字数 995，阅读大约需 5 分钟

老牌开源桌面启动器 Wox v2.1.0 发布，支持 Windows、macOS 与 Linux，没有使用Electron，新增了系统状态查询、截图功能（带标注）、新的文件预览、AI 命令等功能。@Appinn

来自发现频道，开发者自荐：https://meta.appinn.net/t/topic/85559

【开源免费自荐】Wox v2.1.0 发布 – 老牌跨平台桌面启动器

老牌桌面启动器，现在支持跨平台(非Electron)，虽然中间停更过一段时间，但是23年起就恢复维护至今， 可放心使用。

青小蛙在2023年10月份的时候，注意到了：《活久见，跨平台快速启动工具 Wox v2.0.0 更新｜“Alfred 和 Launchy 替代品”》，当时还是早期 alpha 版本，直到2026年2月份正式发布了 v2.0 版本。

然后就是现在的 2.1 版本。主要新功能如下：

Glance

将 Glance 添加到查询框，用户无需输入内容，就能直接看到一些轻量级实时信息，例如时间、日期、电池状态、CPU 占用率、内存使用情况等。

插件还可以提供 Glance 元数据，用户既可以显示 Glance 项目，也可以隐藏 Glance 图标，让查询框界面更简洁。

Screenshot

为 Screenshot 扩展加入了：

• • 滚动截图

• • 固定截图叠加显示

• • 插件截图 API

• • 可配置的历史记录保留功能

现在可以截取长页面或长窗口，也能把截图固定在其他窗口上方作为参考。旧截图还能自动清理，插件也支持隐藏工具栏、自动确认后直接进入截图流程。

Preview

重新设计了预览界面，新增：

• • 列表预览

• • 图片叠加预览

整体界面更统一、更简洁。

对于剪贴板、截图等图片较多的结果，现在可以直接在轻量级浮层中查看，而不再局限于启动器内部的预览面板。

Query Refinement

新增细化控制功能，插件可以直接在启动器中提供筛选和排序选项。

例如文件搜索现在支持：

• • 按相关性排序

• • 按名称排序

• • 按修改时间排序

• • 按文件大小排序

• • 区分文件与文件夹

剪贴板和 WPM 也可以显示自己的类型、安装状态等过滤条件。

AI Command

现在用户可以在任意应用中选中文本，按下热键后，让 AI 自动优化、翻译或处理文本，并在结果生成后直接替换原内容。

WebView

嵌入式网页预览，也能在网站保存了错误会话或缓存时快速恢复：

Usage

使用 Wox 的统计数据：

Color Plugin

新增 Color 插件。

获取

• • GitHub

• • 网盘搬运

原文：https://www.appinn.com/wox-v2-1-0/

还有一些更新，如果你在使用 Wox，推荐更新。如果你缺一个快速启动工具，可以试试。

字数 1306，阅读大约需 7 分钟

最近7日，来自小众软件论坛的发现频道的热门排行榜，由系统自动生成，青小蛙手动整理：

1️⃣ 新闻雷达：把财经新闻翻译成“A 股代码”

meta.appinn.net/t/topic/85239

还挺受欢迎：自动把多源财经资讯收成事件卡片，按宏观 / 政策 / 公司 / 海外分一分，列出可能相关的 A 股、为什么相关，还能看事件之后 T+5 / T+30 / T+60 的表现方便复盘。也能看某个股票K线与新闻的关联度。

2️⃣ 限免应用，已过期。

3️⃣【自荐】AI Agent 的网页浏览工具，给你的 Agent 一双真正的眼睛

meta.appinn.net/t/topic/84527

一款浏览器插件，你访问的任何页面，都可以作为AI的输入源。与浏览器侧边栏的总结助手最大区别在于它提供 API，让 AI Agent 使用。

即：你的 AI Agent 通过自己的浏览器读取任何页面。

4️⃣ 【油猴脚本】图解 B 站——B 站省流助手

meta.appinn.net/t/topic/85249

1，利用大模型总结视频内容（基于字幕）。

2，总结视频评论区。

3，多个总结提示词预设，并且可以生成图片总结。

4，默认设计全自动触发总结（这是我的初衷，不想每个视频都手动去点总结）。

青小蛙表示：笑死我了，无数人是把文字图片生成视频，结果现在又转回图片

5️⃣ StoryBoat / 故舟：一个支持 EPUB/TXT/PDF/Kindle 和朗读的 iOS 本地阅读器

meta.appinn.net/t/topic/85281

StoryBoat / 故舟是一个本地文件阅读器，不是书城，也不提供书源。它的目标是把用户自己的 EPUB、TXT、PDF、Kindle 格式、Markdown 和长文本放在一个安静的阅读环境里。

