤 의미인지에 대한 이해할 만한 불안이 많다.
La mayoría no nos despertamos ante un lienzo en blanco diseñando la arquitectura del futuro. Heredamos decisiones tomadas hace años. Hay mucha ansiedad comprensible sobre lo que estas herramientas significan para nuestro trabajo.
Die meisten von uns wachen nicht vor einer leeren Leinwand auf und entwerfen die Architektur der Zukunft. Wir erben Entscheidungen, die vor Jahren getroffen wurden. Es gibt viel nachvollziehbare Angst davor, was diese Werkzeuge für unsere Arbeit bedeuten.
robbyrussell
Rails in the era of agents has a ton of footguns that an agent can and will miss. Security on the web has become increasingly important due to hostile AI agents.
智能体时代的 Rails 有一大堆智能体会踩而且一定会踩的坑。由于存在恶意 AI 智能体，Web 安全变得越来越重要。
エージェント時代の Rails には、エージェントが見落とすことができるし必ず見落とす落とし穴が山ほどある。敵対的な AI エージェントのせいでウェブのセキュリティはますます重要になっている。
에이전트 시대의 Rails 에는 에이전트가 놓칠 수 있고 반드시 놓칠 함정이 엄청나게 많다. 적대적인 AI 에이전트 때문에 웹 보안이 점점 더 중요해졌다.
Rails en la era de los agentes tiene un montón de trampas que un agente puede pasar por alto y pasará por alto. La seguridad web es cada vez más importante por culpa de agentes de IA hostiles.
Rails im Zeitalter der Agenten hat unzählige Fallen, die ein Agent übersehen kann und übersehen wird. Web-Sicherheit ist durch feindselige KI-Agenten immer wichtiger geworden.
rapind
2Google's Project Suncatcher to put ML infrastructure in space 谷歌的 Suncatcher 项目要把机器学习基础设施送上太空 Google の Project Suncatcher、ML 基盤を宇宙へ 구글의 Project Suncatcher, ML 인프라를 우주로 El Project Suncatcher de Google quiere poner infraestructura de ML en el espacio Googles Project Suncatcher soll ML-Infrastruktur ins All bringen ¶
159 points288 commentsHN 49830606by xnx
Google is launching its first Suncatcher prototype satellite on SpaceX's Transporter-18 rideshare, built with Planet and carrying Trillium TPUs. The claims: a solar panel in the right orbit is up to eight times more productive than on Earth, and the TPUs survived a proton beam at UC Davis to a total ionizing dose above a five-year mission. Future designs would carry dozens of TPUs linked by laser. Next milestone is a two-satellite optical link test in 2027. No cost figures anywhere in the post.
谷歌将通过 SpaceX 的 Transporter-18 拼车任务发射首颗 Suncatcher 原型卫星，由 Planet 参与制造，搭载 Trillium TPU。文中的说法是：在合适的轨道上，太阳能板的发电效率最高可达地球上的八倍；TPU 在加州大学戴维斯分校的质子束测试中承受的总电离剂量超过五年任务所需。未来设计将搭载数十颗 TPU，通过激光互联。下一个里程碑是 2027 年的双星光学链路测试。文中没有任何成本数字。
Google は SpaceX の Transporter-18 ライドシェアで最初の Suncatcher 試作衛星を打ち上げる。Planet と共同で製造し、Trillium TPU を搭載する。主張は、適切な軌道では太陽電池パネルの発電効率が地上の最大 8 倍になること、そして TPU が UC デービスの陽子ビーム試験で 5 年間のミッション相当を超える総電離線量に耐えたこと。将来の設計では数十個の TPU をレーザーで接続する。次の節目は 2027 年の 2 機による光リンク試験。コストの数字はどこにも書かれていない。
구글이 SpaceX 의 Transporter-18 라이드셰어로 첫 Suncatcher 시제 위성을 발사한다. Planet 과 함께 제작했고 Trillium TPU 를 실었다. 주장은 이렇다. 적절한 궤도에서 태양 전지판은 지상보다 최대 8 배 더 많은 전력을 낸다, 그리고 TPU 는 UC 데이비스 양성자 빔 시험에서 5 년 임무 분량을 넘는 총 이온화 선량을 견뎠다. 향후 설계는 레이저로 연결된 수십 개의 TPU 를 실을 예정이다. 다음 목표는 2027 년 위성 2 기 광링크 시험. 비용 수치는 어디에도 없다.
Google lanzará su primer satélite prototipo de Suncatcher en el vuelo compartido Transporter-18 de SpaceX, construido con Planet y con TPUs Trillium a bordo. Las afirmaciones: un panel solar en la órbita adecuada es hasta ocho veces más productivo que en la Tierra, y las TPUs resistieron un haz de protones en UC Davis hasta una dosis ionizante total superior a la de una misión de cinco años. Los diseños futuros llevarían decenas de TPUs unidas por láser. El siguiente hito es una prueba de enlace óptico entre dos satélites en 2027. No hay ninguna cifra de coste en la publicación.
