2026-08-07

今日主题

opaque 与 transparent 描述的是能否观察或依赖内部结构；opaque identifier 的使用方只能保存、比较和原样回传，
不能解析字段或假设格式稳定。
“对用户透明”描述的是复杂性是否被使用者感知，与标识符是否 opaque 不是同一维度。一个机制可以对用户透明，
同时向客户端暴露必须作为黑盒处理的 opaque token。

git rebase --interactive 的关键不是必须打开 Vim，而是执行可编辑的 todo 指令序列。
Git 用 GIT_SEQUENCE_EDITOR、sequence.editor 和常规 Git editor 的优先级选择 todo 编辑器；
GUI 客户端可以替代人工文本编辑，但不能在没有实现证据时断言 IntelliJ IDEA 必然通过某个环境变量接管。

User 是登录身份，Account 是资源和权限边界，Zone 是 Account 下的域名级资源。资源归属与操作者身份要分开：
同一用户可通过 membership 访问多个 Account，Zone、Workers、R2 等资源的权限再按资源层级收敛。
Cloudflare 现在同时支持从个人资料创建的 User API Token，
以及从 Manage Account 创建的 Account API Token；这不只是同一种用户令牌选择不同 scope。
两者仍需通过权限和资源范围贯彻最小权限，不能仅凭“Account 权限”反推令牌的创建主体。

镜像标签既可能指向单平台 image manifest，也可能指向多平台 image index。Registry 返回对象的媒体类型才是可靠判据：
客户端用 Accept 声明支持的 manifest 媒体类型，再依据响应 Content-Type 解析对象；若拿到 index，
再按 os、architecture 和 variant 选择子 manifest。

SPF 验证发信路径声明，DKIM 用邮件签名和 DNS 中按 selector 发布的公钥验证内容及签名域，
DMARC 再检查 SPF 或 DKIM 的认证域是否与可见 From 域对齐，并发布处置与报告策略。单独通过 SPF 或 DKIM 不等于通过 DMARC，
关键是至少一条验证链通过且完成域对齐。
DNS TXT 的一条资源记录可以包含多个 character-string；每段最长 255 octets，协议使用方按自身规范把同一记录内的多段拼接。
它不同于同一名称下存在多条独立 TXT 记录，DKIM 公钥过长时通常拆成同一记录的多个字符串，而不是拆成多个互相独立的公钥记录。

在当前 macOS 实测中，IPv6 socket 的 IPV6_V6ONLY 默认值为 0；当它已在通配 IPv6 地址上 bind 并 listen，
同端口的 IPv4 loopback 监听会报 EADDRINUSE，反向顺序也一样。只有把 IPV6_V6ONLY 设为 1，
IPv4 与 IPv6 socket 才能分别监听同一端口；因此看到两个进程显示同端口时，还要核对 V6ONLY、实际地址、listen 状态和复用选项，
不能只凭平台名断言端口表互不冲突。

lock 文件语义不因 install 会改而失效：package.json 声明版本范围，
package-lock.json 锁定精确版本+完整依赖树；
npm install 只有当 lock 文件里的版本不再满足 package.json 声明的范围时才会更新 lock（比如手动改了依赖版本声明），
只要两者一致就直接按 lock 装，不会碰它。所以"lock 文件保证可复现"的前提是"package.json 没被改动过"，
而不是"install 永远不动 lock"。
npm ci 与 npm install 的分工：npm install 允许你调整依赖（改 package.json 后自动更新 lock 去适配），
这是日常开发的正常职责；npm ci 则要求 lock 文件必须已经和 package.json 一致，不一致直接报错退出，不做任何修改。前置条件：
npm ci 必须已存在 package-lock.json，否则无法运行，适用于 CI/自动化场景需要"lock 即唯一真相"的场合。
npm ci 额外的可复现手段：npm ci 安装前会先删除整个 node_modules 目录再全新安装，避免残留依赖导致依赖树结构不一致，
这也是它比 npm install 更适合自动化流水线的原因之一。