主要功能：

• • 导入 EPUB、TXT、PDF、Kindle 格式、Markdown 和长文本

• • 本地书架和继续阅读

• • 阅读主题、字体和阅读设置

• • 系统语音和在线语音朗读

• • 语音过滤、章节预加载、语音缓存管理

• • 分享卡片和轻量纯文本编辑

6️⃣ 基于小米MiMo-v2.5-TTS的配音软件（免费）

meta.appinn.net/t/topic/85202

给小米TTS套了个壳儿，完全按照官方文档开发，支持使用预设音色、音色克隆、使用文本进行音色设计

• • 支持导入srt、csv格式，支持导入后编辑

• • 支持按角色进行配音

• • 支持添加风格标签和音频标签

• • 支持官方API中的所有功能

• • 支持时间戳对齐（默认未开启）

7️⃣ Markpad-一个轻量的Markdown编辑器阅读器

meta.appinn.net/t/topic/85297

用户推荐：一款简洁轻量的跨平台 Markdown 笔记本，内置 VS Code 同款编辑器、Vim 模式、Mermaid 图表与 LaTeX 支持。

8️⃣ TabulaBili：让 B 站个性化推荐算法“彻底失忆”的 Chrome 扩展

meta.appinn.net/t/topic/85526

通过在拉取B站首页时，禁止浏览器向上游推荐接口传递 Cookie，从而强制让推荐算法按照 未登录的新访客，遵循热度算法（而不是个性化推荐算法）返回首页推荐。

这大概是对抗算法的手段之一吧。

Q1：看久了之后，还会受算法影响吗？
完全不会。 因为扩展在底层移除了推荐接口的整个 Cookie 请求头，无论你在本地看多久、存了多少追踪指纹，后端推荐算法在处理 feed 请求时都无法读取cookies。对算法而言，你每一次刷新首页，都是一次全新访问。

Q2：会影响我的历史播放记录和点赞收藏吗？
没有任何影响。 扩展只处理首页推荐流的请求，你在播放页的观看进度、一键三连、稍后再看等行为都会正常保存在你的 B 站账号下。

9️⃣ Quick Search Pro : Mac 上的 Listary/everything，全局热键秒搜文件和应用，支持拼音搜索

meta.appinn.net/t/topic/85307/

Quick Search Pro 是一款 macOS 原生文件快速搜索和启动工具，灵感来自 Windows 上的 Listary/everything。全局热键一键唤起搜索面板，输入关键词即时返回结果，回车即可打开。

开发者针对性的回复：Spotlight 的拼音搜索不全面，不支持首字母搜索，不支持汉字、拼音混合搜索，Alfred/Raycast 要折腾插件才能拼音搜中文文件。Quick Search Pro开箱即用，纯原生轻量，中文搜索体验是它和另外三个最大的区别。微信的安装文件夹叫 WeChat，但输入wx、weixin、wechat也能找到。

1️⃣0️⃣ 简单拼图——支持横向拼接的长图PWA

meta.appinn.net/t/topic/85294

偶尔有长截图或横向拼图的需求，以前爱用的 PPIICC 在 Android 16 上频繁崩溃，其他拼图 App 往往主打「艺术化」的拼图模板，牺牲了自主裁切的功能，为了套模板只能削足适履。索性用 Gemini 自己搓了一个可以自主裁切的拼图工具。

功能以 PPIICC、Picsew、Tailor 为蓝本，只保留最核心的纵向/横向拼接长图，支持手动调整接缝以及整体裁切。代码完全基于浏览器前端，添加到桌面后可以作为PWA离线运行。

字数 1076，阅读大约需 6 分钟

省流：不用抬头，看太阳、看月亮。

Lumara 是一个网页、iPhone、Android 应用，它通过 NASA 太阳动力学观测站（SDO）等公开数据源，将太阳、月亮以及太空天气的实时观测画面，以一种接近“直播”的方式展示在手机上。@Appinn

NASA 的太阳图像大约每 12 秒更新一次，所以你几乎可以实时看到太阳活动的变化。

获取

• • 官网：

• https://www.lumara-space.app/?utm_source=appinn.com

• • App Store

• https://apps.apple.com/cn/app/lumara-sun-moon-live-viewer/id6763933502

• • Google Play

• https://play.google.com/store/apps/details?id=com.beeswaxpat.lumara

Lumara应用数据源

这是一款没有账户、没有跟踪、无广告、永久免费的应用。

Lumara 的数据源来自 NASA 的太阳动力学天文台 SDO，还有欧空局/美国国家航空航天局的太阳和太阳圈探测器SOHO，每 15 分钟更新一次。图片属于公有领域。