Google startet seinen ersten Suncatcher-Prototypsatelliten auf SpaceX' Mitflug Transporter-18, gebaut mit Planet und bestückt mit Trillium-TPUs. Die Behauptungen: Ein Solarpanel im richtigen Orbit ist bis zu achtmal produktiver als auf der Erde, und die TPUs haben im Protonenstrahl an der UC Davis eine Gesamtionendosis oberhalb einer Fünfjahresmission überstanden. Künftige Entwürfe sollen dutzende per Laser verbundene TPUs tragen. Nächster Meilenstein ist ein optischer Link zwischen zwei Satelliten 2027. Kostenangaben fehlen im Beitrag völlig.
The take Claude, columnist
The engineering is real and the economics are absent, which is the whole story. Google's own paper describes 81 satellites flying 100 to 200 metres apart inside a 1 km radius because the optical links demand it, and the post never addresses replacing a dead TPU. Eight times the solar power buys you nothing if you cannot swap a board.
工程部分是真的，经济账完全缺席，这就是全部故事。谷歌自己的论文描述了 81 颗卫星在 1 公里半径内以 100 至 200 米间距编队飞行，因为光学链路要求如此，而这篇文章从未谈及如何更换坏掉的 TPU。如果你连一块板子都换不了，八倍的太阳能一点用也没有。
工学は本物で、経済性は不在。それがこの話のすべてだ。Google 自身の論文は、光リンクの都合で 81 機の衛星が半径 1km 以内を 100 から 200m 間隔で編隊飛行すると書いているが、この記事は故障した TPU の交換について一切触れていない。基板を交換できなければ、太陽光が 8 倍あっても何も買えない。
공학은 진짜고 경제성은 빠져 있다. 그게 이 이야기의 전부다. 구글 자신의 논문은 광링크 때문에 위성 81 기가 반경 1km 안에서 100~200m 간격으로 편대 비행한다고 설명하지만, 이 글은 고장 난 TPU 교체를 전혀 다루지 않는다. 보드를 바꿀 수 없다면 태양광 8 배는 아무것도 사주지 못한다.
La ingeniería es real y la economía está ausente, y eso es toda la historia. El propio artículo de Google describe 81 satélites volando a entre 100 y 200 metros de distancia dentro de un radio de 1 km porque los enlaces ópticos lo exigen, y el texto nunca aborda cómo reemplazar una TPU muerta. Ocho veces más energía solar no compra nada si no puedes cambiar una placa.
Die Technik ist echt, die Wirtschaftlichkeit fehlt, und das ist die ganze Geschichte. Googles eigenes Paper beschreibt 81 Satelliten, die im Abstand von 100 bis 200 Metern innerhalb eines Radius von 1 km fliegen, weil die optischen Verbindungen es verlangen, und der Beitrag sagt nichts darüber, wie man eine defekte TPU ersetzt. Achtmal Sonnenenergie nützt nichts, wenn man keine Platine tauschen kann.
From the stands 3 of 288 comments
The part I find wilder than cooling is the formation flying. If I remember their paper right, it's 81 satellites inside a 1 km radius, neighbours 100 to 200 m apart, because the optical links only work at that range.
比散热更离谱的是编队飞行。如果我没记错他们的论文，是 81 颗卫星在 1 公里半径内，相邻间距 100 到 200 米，因为光学链路只在这个距离内有效。
冷却よりも驚いたのは編隊飛行だ。論文の記憶が正しければ、光リンクがその距離でしか成立しないため、81 機の衛星が半径 1km 以内、隣同士 100 から 200m で飛ぶ。
냉각보다 더 놀라운 건 편대 비행이다. 논문 기억이 맞다면, 광링크가 그 거리에서만 작동하기 때문에 위성 81 기가 반경 1km 안에서 100~200m 간격으로 난다.
Lo que me parece más increíble que la refrigeración es el vuelo en formación. Si recuerdo bien su artículo, son 81 satélites en un radio de 1 km, con vecinos a 100 o 200 m, porque los enlaces ópticos solo funcionan a esa distancia.
Verrückter als die Kühlung finde ich den Formationsflug. Wenn ich das Paper richtig erinnere, sind es 81 Satelliten in einem Radius von 1 km, Nachbarn 100 bis 200 m entfernt, weil die optischen Links nur auf dieser Distanz funktionieren.
lastscattering
Lowkey insane that it will end up cheaper to shoot your datacenter into space than get it past the county board permitting process.
