苹果公司通过其网站（apple.com & investor.apple.com）定期向投资者更新财务报告、美国证券交易委员会（SEC）文件、公司治理信息以及股东大会详情。 这些信息包括关于未来表现的“前瞻性声明”，例如股息支付和商业计划。然而，这些声明受到重大风险和不确定性的影响——包括经济状况、竞争压力、技术故障、法律问题和全球事件——这意味着实际结果可能有所不同。 投资者应查阅苹果公司向美国证券交易委员会（SEC）提交的文件，特别是Form 10-K和10-Q报告中的“风险因素”和“管理层讨论与分析”部分，以全面了解潜在影响。苹果公司不承诺更新这些前瞻性声明。 苹果公司成立于1984年，是全球技术领域的领导者，以iPhone、Mac和Apple Watch等产品以及Apple Music和iCloud等服务而闻名。
每日HackerNews RSS
## 苹果第四季度财报摘要
苹果最近的季度报告显示，iPhone和服务的收入持续占据主导地位，占总销售额的76%（4161.611亿美元）。iPhone销售额达到2095.86亿美元，远超所有其他产品类别。服务（1091.58亿美元）的收入现在已经超过了Mac、iPad和可穿戴设备的总和。
虽然Mac销售额表现强劲（同比增长13%，达到337.08亿美元），但讨论的重点是其他产品线的未来发展轨迹。一些人预测iPad和可穿戴设备将在五年内超过Mac的销售额，但另一些人则指出可穿戴设备最近的下滑以及Mac目前的势头。
对话还涉及苹果对台积电的依赖、竞争（如Android）的潜在影响以及公司对人工智能集成的方案。关于苹果是否“在靠惯性发展”以及是否需要更积极地进行创新，特别是关于Siri等软件功能，存在争议。2024年的一项重大税收调整也影响了报告的盈利。
## PlanetScale推出5美元/月入门套餐 PlanetScale正在降低入门门槛，为Postgres数据库推出一种新的单节点、非高可用（非HA）模式。 以前起步价为30美元/月，为3节点集群，用户现在可以以每月5美元的价格开始使用新的“PS-5”节点——非常适合开发、测试和非关键应用。 此举响应了用户对更经济实惠选项的频繁请求，允许开发者利用PlanetScale的质量和功能，例如Insights，而无需预先支付高可用成本。 用户可以根据需要垂直扩展单个节点。 新的定价结构包括各种PS-10选项，适用于单节点和现有的3节点HA配置，价格从5美元到39美元/月不等。 PlanetScale强调，这使得公司可以从小规模开始，无缝扩展，避免在发展过程中出现紧张的紧急迁移。 感兴趣的用户可以注册接收发布通知[此处](原文未提供链接)。
## PlanetScale 宣布推出 5 美元/月数据库套餐 - 摘要
PlanetScale 正在推出 5 美元/月的单节点 PostgreSQL 数据库服务，旨在为开发者和爱好者提供一个经济实惠的入门选项。这一消息在 Hacker News 上引发了讨论，主要集中在 PlanetScale 1.5 年前取消免费套餐的决定。
许多评论者对 5 美元的价格可持续性表示怀疑，并根据之前的经验担心可能出现“地毯式拉扯”（rug pulls）。PlanetScale 创始人 Sam Lambert 积极参与讨论，捍卫公司目前的盈利能力，并强调致力于可持续定价。他澄清，新套餐的设计是为了促进增长，而不仅仅是亏损销售，并驳斥了关于最近取消免费套餐的说法。
对话还涉及提供免费套餐的挑战、盈利商业模式的好处以及与用户建立信任的重要性。一些用户强调了 Neon 和 fly.io 等替代方案，而另一些用户则赞扬了 PlanetScale 的技术并表达了对持续创新的希望。
展示HN：你爱的餐点 – AI驱动的膳食计划和食材购物
Show HN: Meals You Love – AI-powered meal planning and grocery shopping
31 天前
你需要启用 JavaScript 才能运行此应用。
## tweakcc：个性化你的Claude Code体验
tweakcc是一个用于定制Claude Code的命令行工具，现在在2.0.0版本中加入了完整的系统提示词自定义功能。用户可以通过自定义主题（使用HSL/RGB颜色选择器）、独特的思考动词和动画、修改横幅文本以及设置用户消息样式等功能来个性化他们的体验。它还允许移除输入框边框并调整上下文限制。
tweakcc通过修补Claude Code的`cli.js`文件工作，并将自定义设置存储在配置文件 (~/.tweakcc 或 $XDG_CONFIG_HOME/tweakcc) 中，并在更新后重新应用它们。它支持各种Node.js版本管理器和安装方法（npm、yarn等），但不支持原生安装。
该工具包含`cli.js`文件的备份功能，并提供潜在损坏问题的故障排除步骤。它还提供重置系统提示词的指导。 此外还提到了几个相关的状态栏工具：`ccstatusline`、`claude-powerline`、`CCometixLine`和`cc-statuslines`。
