技术头条 的分享
洞见RSA 2021｜备受热捧的“供应链攻击”如何防御？ (blog.nsfocus.net)
供应链攻击是一种面向软件开发人员和供应商的新兴威胁。目标是通过感染合法应用分发恶意软件来访问源代码、构建过程或更新机制。

软件供应链可划分为开发、交付、运行三个大的环节，每个环节都可能会引入供应链安全风险从而遭受攻击，上游环节的安全问题会传递到下游环节并被放大。值得注意的是在供应链攻击中受到攻击的是上游厂商，受到威胁的则是上下游厂商。上游的代码风险问题，其实就是下游厂商需要注意的供应链问题。上游管理好软件开发过程中的风险有助于减少下游厂商面临的供应链攻击。代码风险平台能够解决的就是软件开发过程中发生的供应链攻击。
by @技术头条 2021-06-13 22:46 查看详情
SIGIR 2021 | 广告系统位置偏差的CTR模型优化方案 (tech.meituan.com)
近些年来，由于人工智能技术的高速发展，所带来的公平性问题也愈发受到关注。同样的，广告技术也存在着许多公平性问题，由于公平性问题造成的偏差对广告系统的生态会产生较大的负面影响。广告系统通过累积的用户交互反馈数据基于一定的假设去训练模型，模型对广告进行预估排序展示给用户，用户基于可看到的广告进行交互进而累积到数据中。在该环路中，位置偏差、流行度偏差等各种不同类型的偏差会在各环节中不断累积，最终导致广告系统的生态不断恶化，形成“强者愈强、弱者愈弱”的马太效应。

由于偏差对广告系统和推荐系统的生态有着极大的影响，针对消除偏差的研究工作也在不断增加。比如国际信息检索会议SIGIR在2018年和2020年组织了一些关注于消除偏差主题的专门会议，同时也给一些基于偏差和公平性的论文颁发了最佳论文奖（Best Paper）。KDD Cup 2020的其中一个赛道也基于电子商务推荐中的流行度偏差进行开展。
by @技术头条 2021-06-13 22:45 查看详情
如何使用CSS禁止元素拖拽？ (www.zhangxinxu.com)

HTML中有个属性draggable可以设置元素能否拖拽，那么CSS中有没有什么属性可以设置元素的拖拽权限呢？
by @技术头条 2021-06-13 22:43 查看详情
数据库内核的并发控制 (www.ideawu.net)
大部分程序员最先接触并发编程, 一般是从编程语言里的多线程和锁开始. 但是, 并发控制是一种广义的技术思想, 千万不可将眼光局限于编程语言所提供的锁. 将编程语言里的并发控制技术推广, 就能得到任何层面的并发控制技术.

以操作一个文件为例, 如果不做并发控制, 就会遇到数据完整性问题. 例如, 我们写入的一项数据, 对应着现实对象, 如果不做并发控制, 那么可能读到的时两项数据的混合体, 或者只读到一项数据的部分.
by @技术头条 2021-06-13 22:42 查看详情
洞见RSAC | 生物行为识别技术在社工诈骗中的应用分析与探索 (blog.nsfocus.net)
人为因素才是安全的软肋，有意、无意的行为可造成潜在的威胁或者一连串的后果。2021年DBIR数据泄露报告（Data Breach Investigations Report）中提到85%的数据泄露涉及人的因素。社工攻击正是利用人的因素，引导操纵人们采取行动或泄露机密信息，以达到收集信息、欺诈或访问系统等目的的“骗局”。
by @技术头条 2021-06-13 22:41 查看详情
Snort在工控系统入侵检测的应用 (blog.nsfocus.net)
近年来，国内外的工控安全事件频出，越来越多国家级APT组织的攻击目标开始转向工控领域，检测工控系统中的入侵行为具有重大意义。本文从实战出发，研究对施耐德的启停攻击过程，搭建开源Snort框架来完成对施耐德M580的攻击检测。
by @技术头条 2021-06-13 22:39 查看详情
美团民宿跨端复用框架设计与实践 (tech.meituan.com)
从 PC 时代、移动时代到万物互联的 IoT 时代，伴随终端设备的日趋多样化，跨端复用的种子自此落地，开始生根发芽。从业务角度出发，跨端技术演进更多是在不同阶段、不同时间段内业务效率上的选择，美团民宿业务在大前端融合的浪潮中逐浪前行，不断探索和迭代抉择，为解决业务痛点而孵化出跨端框架技术，在这个过程中，我们进行了很多的探索和实践的思考，希望能给大家一些启发。本文主要分享美团民宿在跨端复用技术探索和业务实践过程中的经验。
by @技术头条 2021-06-13 22:39 查看详情
小样本做文本分类：超干货解读，看完别说你还不懂胶囊网络 (www.52nlp.cn)
人脑对图像的认识关键的点在于图像位置姿态的认识，也就是即便图像进行了旋转，平移人脑依然可以认识图像，而计算机却不行。因此提出胶囊网络CapsNet。
by @技术头条 2021-06-13 22:35 查看详情
分布式数据库系统如何做到平滑缩扩容? (www.ideawu.net)
分布式数据库系统的缩扩容能力(后面也称迁移)是最基础最基本的特性, 但是, 要实现平滑扩容并不容易, 需要包括服务端, 客户端共同完成, 这两者只要缺少任何一方的参与和配合, 便绝不可能实现平滑扩容.

