dream-num/univer：可嵌入的在线表格与文档套件
DEV
Univer（dream-num/univer）是一个开源的在线表格、文档与幻灯片套件，用 TypeScript 自研了公式引擎、Canvas 渲染层与协同编辑能力，前端可嵌进 React/Vue 应用，后端支持服务化部署，并能直接导入导出 xlsx。它本周出现在 GitHub Trending，说明「把 Excel 搬进浏览器」依旧是长期刚需。对开发者而言，它的价值在于替代已停更的 Luckysheet 或昂贵的商业表格控件：做报表、低代码平台、在线文档 SaaS 时不必从零实现公式与协同，但要自行评估后端与协同服务的运维成本。
openbao/openbao：从 Vault 分叉出来的开源密钥管理
DEV
HashiCorp 2023 年把 Vault 改为 BUSL 许可证后，社区在 Linux Foundation 下分叉出 OpenBao，以 MPL 2.0 继续开发，本周再次登上 GitHub Trending。它提供密钥与动态数据库凭证管理、PKI 证书签发、Transit 加密即服务等能力，并尽量兼容 Vault 的 API 与存储后端。对企业的意义是：已经深度使用 Vault 的团队若不想受商业许可约束，有了可平移的替代方案；但分叉项目的插件生态、企业级支持与长期维护人力，仍是选型时必须权衡的现实问题。
anthropics/claude-code-action：把 Claude Code 放进 CI
AI
anthropics/claude-code-action 是 Anthropic 官方维护的 GitHub Action：在 issue 或 PR 中 @claude，就会在 CI 环境里启动 Claude Code，读取仓库代码、修改文件、跑测试并提交 commit 或 PR。它把 AI 编码从本地 IDE 搬到代码评审流程，适合做自动修 lint、补测试、响应 issue 的机器人。使用前需配置 Anthropic API key 或订阅凭证，并严格限制仓库权限，否则自动提交很容易绕过人工审查，对团队来说关键是把它的产出纳入与人类 PR 相同的门禁。
Reladraw：自己决定元素位置的图表语言
DEV
Reladraw（Show HN 开源项目）针对画图工具的老问题提出第三条路：Mermaid、Graphviz 之类自动布局语言不允许你决定节点位置，Draw.io 虽能自由摆放却要手动拖拽、对 AI agent 极不友好。Reladraw 用声明式语言让作者显式指定元素坐标与连线路由，输出稳定、可复现，也便于程序或 agent 批量生成和批量修改。对需要把架构图纳入版本管理、或希望让 agent 自动产出可控图表的团队，这种「文本为主、布局可控」的 DSL 值得先做个小样试用。
PipePipe：带 SponsorBlock 的 NewPipe 硬分叉
NEW
PipePipe 是 NewPipe 的硬分叉，在原有「不依赖 Google 服务、无广告播放视频」的基础上内置 SponsorBlock，可自动跳过视频中的赞助口播与推广片段，同时支持 Bilibili、NicoNico 等站点。该条目在 Hacker News 拿到 317 分、168 条评论，说明移动端去广告与隐私播放的需求依旧旺盛。对普通用户的现实提醒是：这类客户端要自行下载 APK 并承担更新、签名与合规风险，而官方客户端与第三方前端之间的长期博弈还会继续。
Drawgent：在 Excalidraw 画布上干活的编码 agent
AI
Drawgent 是一个跑在 Excalidraw 画布上的编码 agent：它不满足于输出 Mermaid 文本或静态 SVG，而是直接在实时协作的手绘风格白板上绘制和修改图形，人能看见 agent 的每一步操作，也可以随时接管修改。该项目在 Hacker News 获得 107 分、32 条讨论。它代表了一类新思路——把 agent 的行为外化成可视化产物，让过程可审计、可干预，而不是只看最后生成的文件。对做架构评审、教学演示或人机共创的团队，这种形态比纯文本输出更容易建立信任。
用 Grafana + TimescaleDB 搭 24/7 个人健康看板
DEV
这篇 Dev.to 教程讲怎么把被 Apple Health、Google Fit 分割的健康数据拼成一块自托管看板：先从各家平台导出数据，清洗后写入基于 PostgreSQL 的时序扩展 TimescaleDB，再用 Grafana 做面板、连续聚合与阈值告警，展示睡眠、心率、步数等指标趋势。价值在于把「量化自我」从 App 的封闭图表变成可自由查询、可跨设备合并的数据集；代价是要自己处理导出格式差异、时区、设备时钟漂移与备份，属于典型的周末项目，但做完就是长期可用的个人数据仓库。
12 个默认不安全的 AWS 配置，与各自的一行修法
DEV
这篇 Dev.to 文章整理了 12 个「为了让教程能跑通」而默认不安全的 AWS 配置，例如过于宽松的安全组与默认 VPC、S3 的公开访问设置、RDS 对外可达、EBS 未加密、CloudTrail 未全面开启、Lambda 环境变量明文、公开的 EKS API endpoint 等，并为每一项给出一行 CLI 或配置修复。作者的观点很直接：默认值服务的是演示体验，不是生产安全，真正出事的是那些「临时起意、后来变成生产」的资源。适合拿来做账号基线检查或新项目上线前的自查清单。
