跳到主要内容
IS ISKING 硬核手记
ARCHIVE / INDEX 按时间排序

ALL
ARTICLES.

全部已发布文章，按时间排列。可以按分类、标签和关键词筛选，每页最多 50 篇。

TOTAL / 已发布

9

篇 · 第 1 / 1 页

最多 50 篇 / 页

INDEX

第 1 / 1 页 · 共 9 篇

01
网络安全 5 分钟

php2shell：文件名变成 shell

php2shell 把 PHP 的 session.upload_progress 变成了写入点：上传文件名未经处理进入会话文件，再配合一个 LFI 就能执行代码。本文按靶场的 Chain A 拆开讲清楚。

PHP CVE-2026-109618 RCE LFI +1
02
随笔 2 分钟

故障复盘模板

复盘写不好就变成检讨会。时间线、影响面、根因、触发条件、行动项，每一段该怎么写，以及怎么让讨论停在系统层面而不是某个人身上。

复盘 故障处理 团队协作
03
随笔 2 分钟

2026 年家庭实验室

家庭实验室折腾几年后我做了一次大减法，只留下五样东西：小型服务器、UPS、备份、监控和网络隔离。讲讲每一样的取舍和维护成本。

家庭实验室 运维 备份
04
AI 2 分钟

RAG 想真正回答问题

RAG 失败往往不是向量库的问题。切块、混合检索、重排、拒答与引用，每一步都决定系统能不能真的回答问题，而不是丢回一堆段落。

RAG 检索 向量数据库
05
编程 2 分钟

容器查询实战

同一个卡片在侧栏和主区域里宽度不同，媒体查询就失效了。写容器查询怎么替代它、容器单位怎么用，以及哪些场景仍然该用媒体查询。

CSS 容器查询 响应式
06
网络安全 3 分钟

从零理解 SSRF

服务端替用户发请求，就可能被引向内网。从云元数据地址讲到 URL 解析绕过，再给出一份能落地的白名单与出口控制清单。

SSRF 安全防御 网络
07
AI 2 分钟

提示词不是程序

把 LLM 接进产品，提示词不是程序。结构化输出要校验，重试要有边界，评测要先于调参，低置信度要有人工兜底。写我踩过的几个坑。

LLM 结构化输出 评测
08
网络安全 2 分钟

JWT 做登录态的常见坑

JWT 当登录态用起来简单，坑却不少。从 alg=none 到密钥强度，从刷新与注销到存储位置，整理一份我实际会逐条对照的检查清单。

JWT 认证 Web安全
09
编程 3 分钟

在无服务器函数里复用连接池

无服务器函数每次冷启动都可能新建连接，稍不注意就把数据库连接数打满。记录我复用连接池、设置超时与失败退避的具体做法。

Serverless 数据库 连接池