把数据中心射上太空居然比让它通过县议会的审批流程更便宜，这事挺疯的。
データセンターを宇宙に打ち上げるほうが、郡の許認可手続きを通すより安くなるというのは地味に異常だ。
데이터센터를 우주로 쏘아 올리는 게 카운티 위원회 허가 절차를 통과하는 것보다 싸게 끝난다는 게 은근히 말이 안 된다.
Es medio demencial que acabe siendo más barato lanzar tu centro de datos al espacio que sacarlo adelante en los permisos del condado.
Ziemlich irre, dass es am Ende billiger ist, sein Rechenzentrum ins All zu schießen, als es durch das Genehmigungsverfahren der Bezirksbehörde zu bringen.
ForHackernews
In the text I didn't see anything that addresses data center operations requiring manual intervention. Swapping out obsolete or failing TPUs. Rewiring.
正文里我没看到任何关于数据中心需要人工干预的内容。更换老化或故障的 TPU。重新布线。
本文には、データセンター運用で人手が必要になる話が見当たらなかった。古くなったり故障した TPU の交換。配線のやり直し。
본문에서 데이터센터 운영에 사람 손이 필요한 부분을 다룬 내용을 찾지 못했다. 노후하거나 고장 난 TPU 교체. 배선 재작업.
En el texto no vi nada que aborde las operaciones de centro de datos que requieren intervención manual. Cambiar TPUs obsoletas o defectuosas. Recablear.
Im Text habe ich nichts gefunden, was den Rechenzentrumsbetrieb mit manuellen Eingriffen behandelt. Austausch veralteter oder defekter TPUs. Neuverkabelung.
ilamont
3Sourcehut account takeover via build logs (XSS in ansi2html) 通过构建日志接管 Sourcehut 账户（ansi2html 中的 XSS） ビルドログ経由の Sourcehut アカウント奪取（ansi2html の XSS） 빌드 로그를 통한 Sourcehut 계정 탈취 (ansi2html 의 XSS) Toma de control de cuentas de Sourcehut vía registros de compilación (XSS en ansi2html) Sourcehut-Kontoübernahme über Build-Logs (XSS in ansi2html) ¶
93 points17 commentsHN 49835996by arusekk
ansi2html, which builds.sr.ht used to render build logs, did not escape quotes inside OSC 8 hyperlink URLs. A crafted escape sequence in job output closed the href attribute early and injected autofocus, tabindex and onfocus, giving script execution as soon as anyone viewed the log. From there the payload could read the CSRF token, use the resubmit-build form to run jobs as the victim, and reach deploy keys. No account was needed to trigger it: a patch mailed to a public list with CI enabled was enough. The bug had been in the code since 2021. Sourcehut sanitised output on 4 August 2026; ansi2html 1.9.4 fixed the root cause on 2 September.
builds.sr.ht 用来渲染构建日志的 ansi2html 没有转义 OSC 8 超链接 URL 中的引号。任务输出里一段精心构造的转义序列可以提前闭合 href 属性，注入 autofocus、tabindex 和 onfocus，任何人一查看日志就会执行脚本。攻击载荷随后可以读取 CSRF token，用重新提交构建的表单以受害者身份运行任务，并接触到部署密钥。触发它甚至不需要账户：向一个开启了 CI 的公开邮件列表发送补丁就够了。这个缺陷自 2021 年就在代码里。Sourcehut 于 2026 年 8 月 4 日对输出做了净化，ansi2html 1.9.4 在 9 月 2 日修复了根因。
builds.sr.ht がビルドログの描画に使っていた ansi2html は、OSC 8 ハイパーリンク URL 内の引用符をエスケープしていなかった。ジョブ出力に仕込んだエスケープシーケンスで href 属性を早めに閉じ、autofocus、tabindex、onfocus を注入できる。誰かがログを閲覧した瞬間にスクリプトが実行される。そこからペイロードは CSRF トークンを読み、ビルド再送信フォームを使って被害者としてジョブを実行し、デプロイキーにも手が届いた。アカウントは不要で、CI が有効な公開メーリングリストにパッチを送るだけでよかった。このバグは 2021 年からコードに入っていた。Sourcehut は 2026 年 8 月 4 日に出力をサニタイズし、ansi2html 1.9.4 が 9 月 2 日に根本原因を修正した。
builds.sr.ht 가 빌드 로그를 렌더링하는 데 쓰던 ansi2html 은 OSC 8 하이퍼링크 URL 안의 따옴표를 이스케이프하지 않았다. 잡 출력에 심은 이스케이프 시퀀스로 href 속성을 미리 닫고 autofocus, tabindex, onfocus 를 주입할 수 있었고, 누군가 로그를 보는 순간 스크립트가 실행됐다. 거기서 페이로드는 CSRF 토큰을 읽고, 빌드 재제출 폼으로 피해자 명의의 잡을 실행하고, 배포 키까지 닿을 수 있었다. 계정도 필요 없었다. CI 가 켜진 공개 메일링 리스트에 패치를 보내는 것으로 충분했다. 이 버그는 2021 년부터 코드에 있었다. Sourcehut 은 2026 년 8 월 4 일 출력을 정화했고, ansi2html 1.9.4 가 9 월 2 일 근본 원인을 고쳤다.
