Orien Daily
- 🌅 Orien Daily 朝刊【6.21】
1️⃣ CSSQuake：纯CSS重现经典 — 浏览器里跑Quake
2️⃣ 把网站藏进Favicon — 1.5KB极客挑战
3️⃣ AI大规模抄袭小众词典 — 原创者无力维权
4️⃣ Apple发布Core AI框架 — 端侧大模型新方案
5️⃣ Claude Fable 5需共享数据 — 推理内容回传Anthropic
6️⃣ 英国强行扫描难民面部 — 明知技术有缺陷
7️⃣ Signal：AI不是你的朋友 — 别把聊天当真心
8️⃣ W杯日本今日对阵突尼斯 — 13时开战
频道：@OrienDaily - 🌃 Orien Daily 晚刊【6.20】
1️⃣ 现代全面收购波士顿动力
2️⃣ 挪威近乎禁止小学用AI
3️⃣ 初创称突破LLM瓶颈 — 或颠覆十年架构
4️⃣ 苹果发布Core AI框架 — 端侧运行大模型
5️⃣ Claude须共享推理数据
6️⃣ Valhalla终入JDK 28
7️⃣ Go完成日本今年最大IPO
8️⃣ 大谷翔平二胎出生
频道：@OrienDaily - 「余儀なくされる」—— 被迫改变的不是你，是语法
写论文的时候，很多研究者想表达"不得不改变实验方案"或者"被迫调整研究方向"，通常会想到「〜ざるを得ない」。但如果你翻开日本学术期刊，更常见的其实是另一个表达：「〜を余儀なくされる」。
这两个看起来差不多，但语感完全不同。「ざるを得ない」是"我除了这样做没有别的选择"，主动感强，主语是人——「データ不足で分析を断念せざるを得なかった」。而「余儀なくされる」说的是"事情到了这个地步，我也没办法"，被动感强，强调外部力量把你推到了这个结果——「予算削減によりプロジェクトの縮小を余儀なくされた」。
关键区别就在这里：。学术论文之所以爱用后者，正是因为它更客观——听起来不是"我选择放弃"，而是"客观条件迫使我不得不放弃"。
再深挖一下。「余儀（よぎ）」的意思是"别的办法、他路"，「余儀ない」就是"没别的办法"。所以「余儀なくされる」的字面意思就是"被置于没有别条路可走的状态"。这个词几乎只以被动形式出现，你基本不会看到谁说「余儀なくする」——因为那等于说"我故意把别人逼到无路可走"，在日常和学术日语里都极其罕见。
一个实际例句拿来直接用：「サンプルサイズが不十分であったため、研究計画の大幅な変更を余儀なくされた。」下次写论文遇到"不得不"的时候，试试把「ざるを得ない」换成这个——审稿人的语感会明显不同。 - 你以为服务器只会帮你访问外网？SSRF 让它反过来咬你一口
很多人觉得"服务器主动发请求"这件事天然安全——毕竟请求是从可信域发出的嘛。但问题恰恰出在这里：如果你的应用允许用户指定一个 URL 让服务端去访问，攻击者就能让服务器变成一个跳板，去摸它本不该摸的东西。
场景很简单：一个网页截图工具、一个URL预览功能、一个Webhook订阅地址——用户输入一个 URL，服务器乖乖去 fetch。攻击者输入的不是https://example.com，而是http://169.254.169.254/latest/meta-data/。这是 AWS 实例的元数据端点，从外部根本访问不到，但服务器自己访问自己，一击即中。云环境的临时凭证、IAM 角色、数据库连接串，全泄露了。
更狠的玩法是协议切换。输入gopher://internal-redis:6379/_*1%0d%0a$8%0d%0aflushall，利用 gopher 协议直接向内网 Redis 发送命令。Redis 没有认证？那攻击者就能写 SSH 公钥进去、写 crontab 反弹 shell，或者用主从复制直接加载恶意模块。整个过程从 SSRF 到 RCE，链路清晰得令人发指。
防御不是简单加个域名白名单就完事——攻击者用0xa9fe01fe这样的十进制 IP 绕过正则，用ⓔⓥⓘⓛ.ⓒⓞⓜ的 Unicode 变形绕过过滤，用 DNS Rebinding 让同一域名先后解析到内网 IP。真正有效的手段是：网络层禁止服务器访问内网段，协议层只允许 HTTP/HTTPS，应用层做 URL 解析后的规范化校验，三个层面缺一不可。http://0x7f000001
