posts
这里是全站文章的归档入口，下面是按时间倒序排列的全部文章。若想按主题浏览，请从首页的专题分类进入。
系统讲解 Linux 强制访问控制（MAC）：DAC 与 MAC 的本质区别、SELinux 的上下文（user/role/type/level）与策略模型、enforcing/permissive 模式与 booleans 开关、chcon/semanage/restorecon 与 audit2allow 排错、AppArmor profile 语法与 Ubuntu 实践、两大发行版差异对比，以及容器与 Kubernetes 场景下的 MAC 落地经验。
实测三类非普通目录的模块来源：PEP 420 命名空间包的 _NamespacePath 动态 __path__、相对导入靠 __package__ 解析与「no known parent package」报错复现、zipimport 从压缩包加载，以及冻结模块的 origin='frozen' 与 __file__ 归属。
亲手实现 MetaPathFinder 与 Loader 拦截导入，实测 sys.path_hooks、path_importer_cache、.pth 文件与 sitecustomize 的触发时机，并用可复现输出说清 importlib.reload 不重绑已导入引用、.pyc 头部校验与 -X importtime 的真实开销。
从 CPython 实现层拆开 import：sys.meta_path 上三个默认 finder 的查找顺序、PathFinder/FileFinder 的路径搜索、find_spec/create_module/exec_module 三阶段协议，并用实测说清 __spec__/__loader__/__file__ 的来源与 sys.modules 的缓存时序。
容器服务、PaaS、FaaS 三种部署形态的取舍：实测 pydantic-settings 环境变量注入与冷启动导入耗时，讲清 Procfile / app.yaml / Cloud Run / Lambda 的配置形态、密钥注入、健康检查与 Serverless 冷启动的代价。
真跑 uvicorn --workers 4 并用 httpx 并发实测：串行为何全落一个 worker、并发如何均匀分到四个进程、1/4/8 worker 的 CPU 密集吞吐差多少，再讲 gunicorn + UvicornWorker 的进程模型与 worker 数公式。
从单阶段 Dockerfile 的 1.67GB 讲到多阶段构建的 259MB：实测 builder/runtime 分离、.dockerignore、层缓存重建耗时、非 root 用户、PYTHONUNBUFFERED 与 HEALTHCHECK，并给出镜像瘦身的真实数字与取舍。
日志、恢复、请求 ID 这些横切关注点不该塞进每个处理器。本节用「Handler 包 Handler」的中间件模式把它们抽出来，讲清 Middleware 类型与链式组合、如何包装 ResponseWriter 记录状态码与字节数、用 context 传递请求 ID、用 defer/recover 兜住 panic，并接上 slog 输出结构化访问日志。
上一节把路由挂上了，本节处理路由背后的数据进出。讲清 json.Decoder 与 Unmarshal 的区别、用 MaxBytesReader 限制请求体、DisallowUnknownFields 开启严格解析、查询参数分页，以及写响应时 Encoder 自动转义、自动换行、WriteHeader 只能调一次等容易踩的坑。
本节让 TaskAPI 第一次长出 HTTP 门面。讲清 net/http 的两个核心抽象 http.Handler 与 http.ServeMux，用 Go 1.22 起的方法感知路由把 /tasks 的增删改查挂上，理解 r.PathValue 取路径参数、405/404 的自动行为，并给出用 httptest 验证的完整可运行示例。
HumanGraph 用于本节单后继人工流程，与 WaveGraph 分开。暂停发生在敏感节点前；演示只记录模拟邮件参数，不向外部发送消息。状态与 token 只保存在本进程，示例调用方可信。真实审批需要验证身份、绑定不可篡改的操作参数、持久化一次性批准及恢复记录，不能把普通 dict/token 直接暴露到公网。
本节保留单后继 Graph，另写 WaveGraph 表达 fan-out。波内节点顺序执行，因此共享状态更新有顺序，不是线程并行。条件路径必须与 join 的要求一致；某前驱被条件跳过而永不到达时，本例会报缺失前驱。动态分支取消、跨轮关联、部分成功合并需要更完整调度协议。
循环式 Agent 适合开放式任务，但固定流程需要显式结构。本节手写 minagent 的最小图引擎：Node（名字加一个函数）、Edge（源到目标、可带条件）、Graph（add_node/add_edge/set_entry/run），节点间用 dict 状态传递数据。用假模型真跑一条分类→检索→综合的三节点线性链，打印每个节点的进出 state，并给出图编排与循环式 Agent 的取舍表。
本文系统梳理 LLMOps 全景与生产化落地难点。从与 MLOps 的本质差异（提示与模型漂移、非确定性输出、评测困难）讲起，拆解 LLM 应用从数据提示、评测、部署、监控到反馈闭环的生命周期，归纳成本、延迟、质量、安全、可观测五大挑战，给出 L1 到 L4 成熟度模型与工具栈全景表，并提供一段可运行的 LLMOps 健康度检查脚本。
打包上架是每个 Android 项目的最后一公里，签名与合规细节出错就会卡住发布。本文讲透上架与签名打包：密钥库生成与应用签名密钥的分工、分发包格式差异、混淆与映射文件上传、版本号策略与分阶段发布，以及后台的数据安全表单、目标版本适配与持续集成自动发布。文中附打包工具的本地验证流程与上架常见坑清单，帮你顺利过审并稳定迭代。
启动速度直接影响用户留存，而冷启动耗时往往被初始化代码悄悄吃掉。本文聚焦启动加速与性能优化：冷启动全链路拆解、启动库延迟初始化、基准配置文件与宏基准测试的落地写法、代码压缩优化与启动追踪，以及内存泄漏、过度绘制与首帧优化。文中给出可量化的指标与测量命令，帮你把启动耗时压到目标线以内并守住不回归。
模块拆得好不好，直接决定 Android 项目的编译速度与协作效率。本文讲多模块架构与构建优化：接口暴露与实现隐藏的边界、按功能与核心分层、约定插件与构建逻辑独立构建、版本目录统一依赖、配置缓存与构建缓存、注解处理并行，以及新版本构建插件的命名空间迁移与声明式界面编译器插件。文末附依赖约束与循环依赖治理清单，帮你把构建时间压下来。
从连接池角度解释一次事务里连接何时获取、何时归还，LazyConnectionDataSourceProxy 为何存在，延迟加载为什么踩空并抛 LazyInitializationException，open-in-view 的作用与代价，以及 EntityGraph 与 JOIN FETCH 的取舍。
用 S3 分片上传落地图书附件的断点续传：CreateMultipartUpload 到 CompleteMultipartUpload 三阶段、分片大小与并发、ListParts 续传与失败重传，以及前端用预签名 URL 直传、服务端只发签名收回调，并给出大小文件与极简场景的决策表。
用实际 minagent 交付、PydanticAI FunctionModel 与 smolagents CodeAgent 对照同一个离线检索任务，提供完整文件及重复运行断言；调用次数不替代质量、成本或性能实测。