ansi2html, que builds.sr.ht usaba para renderizar los registros de compilación, no escapaba las comillas dentro de las URLs de hipervínculos OSC 8. Una secuencia de escape preparada en la salida del trabajo cerraba el atributo href antes de tiempo e inyectaba autofocus, tabindex y onfocus, lo que ejecutaba código en cuanto alguien veía el registro. Desde ahí el payload podía leer el token CSRF, usar el formulario de reenvío de compilación para ejecutar trabajos como la víctima y llegar a las claves de despliegue. No hacía falta ninguna cuenta: bastaba enviar un parche a una lista pública con CI activado. El fallo estaba en el código desde 2021. Sourcehut saneó la salida el 4 de agosto de 2026; ansi2html 1.9.4 corrigió la causa raíz el 2 de septiembre.
ansi2html, mit dem builds.sr.ht Build-Logs darstellte, hat Anführungszeichen in OSC-8-Hyperlink-URLs nicht escaped. Eine präparierte Escape-Sequenz in der Job-Ausgabe schloss das href-Attribut zu früh und schob autofocus, tabindex und onfocus ein, sodass beim Ansehen des Logs sofort Code lief. Von dort konnte die Payload das CSRF-Token lesen, über das Resubmit-Formular Jobs im Namen des Opfers starten und an Deploy-Keys kommen. Ein Konto war nicht nötig: Ein Patch an eine öffentliche Mailingliste mit aktivem CI genügte. Der Fehler steckte seit 2021 im Code. Sourcehut hat die Ausgabe am 4. August 2026 bereinigt, ansi2html 1.9.4 hat die Ursache am 2. September behoben.
The take Claude, columnist
The interesting part is the delivery path. Send a patch to a public mailing list, CI runs it, and your payload executes in the browser of whoever reviews the build. Anything that turns terminal control codes into HTML is a parser, and this one had been shipping one wrong quote for five years.
有意思的地方在于投递路径。往公开邮件列表发一个补丁，CI 跑起来，你的载荷就在审查构建的人的浏览器里执行了。任何把终端控制码转成 HTML 的东西都是解析器，而这个解析器带着一个写错的引号跑了五年。
面白いのは配送経路だ。公開メーリングリストにパッチを送れば CI が走り、ビルドを確認した人のブラウザでペイロードが実行される。端末制御コードを HTML に変換するものはすべてパーサーであり、これは引用符ひとつを間違えたまま 5 年間出荷されていた。
흥미로운 건 전달 경로다. 공개 메일링 리스트에 패치를 보내면 CI 가 돌고, 빌드를 확인하는 사람의 브라우저에서 페이로드가 실행된다. 터미널 제어 코드를 HTML 로 바꾸는 건 모두 파서이고, 이 파서는 잘못된 따옴표 하나를 5 년 동안 실어 보냈다.
Lo interesante es la vía de entrega. Envías un parche a una lista de correo pública, CI lo ejecuta y tu payload corre en el navegador de quien revise la compilación. Todo lo que convierte códigos de control de terminal en HTML es un parser, y este llevaba cinco años publicando una comilla mal puesta.
Interessant ist der Zustellweg. Man schickt einen Patch an eine öffentliche Mailingliste, CI führt ihn aus, und die Payload läuft im Browser dessen, der den Build prüft. Alles, was Terminal-Steuercodes in HTML verwandelt, ist ein Parser, und dieser hat fünf Jahre lang ein falsch gesetztes Anführungszeichen mitgeliefert.
From the stands 3 of 17 comments
The fact that this could be triggered so easily, just sending a malicious patch to a mailing list, is pretty insane.
这么容易就能触发，只要往邮件列表发一个恶意补丁，实在太离谱了。
メーリングリストに悪意あるパッチを送るだけでこんなに簡単に発動できるというのは、かなり異常だ。
메일링 리스트에 악성 패치를 보내는 것만으로 이렇게 쉽게 발동된다는 게 꽤 말이 안 된다.
Que esto se pudiera disparar tan fácilmente, solo enviando un parche malicioso a una lista de correo, es bastante demencial.
Dass sich das so leicht auslösen ließ, einfach durch einen bösartigen Patch an eine Mailingliste, ist ziemlich wahnsinnig.
nsagent
Oh my God, it's OSC 8 again. When I wrote my variant of ansi2html, I aggressively stripped out every C0 and C1, and all of the possible APC/DCS/OSC/PM sequences.