使用`npx tweakcc`运行或全局安装以方便访问。
这个Hacker News讨论围绕一个名为“tweakcc”的工具，它是一个用于定制Claude Code AI体验的命令行界面。它允许用户个性化系统提示、主题和各种显示元素。
对话最初经历了一个有趣的误解，一位用户认为“tweakcc”指的是“CC: Tweaked”，一个流行的Minecraft模组，添加了可编程电脑。这导致了对这两个项目的共同欣赏——AI定制工具和十年前的Minecraft黑客技术。
帖子还包含一个关于Y Combinator 2026冬季批次申请开放的消息，截止日期为11月10日。
## 使用 gVisor 的沙盒化 GitHub Actions
这个 GitHub Action `geomys/sandboxed-step` 通过在 gVisor 沙盒中运行命令来增强工作流的安全性。即使具有只读权限的标准 GitHub Actions，也容易受到缓存中毒的影响，并且缺乏步骤之间的真正隔离——所有步骤都在同一虚拟机上以 root 权限运行。此 action 解决了这些问题，为执行潜在的不受信任的代码（例如获取最新的依赖项）提供了一个更安全的环境。
该沙盒利用 Ubuntu-24.04 根文件系统，并提供对 `GITHUB_WORKSPACE`（默认情况下非持久化）、主机网络和环境变量的访问。它以与 runner 相同的用户身份运行，具有 sudo 访问权限，并且可以只读访问通过 `setup-*` actions 安装的工具。
**主要特性与安全注意事项：**
* **凭证保护：** 该 action *要求* 在 `actions/checkout` 中禁用凭证持久化 (`persist-credentials: false`)，以防止 token 泄露。
* **持久化：** 可以使用 `persist-workspace-changes: true` 持久化工作区更改，但由于安全风险，不建议这样做。
* **不可变发布：** 使用 GitHub 的不可变发布来确保标签安全。
此 action 提供了一个重要的安全层，对于处理外部依赖项和潜在供应链攻击的 CI/CD 管道尤其有价值。
一种新工具允许开发者在 gVisor 沙箱中运行 GitHub Actions 步骤，通过隔离代码执行来增强安全性。FiloSottile 在 Hacker News 上分享了这个项目 ([github.com/geomys](https://github.com/geomys))，该项目因其简单易用而受到赞扬，为常见的开发任务带来了一定程度的隔离。
用户强调了创建者持续交付有价值的安全技术的贡献。然而，有评论指出一个潜在的漏洞：即使是只读的 GitHub Actions 也可以接收到缓存写入令牌，从而可能导致缓存中毒。建议的解决方案包括限制只读操作的写入权限，或分层缓存以防止污染。
讨论强调了安全编码实践的重要性，以及像 gVisor 这样的工具在降低 CI/CD 管道中的风险方面的益处。
Go 1.21 引入了一项功能，允许自动下载和使用较新的工具链，以简化新功能的采用。然而，这引发了关于潜在供应链攻击（通过恶意二进制文件）的安全担忧。 为了解决这些问题，Go 项目实现了可以从源代码可重复构建的工具链——始终生成相同的输出——并在公共的“Go 校验和数据库”中发布这些构建的校验和。这允许验证下载的二进制文件是否与从源代码构建的文件匹配。 认识到需要独立验证，开发者 Filippo Valsorda 创建了“Source Spotter”，一个审计工具，它通过从源代码构建工具链并将其校验和与数据库进行比较，持续验证工具链的可重复性。到目前为止，Source Spotter 已经成功复现了超过 2,672 个工具链。 Valsorda 使用较旧的、经过独立验证的工具链启动了该过程，现在利用先前验证的二进制文件。虽然出现了一些挑战（例如 macOS 上的签名剥离和细微的构建不一致），但 Source Spotter 一直如实地验证了 Go 对透明度和可重复性的承诺，从而显著增强了 Go 生态系统的安全性。该项目不断发展，正在探索基于 Git 的验证以增加安全性。
## Go 可复现构建：一则黑客新闻讨论
一则黑客新闻帖子强调了独立验证 Go 的可复现构建的重要性。一位用户分享了他们自己编译 Go 十年的经验，引发了对潜在的、未被发现的“信任陷阱”式漏洞的质疑。
这场讨论引发了关于可复现构建价值的争论。一些人认为这对于供应链安全至关重要——允许在*不*信任整个分发过程的情况下验证代码，而另一些人则认为这是一种资源错配，专注于理论而非实际威胁。
最近的 xz 工具供应链攻击被提及，对于可复现构建是否能够阻止它，存在不同的意见。一些人认为不能，因为漏洞存在于输入代码本身，而另一些人认为它可以检测到被修改的 tar 包。最终，这场对话强调了独立验证的必要性，即使完美字节对字节的匹配并非总是可行的，并强调了供应链攻击的持续风险。
## NPM 包安全问题 - 摘要
近期报告指出，Node 包管理器 (NPM) 生态系统存在重大安全问题：超过 86,000 次恶意包的下载。这些包利用安装过程中的生命周期脚本漏洞，可能使攻击者获得系统访问权限。