平滑迁移要解决的问题, 本质上就是故障容错处理.
by @技术头条 2021-06-13 22:32 查看详情
Linux上如何定时关闭一个服务 (phpor.net)
如果让服务本身支持定时关闭，理论上非常可行，但是所有想定时关闭的服务都去实现以下这个逻辑是不是不太好？对于一个已经很成熟的（甚至没有源码的）服务想实现这个功能又该怎么办呢？

根据Linux的思想，一个程序应该只做一件事，并非功能越多越好，把自己该做的事做好就行了。

Linux上有一个非常好的命令: timeout 。只做了一件事，可以实现一个程序在一段时间后结束，如：

timeout 2s sleep 10

sleep 想睡10s； 但是timeout 保证让他2s就死掉
by @技术头条 2021-06-13 22:31 查看详情
记录一下之前对 fsck_msdosfs(8) 的改进 (blog.delphij.net)
fsck_msdosfs(8) 是 FreeBSD 上用来检查和修复 FAT12/16/32 文件系统问题的程序，此外， Android 也使用了这一实现，并采用它来检查使用 FAT文件系统，如 SD 卡上的文件系统问题。

众所周知，FAT 是一个结构非常简单的文件系统。它的基本分配单元是簇(clusters)，每个簇可以包括1-128个逻辑扇区。FAT 文件系统使用单一的中央数据结构——文件分配表 FAT来表现存储上的所有簇的分配状态，该结构本身是一个线性表，其中每一项均与磁盘上的相对位置的簇一一对应。这个表上以单链表形式表达文件，链表的表头保存在该文件对应的目录项上，而后续的整个簇链则在 FAT表上，每一项的内容是下一簇的簇号。FAT 表项如果是 0 则表示目前没有任何文件在使用该簇，因此可以将作为保存新数据的空间使用，还有一些特殊值表示坏块、保留块，或者文件已经到达了末尾。
by @技术头条 2021-06-13 22:30 查看详情
RTFM！如何阅读（和理解）Linux 中神奇的手册页 (linux.cn)
手册页man pages，即参考手册页reference manual pages的简称，是你进入 Linux 的钥匙。你想知道的一切都在那里，包罗万象。这套文档永远不会赢得普利策奖，但这套文档是相当准确和完整的。手册页是主要信源，其权威性是众所周知的。

虽然它们是源头，但阅读起来并不是最令人愉快的。有一次，在很久以前的哲学课上，有人告诉我，阅读亚里士多德是最无聊的阅读。我不同意：说到枯燥的阅读，亚里士多德远远地排在第二位，仅次于手册页。

乍一看，这些页面可能看起来并不完整，但是，不管你信不信，手册页并不是为了隐藏信息 —— 只是因为信息量太大，这些页面必须要有结构，而且信息是以尽可能简短的形式给出的。这些解释相当简略，需要一些时间来适应，但一旦你掌握了使用它们的技巧，你就会发现它们实际上是多么有用。
by @技术头条 2021-06-13 22:29 查看详情
Android 系统不释放内存吗？ (androidperformance.com)
除了 CPU，很多用户在选购手机的时候通常也会考虑内存大小，不同版本内存的手机价格也不一样，买多大内存的合适呢？Android 系统是怎么管理内存的呢？普通用户对 Android 手机的内存使用总是一头雾水，这个应用到底占了多少内存？系统到底占了多少内存？内存对我手机的使用体验有什么影响？到底怎么才能用好 Android 手机？换新手机换多大内存的会比较合适呢？
by @技术头条 2021-05-28 23:12 查看详情
使用Nginx的Basic Auth认证实现不同的登录用户内容隔离 (xnow.me)
上传和下载文件是企业经常要面对的场景，本文提供了一个新思路，使用企业具备的现有工具（Linux和Nginx），不需要安装任何其他软件，可以快速建立一个简单、可靠、带认证和用户隔离的文件上传下载系统。
by @技术头条 2021-05-28 23:00 查看详情
【死磕 Redis】—– info 命令详解 (cmsblogs.com)
Redis 提供了一个非常有用的查看状态信息的命令：info。它以一种易于理解和阅读的格式，返回关于 Redis 服务器的各种信息和统计数值。使用方法有如下三种：
1、info：部分Redis系统状态统计信息。
2、info all：全部Redis系统状态统计信息。
3、info section：某一块的系统状态统计信息，其中section可以忽略大小写。
by @技术头条 2021-05-28 22:59 查看详情
游戏 UI 模块的选择 (blog.codingnow.com)
在游戏（包括引擎）开发的过程中，谈及 UI 模块，通常所指有二：
1、开发工具所用到的 UI 。
2、游戏本身所用到的 UI 。