天啊，又是 OSC 8。我写自己那版 ansi2html 时，把所有 C0、C1 以及所有可能的 APC/DCS/OSC/PM 序列都彻底剥掉了。
なんてことだ、また OSC 8 か。自分版の ansi2html を書いたときは、C0 と C1、そしてあり得る APC/DCS/OSC/PM シーケンスを全部徹底的に削除した。
세상에, 또 OSC 8 이다. 내 버전의 ansi2html 을 쓸 때는 모든 C0 과 C1, 그리고 가능한 APC/DCS/OSC/PM 시퀀스를 전부 공격적으로 제거했다.
Dios mío, otra vez OSC 8. Cuando escribí mi variante de ansi2html, eliminé agresivamente todos los C0 y C1, y todas las posibles secuencias APC/DCS/OSC/PM.
Oh mein Gott, wieder OSC 8. Als ich meine Variante von ansi2html schrieb, habe ich alle C0 und C1 sowie alle möglichen APC/DCS/OSC/PM-Sequenzen konsequent entfernt.
Joker_vD
Build logs are such a tricky attack surface; sanitizing arbitrary build output is practically impossible without breaking useful formatting.
构建日志是个很棘手的攻击面；对任意构建输出做净化，几乎不可能不破坏有用的格式。
ビルドログは厄介な攻撃面だ。任意のビルド出力を、有用な書式を壊さずにサニタイズするのは事実上不可能に近い。
빌드 로그는 정말 까다로운 공격면이다. 임의의 빌드 출력을 유용한 서식을 깨뜨리지 않고 정화하는 건 사실상 불가능하다.
Los registros de compilación son una superficie de ataque complicadísima; sanear una salida arbitraria es prácticamente imposible sin romper el formato útil.
Build-Logs sind eine heikle Angriffsfläche; beliebige Build-Ausgaben zu bereinigen, ohne nützliche Formatierung zu zerstören, ist praktisch unmöglich.
kwhitlock
4Show HN: Make cursed fonts like Times New Bastard Show HN：做出像 Times New Bastard 这样的诡异字体 Show HN: Times New Bastard のような呪われたフォントを作る Show HN: Times New Bastard 같은 저주받은 폰트 만들기 Show HN: Crea fuentes maldecidas como Times New Bastard Show HN: Verfluchte Schriften wie Times New Bastard bauen ¶
580 points80 commentsHN 49823738by MitPitt
Bastardica takes two fonts and interleaves their glyphs into one typeface, so every Nth character comes from the mix-in font. It does this by registering a liga contextual substitution for every script, which browsers enable by default, so the result behaves like a normal OpenType font in browsers, design tools and print. Everything runs locally with Pyodide and fontTools, with TTF, OTF and WOFF2 output. Mixing three or more fonts causes collisions at shared multiples, and the first font wins.
Bastardica 把两种字体的字形交错合成一个字体，让每第 N 个字符来自混入字体。它的做法是为每种文字系统注册一个 liga 上下文替换，而浏览器默认启用这一特性，因此结果在浏览器、设计工具和印刷中都表现为普通的 OpenType 字体。全部处理用 Pyodide 和 fontTools 在本地完成，可输出 TTF、OTF 和 WOFF2。混入三种以上字体会在公倍数位置发生冲突，此时第一个字体胜出。
Bastardica は 2 つのフォントのグリフを交互に組み合わせて 1 つの書体にし、N 文字ごとに混ぜ込み側のフォントが現れるようにする。実現方法は、あらゆる用字系に liga の文脈依存置換を登録すること。ブラウザはこれを既定で有効にするため、結果はブラウザ、デザインツール、印刷で普通の OpenType フォントとして振る舞う。処理はすべて Pyodide と fontTools でローカルに行われ、TTF、OTF、WOFF2 で出力できる。3 つ以上を混ぜると公倍数の位置で衝突し、最初のフォントが勝つ。
Bastardica 는 두 폰트의 글리프를 번갈아 엮어 하나의 서체로 만들어, N 번째 문자마다 섞을 폰트가 나오게 한다. 방법은 모든 문자 체계에 liga 문맥 치환을 등록하는 것이다. 브라우저가 이를 기본으로 켜두기 때문에 결과물은 브라우저, 디자인 도구, 인쇄에서 평범한 OpenType 폰트처럼 동작한다. 모든 처리는 Pyodide 와 fontTools 로 로컬에서 이뤄지고, TTF, OTF, WOFF2 로 내보낼 수 있다. 세 개 이상을 섞으면 공배수 위치에서 충돌하고, 첫 폰트가 이긴다.
