Obsidian 配合 AI 非常锋利 😉

rkt 可以优化token

• 感觉 ai agent 时代， windows 越来越不行了 - V2EX
• rtk-ai/rtk: CLI proxy that reduces LLM token consumption by 60-90% on common dev commands. Single Rust binary, zero dependencies

Delta Skins

• simonevisciano/SV-DeltaSkins: This repository provides custom skins for the Delta Emulator, like Light and Dark themes for Nintendo DS. The skins are designed to enhance the gaming experience by optimizing screen space for both portrait and landscape orientations, ensuring a more immersive gameplay experience.
• #86 做一款 Delta 模拟器皮肤
• HZN - NINTENDO DS CONSOLE STYLE • DeltaStyles
• Delta Custom Skins | Delta-Docs
• The guide for designing Delta skins - Ryosuke
• 上手体验：GAMEBABY——专为 Delta 模拟器打造的 iPhone 手机壳：r/Delta_Emulator --- Hands On: GAMEBABY - A iPhone Case Built Exclusively For Delta : r/Delta_Emulator
• GAMEBABY Skins (Latest version) - Google 云端硬盘
• We are still here!
• GameBaby 用户上手指南

Crush 很炫酷的TUI～

• Crush + Docker MCP
• charmbracelet/crush: Glamourous agentic coding for all 💘

没事逛逛github还是有益的。

这不，发现了这篇文章《Resolving extension issues with bisect》。

"Just like git-bisect, but for VS Code extensions."

通过二分查找的方式，可以很快确认有问题的 extension，非常实用。

文章发布的的时间很早了，大概是2021年。

不得不说，vscode 的官方文档实在太多，很多有价值的内容，需要好好发掘。

HTTP 402，一个等了二十多年的状态码，终于有人把它当真了。

三月末的更新列表里，有一种"不想等"的感觉。 不是那种急躁，是那种"既然要做，就不等标准完善了"的态度。 从终端里直接处理视频，到把付费写进 HTTP 客户端，都在说同一件事。

本周一句话总结

工具开始不再假装自己很"通用"。

本周新增工具速览

🧪 New Formulae

🧩 New Casks

值得留意的几个方向

lazycut：省掉"导出了再看"这一步

终端里直接剪视频，听起来像是在秀肌肉。但它在省的心智成本其实是：你不用再"打开 Finder → 找到文件 → 拖进剪辑软件 → 等预览加载"。

很多时候你只是想"把这段视频前面三秒切掉"，但完整的流程让你觉得"算了，就这样吧"。lazycut 把这个门槛降到了"cd 进目录就能干"的级别。

它不是在替代专业剪辑软件。它是在替你省掉"为了一个三秒操作而打开一个三分钟启动的软件"这件事。

pay：当 HTTP 402 不再是笑话

HTTP 状态码 402 Payment Required，从 1997 年就写在 RFC 里，但二十多年来都只是个"保留字段"。所有人都知道它存在，但没人真的用它。

pay 这个工具的出现，不是在说"我们终于能用 402 了"，而是在说"我们不想等标准完善了"。它自己定义了一套规则，让 HTTP 客户端可以直接处理付费请求——基于 Solana 的链上支付。

这种态度挺有意思的：与其等一个"所有人都同意"的标准，不如先做一个"能跑"的实现。它可能不会成为主流，但它在证明"这件事是可以做的"。

一个趋势：AI 工具开始"搬家"

这次更新里出现了三个跟 Claude Code 相关的 cask：claude-code@latest、nimbalyst、notchi。

这不是说 AI 工具变多了，而是说它们开始"离开浏览器"了。以前你要用 Claude，你就打开网页；现在你可以装个命令行工具，或者装个桌面伴侣。

工具的形态在变，从"通用界面"变成"专用场景"。这种变化的底层逻辑是：当一个工具被频繁使用时，人们会希望它"更近一点"。不是功能上的近，是物理距离上的近——少开一个标签页，少切一次窗口。

一点个人感受

jsongrep 我可能会装，因为 jq 的语法我永远记不住，而"grep"这个词能让我少查一次文档。

pay 我不会装，不是因为它不好，而是因为我不觉得现在"用 HTTP 付费"是个刚需。但我会记住它，因为它在证明一件事：标准可以是"先做出来"再慢慢达成共识的。

至于那些 AI 伴侣工具，我觉得方向很明确，但可能还早。现在装一堆小工具，不如等它们合并成一个。

结语

三月的最后一天，工具列表还是那么长。 但越来越少有工具会说"我什么都能干"。 它们都在说"我只干一件事，但我干得比你想象的近"。

工具在变，但节奏不必跟着变。

下期见。

FreeTube 使用过程中经常遇到错误，e.g.:

Uncaught Exception: Error: spawn iina ENOENT at ChildProcess._handle.onexit (node:internal/child_process:285:19) at onErrorNT (node:internal/child_process:483:16) at process.processTicksAndRejections (node:internal/process/task_queues:82:21)

A JavaScript error occurred in the main process

步骤1：先设置 Invidious API

通过 Invidious Instances 获取开源的地址，然后点击【将当前实例设为默认】即可。

步骤2: 不要配置外部播放器

理论上，FreeTube 支持外部播放器，但是由于技术原因，需要一些配置。

如果配置不合理，体验会很差。所以，当前推荐【不要配置外部播放器】。

项目组有个专门讨论的 Discussions。

Ref

• IINA does not open youtube videos for some reason : r/macapps
• [Bug]: IINA won't open: giving javascript error
• [Bug]: Invidious API Error: SyntaxError: Unexpected end of JSON input
• 用IINA无广告观看YouTube : r/mac
• 一款开源桌面 YouTube 播放器FreeTube —— 一款开源桌面 YouTube 播放器，基于 Electron

Ref

• Cline Kanban - Orchestrate Coding Agents With a Kanban Board
• Announcing Cline Kanban: a CLI-agnostic app for multi-agent orchestration.

这件事情发生有2天了，起初根本没在意。

今天在 v2 再次刷到 此次 ApiFox 是否中招自查命令。

【包括不限于: SSH 私钥、Git 凭证和命令行历史】，这段话让我有了后怕。

接着，迅速检查电脑和采取修复以及防御手段。

检查电脑

下列涉及的命令都是 macOS 支持的，其他平台参考。

1. 检查 Electron localStorage 中是否存在 _rl_headers、_rl_mc 键

grep -arlE "rl_mc|rl_headers" ~/Library/Application\ Support/apifox/Local\ Storage/leveldb

1. 检查 dns 历史中是否存在 apifox.it.com 的解析记录

sudo dscacheutil -q host -a name apifox.it.com

1. 检查历史 HTTP 请求头中是否包含 af_uuid、af_os 等异常字段，

这个事情处理有点难度，建议使用 AI 工具来执行。

修复和防御

特别说明，本次事件受影响范围：受影响用户为“公网 SaaS 版 Apifox 桌面客户端”用户。SaaS Web 版用户不受影响；私有化部署版用户不受影响。

立即采取的行动:

1. 立即升级： 请尽快将 Apifox 客户端升级至 2.8.19 或最新版本。

2. 重置凭证： 若您在上述风险时间段内使用过受影响版本，请务必联系您的团队，全面排查并重置在设备里 ~/.ssh/、~/.zsh_history、~/.bash_history、~/.git-credentials 等处存储过的敏感凭证（包括但不限于 Git 密钥、鉴权密钥、数据库密码、云服务 Access Key 及环境变量等）。

3. 阻断恶意域名：apifox.it.com ，可以在 host 文件里增加配置：127.0.0.1 apifox.it.com

为什么会发生这样的事情？

供应链攻击，本质不是漏洞，而是“信任链被利用”。

为了防范此类事情再次发生，作为开发者，有必要列一个自检清单。

本地开发环境

• 是否开启自动更新？
• 是否验证安装包来源（hash / 签名）？
• 是否区分“工作环境 / 测试环境”？

👉 建议：

• 关键工具关闭自动更新
• 下载后的安装包做 hash 校验（哪怕是关键工具）
• 严格区分“工作环境 / 测试环境”

依赖管理

• 是否锁版本（package-lock.json / go.sum 等）
• 是否盲目 latest
• 是否使用第三方镜像源（npm mirror / pip 源）

👉 建议：

• 关键依赖锁定版本
• 建立私有化仓库，减少第三方镜像源依赖

CI/CD 与自动化

• CI 是否每次重新拉依赖？
• 是否有缓存污染风险？
• 构建流程是否可追溯？

👉 建议：

• 固定依赖版本
• 构建环境可复现（Docker / lockfile）

权限与隔离

• 是否在开发机使用高权限运行工具？
• 是否把敏感 token 放在本地明文？
• 是否做最小权限控制？

👉 建议：

• 为开发机创建非高权限的特定账户
• 敏感数据加密

Ref

• 关于 Apifox 公网 SaaS 版外部 JS 文件受篡改的风险提示与升级公告
• Apifox 供应链投毒攻击 — 完整技术分析

Ref

• Litterbox
• dayanch96/YTLite: A flexible enhancer for YouTube on iOS