这两者很多时候都是共用的一个模块，比如之前的 Unity 就直接把引擎开发用的 UI 模块扔给开发者开发游戏使用。但很快，开发者就发现，适合工具开发的 UI 模块，在做游戏时就不那么顺手了。所以就有了第三方 UI 插件的流行，以至于最后又倒逼 Unity 官方重新制作游戏 UI 模块。
by @技术头条 2021-05-28 22:56 查看详情
一个关于if else容易迷惑的问题 (www.laruence.com)
这么写代码，我绝对扔椅子过去。
by @技术头条 2021-05-28 22:56 查看详情
美团搜索中NER技术的探索与实践 (tech.meituan.com)
命名实体识别（Named Entity Recognition，简称NER），又称作“专名识别”，是指识别文本中具有特定意义的实体，主要包括人名、地名、机构名、专有名词等。NER是信息提取、问答系统、句法分析、机器翻译、面向Semantic Web的元数据标注等应用领域的重要基础工具，在自然语言处理技术走向实用化的过程中占有重要的地位。在美团搜索场景下，NER是深度查询理解（Deep Query Understanding，简称 DQU）的底层基础信号，主要应用于搜索召回、用户意图识别、实体链接等环节，NER信号的质量，直接影响到用户的搜索体验。

下面将简述一下实体识别在搜索召回中的应用。在O2O搜索中，对商家POI的描述是商家名称、地址、品类等多个互相之间相关性并不高的文本域。如果对O2O搜索引擎也采用全部文本域命中求交的方式，就可能会产生大量的误召回。我们的解决方法如下图1所示，让特定的查询只在特定的文本域做倒排检索，我们称之为“结构化召回”，可保证召回商家的强相关性。举例来说，对于“海底捞”这样的请求，有些商家地址会描述为“海底捞附近几百米”，若采用全文本域检索这些商家就会被召回，显然这并不是用户想要的。而结构化召回基于NER将“海底捞”识别为商家，然后只在商家名相关文本域检索，从而只召回海底捞品牌商家，精准地满足了用户需求。
by @技术头条 2021-05-28 22:52 查看详情
写给大学新生的数字指南（2020 版本） (luolei.org)
高考，对于大多数年轻的朋友来说是一道门，跨过了这道门，意味着离开封闭的高中，离开了父母和家庭，开始了相对来说更独立的生活。

我是2009年参加的高考，距今已经11年，记得我刚上大一的时候，大家还在用人人网、QQ，塞班，智能手机方兴未艾，iPhone 属于奢侈品，安卓属于小众系统。过去这十年，也是互联网飞速发展的十年，人们的生活形态，因为科技和互联网，发生了极大的变化。

作为一个曾经的大学生，程序员，互联网从业者，今天这篇文章，根据自己过去上大学和职业相关经验，写下这篇「大学新生数字指南」，分享一下大学新生关于如何「迎接」即将到来的互联网生活。

今年参加高考的学生已经是00后，作为一个90后的跟大家差了一轮，有些事物理解若有代沟差异，也望理解指正。
by @技术头条 2021-05-28 08:38 查看详情
如何使用普通用户管理docker？ (xnow.me)
首先，比”如何使用普通用户管理docker“更重要的问题是：”为什么要使用普通用户管理docker“？

1、使用普通用户登录服务器执行管理操作才是符合运维规范的，而不是给所有人都授予root权限，这有利于权限管理的标准化。
2、恶意破坏很难避免，但是要尽量不让用户做傻事，虽然普通用户进入docker之后，可以拥有root身份，但是这是恶意操作，避免的难度太高。

接下来就是怎么让普通用户也能使用docker的配置步骤了。
by @技术头条 2021-05-28 08:36 查看详情