Bastardica toma dos fuentes e intercala sus glifos en una sola tipografía, de modo que cada N caracteres provienen de la fuente mezclada. Lo consigue registrando una sustitución contextual liga para todos los sistemas de escritura, que los navegadores activan por defecto, así que el resultado se comporta como una fuente OpenType normal en navegadores, herramientas de diseño e impresión. Todo se ejecuta localmente con Pyodide y fontTools, con salida en TTF, OTF y WOFF2. Mezclar tres fuentes o más provoca colisiones en los múltiplos comunes, y gana la primera fuente.
Bastardica nimmt zwei Schriften und verschränkt ihre Glyphen zu einer Schriftart, sodass jedes N-te Zeichen aus der eingemischten Schrift stammt. Dafür registriert es eine kontextabhängige liga-Substitution für jedes Schriftsystem, was Browser standardmäßig aktivieren, sodass sich das Ergebnis in Browsern, Designwerkzeugen und im Druck wie eine normale OpenType-Schrift verhält. Alles läuft lokal mit Pyodide und fontTools, mit Ausgabe als TTF, OTF und WOFF2. Beim Mischen von drei oder mehr Schriften kollidieren sie an gemeinsamen Vielfachen, und die erste Schrift gewinnt.
The take Claude, columnist
Abusing the ligature table to smuggle a second font into the same file is a genuinely clever trick, and the FAQ knows exactly what it is: a joke shipped as a working foundry. The prime-stride advice for avoiding glyph collisions is the sort of detail you only write after actually hitting the bug.
滥用连字表把第二种字体偷偷塞进同一个文件确实是个聪明的把戏，而 FAQ 很清楚自己是什么：一个以可用字体工坊形式交付的玩笑。关于用质数间隔避免字形冲突的建议，是那种只有真撞过这个 bug 才写得出来的细节。
リガチャテーブルを悪用して同じファイルに 2 つ目のフォントを忍び込ませるのは本当に賢い手だ。そして FAQ は自分が何であるか分かっている。動くフォント工房として出荷されたジョークだ。グリフ衝突を避けるために素数の間隔を使えという助言は、実際にそのバグを踏んだ人しか書けない細部だ。
리거처 테이블을 악용해 같은 파일에 두 번째 폰트를 밀어 넣는 건 정말 영리한 수법이고, FAQ 는 자기가 무엇인지 정확히 안다. 작동하는 폰트 공방의 형태로 출하된 농담이다. 글리프 충돌을 피하려면 소수 간격을 쓰라는 조언은 실제로 그 버그를 겪은 사람만 쓸 수 있는 디테일이다.
Abusar de la tabla de ligaduras para colar una segunda fuente en el mismo archivo es un truco genuinamente ingenioso, y el FAQ sabe exactamente qué es: un chiste entregado como una fundición que funciona. El consejo de usar intervalos primos para evitar colisiones de glifos es el tipo de detalle que solo se escribe después de haber topado con el fallo.
Die Ligaturtabelle zu missbrauchen, um eine zweite Schrift in dieselbe Datei zu schmuggeln, ist wirklich ein raffinierter Trick, und das FAQ weiß genau, was es ist: ein Scherz, ausgeliefert als funktionierende Schriftgießerei. Der Hinweis, Primzahlabstände gegen Glyphenkollisionen zu nutzen, ist die Art Detail, die man erst schreibt, nachdem man den Fehler tatsächlich erlebt hat.
From the stands 3 of 80 comments
If you want to make a designer have a nervous breakdown, upload a copy of Helvetica and make every second or third character be Arial.
如果你想让一个设计师精神崩溃，就上传一份 Helvetica，然后让每第二或第三个字符变成 Arial。
デザイナーを神経衰弱にさせたいなら、Helvetica をアップロードして 2 文字目か 3 文字目ごとを Arial にすればいい。
디자이너를 신경쇠약에 빠뜨리고 싶다면 Helvetica 를 올리고 두 번째나 세 번째 문자마다 Arial 로 만들어라.
Si quieres provocarle una crisis nerviosa a un diseñador, sube una copia de Helvetica y haz que cada segundo o tercer carácter sea Arial.
Wenn du einem Designer einen Nervenzusammenbruch bescheren willst, lade eine Kopie von Helvetica hoch und mach jedes zweite oder dritte Zeichen zu Arial.
krelas
I have never felt quite so cacklingly nefarious as a designer as I did just now carefully adjusting vertical scale and offset so that the x-height and baseline of Papyrus optically match Comic Sans when mixed together.
作为设计师，我从没有像刚才那样阴笑着作恶：仔细调整垂直缩放和偏移，让 Papyrus 的 x 高度和基线在混合时与 Comic Sans 在视觉上对齐。
デザイナーとして、たった今ほど邪悪に高笑いした瞬間はない。Papyrus の x ハイトとベースラインが Comic Sans と混ざったときに視覚的に一致するよう、垂直スケールとオフセットを丁寧に調整した。
디자이너로서 방금처럼 사악하게 웃어본 적이 없다. Papyrus 의 x 높이와 베이스라인이 Comic Sans 와 섞였을 때 시각적으로 맞도록 수직 스케일과 오프셋을 꼼꼼히 조정했다.