Go Concurrency Distilled：一页看懂 Go 并发
DEV
antonz.org 的《Go Concurrency Distilled》用一篇文章把 Go 并发的骨架串起来：goroutine 的调度与生命周期、channel 的方向与缓冲、select 的超时与取消、context 的传递、sync.Mutex/WaitGroup/Once、errgroup 的错误聚合，以及 worker pool 的经典写法，最后落在 goroutine 泄漏、channel 关闭责任归属、data race 等高频事故点。该条目在 Hacker News 有 23 分。对刚接手 Go 服务或准备面试的人，它比零散博客更适合当作一张速查地图，读完能立刻回去审自己的并发代码。
科技爱好者周刊第 413 期：再见了，React Native
HOT
阮一峰《科技爱好者周刊》第 413 期以「再见了，React Native」为题，延续每周五汇总科技动态、工具与文章的体例。本期标题指向 React Native 在 2026 年的处境：新架构全面铺开、Expo 成为事实上的默认工具链，而过去依附 RN 的社区工具与人才需求，正被跨端方案和 AI 编码工具重新分配。周刊同时提示因中秋与十一假期，下周五起停更一期。对国内开发者，这本周刊长期是低成本扫读海外技术风向的入口，本期它对移动跨端选型的判断值得单独读一读。
逆向 Intel 8087 的正切算法：不只是 CORDIC
Ken Shirriff 在 righto.com 上逆向分析了 Intel 8087 协处理器（1980 年）中正切函数 tan 的实现。8087 资源极其有限，长期被认为靠 CORDIC 迭代完成三角与超越函数，而作者从芯片 ROM 里的微码入手，复原出实际使用的算法与微指令序列，说明 Intel 当年如何在硅面积、周期数与精度之间做取舍。这类研究对写数学库的人仍有参考价值：在没有浮点单元或算力受限的环境里，算法选择往往比硬件规格更能决定最终结果。
Conversations 与 Google Play 分手，改为免费分发
HOT
Conversations 作者 Daniel Gultsch 发文解释这款 Android XMPP 客户端为何离开 Google Play 并转为免费：Play 的开发者验证、上架流程与持续成本，对独立开源维护者越来越不划算，于是他回到自家仓库与 F-Droid 分发，原先在 Play 上的付费版本不再需要付费。该文在 Hacker News 拿下 637 分、251 条评论，说明「平台规则与抽成挤压独立开发者」已是普遍情绪。对用户的直接影响是下载渠道变了，更新与捐赠方式也随之调整。
Beyond the Model：让 AI 系统可靠的是 agent 循环
AI
这篇 Dev.to 文章把「模型能回答」到「系统能可靠干活」之间的差距落在工程结构上：模型只负责生成文本或请求动作，真正让它可用的是执行循环（计划—行动—观察）、受控的工具白名单与参数校验、跨轮次持久化的状态、超时与重试，以及可回溯的日志与追踪。作者强调可靠性来自模型之外那层编排，而不是换一个更强的模型。对正在把 agent 接进生产系统的团队，这是一份很实在的检查表：先定义失败模式，再决定要不要上多 agent。
把 GLM-5.3-Flash 调成单次前向的决策模型
AI
privatemode.ai 的博客介绍了把 GLM-5.3-Flash 这类通用大模型调成「Jev 式」决策模型的做法：通过精心构造提示，让模型的第一个输出 token 就直接给出答案，把一次判断压缩成单次前向计算，从而获得接近小决策模型的速度与稳定性，文中详细描述了提示构造与验证过程。对做实时风控、请求路由、内容分级等高频低复杂度判断的场景，这种「用提示词换延迟」的思路比自训小模型便宜得多，但必须评估首 token 偏差带来的准确性损失。
为 LLM token 设计等宽字体：让模型与人对齐
AI
ampdot.mesh.host 上的一篇文章提出一个好玩又实用的想法：设计一种「token 等宽」字体，让每个 LLM token 在屏幕上占据相同宽度。常规等宽字体只保证字符等宽，而 BPE 分词会把多个字符合成一个 token，导致模型输出在视觉上长短不一；作者通过测量常见分词器的词表，重排字形与字距来对齐 token 边界。这类字体对做 prompt 对齐、token 计数可视化、教学演示的人有直接帮助，也提醒我们：模型眼里的文本单位和人眼看到的并不一样。
本周榜单有个共同信号：热闹的不再是模型本身，而是模型外面那层脚手架。MCP 让 agent 摸到真机，GitHub Action 让它在 PR 里干活，Excalidraw 上的画布让它的动作被看见。能力一旦接进真实系统，成本、权限和可审计性就立刻变成真正的门槛。
另一条反复出现的主线是「不信任平台」。Conversations 离开 Google Play，OpenBao 从 Vault 分叉，PipePipe 继续绕开官方客户端，指向同一件事：当分发渠道和许可证握在少数公司手里，社区会用分叉和自建渠道回应，代价是更新、签名与安全维护的责任全部回到开发者自己身上。
还有一类项目在重新定义「表达」：Reladraw 用文本控制布局，token 等宽字体试图对齐人和模型的阅读单位，Univer 把表格做成可嵌入的积木。它们的共同点，是把复杂能力翻译成机器也能读的中间形式——这大概就是 AI 时代工具链的通用设计语言。