讨论的重点是如何缓解此风险。解决方案包括在 Docker 容器中沙箱化 `npm` 命令——限制对环境变量和文件系统的访问，以及采用替代包管理器，如 `pnpm`，默认禁用脚本执行。 依赖项归档（直接在项目内部管理它们）和使用自定义包注册表也被建议为更可靠，但可能更复杂的解决方案。
一个关键点是现代 JavaScript 项目中依赖项的数量众多，使得彻底审计变得困难。 一些人提倡减少对第三方包的依赖。 最终，这场讨论强调了 JavaScript 开发社区内提高安全意识和采用更安全实践的必要性。
关于按住版权联系我们创作者广告开发者条款隐私政策和安全性YouTube的工作原理测试新功能© 2025 Google LLC
## Aisuru僵尸网络：从DDoS到数据收集
Aisuru僵尸网络最初以大规模DDoS攻击而闻名，峰值接近每秒30太比特，现在已将其重点转向一项更有利可图的业务：将其70万多台受感染的物联网设备作为住宅代理出租。 代理数量的激增正在助长大规模数据收集，主要用于训练人工智能（AI）模型。
这些代理允许网络犯罪分子和数据抓取者匿名化其流量，伪装成合法用户并逃避检测，同时从网站收集数据。 代理网络的增长是“疯狂的”，一些供应商近几个月的容量增加了10-200倍。 Luminati/Bright Data和IPidea（以“HK Network”运营，拥有众多子品牌）等主要参与者主导着市场。
这种转变正在破坏用户的互联网服务，因为受感染设备产生的大量流量可能会使网络过载。 美国和欧洲的当局正在调查中，互联网服务提供商正在共享黑名单。 僵尸网络的运营商甚至在其恶意软件中嵌入了一句嘲讽——对域名“fuckbriankrebs[.]com”的请求。
最终，Aisuru体现了一种日益增长的趋势：僵尸网络正在超越破坏，成为蓬勃发展的人工智能行业对数据无止境需求的的关键基础设施，引发了对数据隐私和互联网稳定性的担忧。
## Aisuru 僵尸网络转变焦点
一份最新报告指出，Aisuru 僵尸网络活动发生了转变。它最初以分布式拒绝服务 (DDoS) 攻击而闻名，现在主要充当住宅代理服务。这意味着受感染的物联网设备——如安卓手机和智能电视——正被用于通过普通用户的 IP 地址路由互联网流量，掩盖请求的来源。
最初的 DDoS 攻击可能是为了宣传这项代理服务。用户们正在对网上出现的“住宅代理”网站数量众多表示担忧，这些网站通常接受加密货币并以类似的方式运作，现在被认为是由像 Aisuru 这样的僵尸网络提供支持。
这一发展引发了关于识别受感染设备以及这些隐藏代理网络日益普及的问题。Y Combinator 也在宣传其 2026 年冬季申请期。
## Microsoft 365 中管理 Copilot 此信息适用于与 Microsoft 帐户一起使用的 Microsoft 365 应用程序（如 Outlook.com）。Copilot 可以在 Word、Excel、PowerPoint 和 Outlook 中禁用，但方法各不相同。 在 Word、Excel 和 PowerPoint（Windows 和 Mac – 2412/2501 版本及更高版本）中，使用应用程序设置中的“启用 Copilot”复选框（文件 > 选项 > Copilot，或应用程序菜单 > 首选项 > 写作和校对工具 > Copilot）。此设置是每个应用程序和每个设备的。 Outlook 使用“启用 Copilot”切换按钮，可通过快速设置（Android、iOS、Mac）或设置（Web、新 Windows Outlook）访问。此设置将在使用相同帐户登录的所有设备上同步。 如果“启用 Copilot”复选框不可用，则可以通过帐户隐私设置（文件 > 帐户 > 帐户隐私 > 管理设置，或应用程序菜单 > 首选项 > 个人设置 > 隐私）禁用 Copilot，但这也会禁用其他功能，如建议的回复和设计器。 更改后请务必重启应用程序。目前，Copilot 无法在 Word、Excel 或 PowerPoint 的 iOS、Android 或 Web 版本中关闭。
## Copilot 无法关闭 & 微软的数据收集
一则 Hacker News 讨论集中在无法在 Word、Excel 和 PowerPoint 的网页版中禁用 Microsoft Copilot。用户表达担忧，认为这是故意的，源于微软需要用户数据来“喂养”其 AI 模型并提升参与度指标。
一些人推测这是一种玩弄手段，旨在人为夸大内部性能数据，而另一些人则指出这是一种更广泛的数据收集趋势，伪装成有用的集成。一些评论员已经转而使用 LibreOffice 作为替代方案，但有些人会怀念 Word 的自动格式化等特定功能。
许多人批评 Copilot 的实际性能，指出其回复不准确且功能有限，尤其是在 Excel 和 Outlook 中。一个反复出现的主题是用户是产品，隐私被牺牲用于 AI 训练和定向广告。也有呼吁进行监管和抵制微软产品，以及对反竞争捆绑行为的担忧。