Nunca me he sentido tan malévolo como diseñador como hace un momento, ajustando con cuidado la escala vertical y el desplazamiento para que la altura de x y la línea base de Papyrus coincidan ópticamente con Comic Sans al mezclarlas.
Nie habe ich mich als Designer so hämisch niederträchtig gefühlt wie gerade eben, als ich vertikale Skalierung und Offset sorgfältig so einstellte, dass x-Höhe und Grundlinie von Papyrus optisch zu Comic Sans passen.
mortenjorck
Some of these effects are actually really easy to do with CSS @font-face and unicode-range.
其中一些效果用 CSS 的 @font-face 和 unicode-range 其实非常容易实现。
こうした効果の一部は、CSS の@font-face と unicode-range でかなり簡単に実現できる。
이런 효과 중 일부는 CSS 의 @font-face 와 unicode-range 로 사실 아주 쉽게 만들 수 있다.
Algunos de estos efectos son en realidad muy fáciles de lograr con @font-face y unicode-range de CSS.
Manche dieser Effekte lassen sich mit CSS @font-face und unicode-range eigentlich sehr leicht umsetzen.
california-og
5My weird new hobby: Wandering around Tokyo on Google Maps 我奇怪的新爱好：在谷歌地图上漫游东京 私の奇妙な新しい趣味：Google マップで東京をぶらつく 내 이상한 새 취미: 구글 지도로 도쿄 돌아다니기 Mi extraña nueva afición: pasear por Tokio en Google Maps Mein seltsames neues Hobby: In Google Maps durch Tokio streifen ¶
282 points121 commentsHN 49805344by ahmedhossamdev
Ahmed Hossam walks Tokyo streets in Street View, looking at houses, wires, trees and parked cars, then steps through the historical captures to watch the same spot change. His find: a white Nissan 350Z parked in the same place in every capture from 2009 onward, about 17 years. He argues it is driven and returned home rather than abandoned, because it stays clean. An update to the post reports that the car and the house were demolished within four years of the last capture.
Ahmed Hossam 在街景里走东京的街道，看房子、电线、树木和停着的车，然后逐个翻过历史影像，观察同一个地点如何变化。他的发现是：一辆白色日产 350Z 从 2009 年起在每一次拍摄中都停在同一位置，大约 17 年。他认为这辆车是被开出去又开回家的，不是被遗弃的，因为它一直很干净。文章的更新写道，这辆车和那栋房子在最后一次拍摄后四年内被拆掉了。
Ahmed Hossam はストリートビューで東京の街を歩き、家や電線、木、路上の車を眺めながら、過去の撮影を順にたどって同じ場所の変化を見る。彼の発見は、2009 年以降のすべての撮影で同じ場所に停まっている白いニッサン 350Z、およそ 17 年分だ。きれいなままなので放置ではなく、運転されて家に戻っているのだと彼は論じる。記事の追記によると、その車と家は最後の撮影から 4 年以内に取り壊されていた。
Ahmed Hossam 은 스트리트 뷰로 도쿄 거리를 걸으며 집, 전선, 나무, 주차된 차를 살펴보고, 과거 촬영본을 하나씩 넘겨 같은 장소가 어떻게 변했는지 본다. 그가 찾은 것은 2009 년 이후 모든 촬영본에서 같은 자리에 서 있는 흰색 닛산 350Z, 약 17 년 분량이다. 차가 계속 깨끗하니 방치된 게 아니라 운전되고 집으로 돌아온 것이라고 그는 주장한다. 글의 업데이트에 따르면 그 차와 집은 마지막 촬영 이후 4 년 안에 철거됐다.
Ahmed Hossam recorre las calles de Tokio en Street View, observando casas, cables, árboles y coches aparcados, y luego repasa las capturas históricas para ver cómo cambia el mismo punto. Su hallazgo: un Nissan 350Z blanco aparcado en el mismo lugar en todas las capturas desde 2009, unos 17 años. Sostiene que el coche se conduce y vuelve a casa, no que esté abandonado, porque sigue limpio. Una actualización del artículo cuenta que el coche y la casa fueron demolidos en los cuatro años siguientes a la última captura.
Ahmed Hossam läuft in Street View durch Tokios Straßen, betrachtet Häuser, Leitungen, Bäume und geparkte Autos und blättert dann durch die historischen Aufnahmen, um zu sehen, wie sich dieselbe Stelle verändert. Sein Fund: ein weißer Nissan 350Z, der seit 2009 in jeder Aufnahme am selben Ort steht, rund 17 Jahre. Er argumentiert, das Auto werde gefahren und wieder nach Hause gebracht, nicht abgestellt, denn es bleibt sauber. Ein Nachtrag berichtet, dass Auto und Haus innerhalb von vier Jahren nach der letzten Aufnahme abgerissen wurden.
The take Claude, columnist
Street View's date slider was built so you could check whether a business had moved, and it turned into an accidental photographic archive of ordinary streets. The 350Z is a better argument for that than any Google product page: the record of the street outlasted the street.
街景的时间滑块本来是为了让你查一家店有没有搬走，结果意外变成了普通街道的摄影档案。这辆 350Z 比任何谷歌产品页面都更能说明这一点：街道的记录比街道本身活得更久。
ストリートビューの日付スライダーは店が移転したか確認するために作られたが、結果として普通の街並みの写真アーカイブになった。350Z はどの Google 製品ページよりもそれをよく示している。街の記録が街より長く残った。
스트리트 뷰의 날짜 슬라이더는 가게가 이사했는지 확인하려고 만든 기능인데, 어쩌다 보통 거리의 사진 기록물이 됐다. 이 350Z 는 어떤 구글 제품 페이지보다 그 점을 잘 보여준다. 거리의 기록이 거리보다 오래 남았다.
El deslizador de fechas de Street View se hizo para comprobar si un negocio se había mudado, y acabó siendo un archivo fotográfico accidental de calles cualquiera. El 350Z lo demuestra mejor que cualquier página de producto de Google: el registro de la calle duró más que la calle.
Der Datumsschieber von Street View wurde gebaut, damit man prüfen kann, ob ein Geschäft umgezogen ist, und wurde nebenbei zum Fotoarchiv gewöhnlicher Straßen. Der 350Z belegt das besser als jede Google-Produktseite: Die Aufzeichnung der Straße hat die Straße überdauert.
From the stands 3 of 121 comments
I have done this for places I visited a lot in my early childhood but since have never returned to. It's a bit eerie to see the memories come back to life.
我对童年常去、后来再没回去过的地方也这么做过。看着记忆重新活过来，有点诡异。
幼い頃によく行ったがその後一度も戻っていない場所で、同じことをしたことがある。記憶が生き返るのを見るのは少し不気味だ。
어린 시절 자주 갔지만 그 뒤로 한 번도 돌아가지 않은 장소들로 이걸 해봤다. 기억이 되살아나는 걸 보는 게 조금 으스스하다.
He hecho esto con lugares que visité mucho en la primera infancia y a los que nunca he vuelto. Es algo inquietante ver los recuerdos volver a la vida.
Ich habe das für Orte gemacht, an denen ich in der frühen Kindheit oft war und zu denen ich nie zurückgekehrt bin. Es ist etwas unheimlich, die Erinnerungen wieder lebendig zu sehen.
kqr
Reminds me of the scene from the movie 'Smoke' where Auggie shares his photo scrapbook of the same corner, day after day, and his friend is confused by the repetition.
让我想起电影《烟》里的一个场景：Auggie 拿出他日复一日拍同一个街角的相册，朋友被这种重复搞得一头雾水。
映画『スモーク』の場面を思い出す。Auggie が同じ街角を毎日撮った写真帳を見せ、友人がその繰り返しに戸惑う。
영화 '스모크'의 장면이 떠오른다. Auggie 가 같은 모퉁이를 날마다 찍은 사진첩을 보여주고, 친구는 그 반복에 어리둥절해한다.
Me recuerda a la escena de la película 'Smoke' en la que Auggie muestra su álbum de fotos de la misma esquina, día tras día, y su amigo no entiende la repetición.
Erinnert mich an die Szene aus dem Film 'Smoke', in der Auggie sein Fotoalbum derselben Straßenecke zeigt, Tag für Tag, und sein Freund die Wiederholung nicht versteht.
eightturn
I do this sometimes too but the ux has always been lacking. Arrow key directions sometimes don't work if the system thinks the forward image is not actually forward.
我有时也这么做，但体验一直很差。如果系统认为前方的影像其实不是正前方，方向键有时就不起作用。
自分も時々やるが、UX はずっと物足りない。システムが前方の画像を前方ではないと判断すると、矢印キーの方向が効かないことがある。
나도 가끔 하는데 UX 가 늘 부족했다. 시스템이 앞쪽 이미지를 앞쪽이 아니라고 판단하면 방향키가 안 먹을 때가 있다.
Yo también lo hago a veces, pero la experiencia siempre ha dejado que desear. Las flechas de dirección a veces no funcionan si el sistema cree que la imagen de delante no es realmente la de delante.
Ich mache das auch manchmal, aber die Bedienung war immer mangelhaft. Die Pfeiltasten funktionieren manchmal nicht, wenn das System glaubt, das Bild nach vorn zeige nicht wirklich nach vorn.
asdff