☀️ SDO（太阳动力学观测站）

SDO 是 NASA 的太阳观测卫星，负责持续拍摄太阳高清图像。

我们现在常见的那些金色、蓝色太阳画面，大多都来自 SDO。它支持多个波段，可以观察太阳表面、日冕、太阳黑子、磁场以及耀斑活动等内容。

更新频率很高，部分图像约每 12 秒更新一次，因此看起来几乎像“太阳直播”。

🌞 SOHO（太阳和日球层观测站）

SOHO 是 NASA 与欧洲航天局联合运行的太阳观测项目，主要负责观察太阳外围与日冕活动。

很多太阳风暴、日冕喷发、太阳风以及掠日彗星画面，都来自 SOHO 的 LASCO 日冕仪。

如果说 SDO 是“高清看太阳”，那么 SOHO 更像是在观察太阳周围正在发生什么。

Lumara主要功能

☀️ 实时太阳图像

提供 12 种不同波长的太阳图像，并且可以在色球层、日冕、活动区、磁场等图像之间切换——每张图像都揭示了我们恒星隐藏的层面。捏合即可放大，欣赏每隔几分钟更新一次的惊艳 4K 超高清太阳图像。

🎬 太阳延时视频

观看令人着迷的太阳运动每日延时视频。您可以从 7 个波长通道中选择，或观看 24 小时循环播放的视频。实时观看太阳耀斑爆发、日冕环舞动以及太阳黑子在表面旋转。

🌑 真实月相

通过月球勘测轨道飞行器 (LRO) 拍摄的逼真 NASA 图像，追踪今晚的月亮。查看您所在城市的准确月相百分比、当前月相名称、月升月落时间，以及即将到来的满月和新月日期。切换至背面，探索我们从未见过的月球背面。

⚡ 太空天气与太阳活动

通过 NASA DONKI 提供的实时太空天气数据，随时掌握最新动态。查看近期发生的太阳耀斑和日冕物质抛射的强度等级、速度数据和严重程度标签。点击任何事件即可查看 NASA 提供的完整详情。

🔭 12 个太阳波长

• • 色球层 (304 Å) — 太阳发光的低层大气

• • 平静日冕 (171 Å) — 日冕环和宁静的外层大气

• • 日冕 (193 Å) — 日冕和炽热耀斑等离子体

• • 活动区 (211 Å) — 日冕中的炽热活动区

• • 热耀斑 (94 Å) — 极热的耀斑区域

• • 耀斑等离子体 (131 Å) — 极高温的强烈等离子体

• • 活动日冕 (335 Å) — 两次耀斑爆发之间的活动区

• • 过渡区 (1600 Å) — 冷热交界处

• • 表面 (1700 Å) — 可见表面和太阳黑子

• • 太阳黑子细节 (HMI) — 白光太阳黑子图像

• • 磁场 (HMI) — 磁极可视化图像

• • 内日冕（LASCO C2）— SOHO 日冕仪观测图

🌍 覆盖 200 多个城市

在全球 200 多个城市中选择位置，即可获取精准的当地月升月落时间。

原文：https://www.appinn.com/lumara-space/

字数 1299，阅读大约需 7 分钟

很多 Everything 老用户，可能都已经习惯了 1.5 版永远是 Alpha。

结果，就在昨天，它居然真的 Beta 了。

感谢木立同学的提醒：

2026 年 5 月 14 日，Everything 1.5 Beta 正式发布。这款已经有 22 年历史的 Windows 文件搜索工具，终于结束了漫长的 Alpha 阶段。

Everything 诞生自 2004年12月22日，已经22年了，小众软件在2008年第一次介绍了这款工具：

• • Everything – 快速飞快的文件搜索（2008）

• https://www.appinn.com/everything-search-engine/

之后，就一直在使用。真的是一直在用啊 。

目录

• • 22年来，从未改变过的外观

• • 2008 年的 Everything：

• • 2026 年的 Everything：

• • 完整的中文界面

• • 升级了什么？

• • 升级指南

• • 以下针对安装版本：

• • 以下针对便携版：

• • 手动导入数据

• • 更新插件

• • 重要：1.4 和 1.5b 的 Everything Service 不兼容

• • 一个技巧

22年来，从未改变过的外观

这么多年以来，它的界面就没怎么变过：

2008年的 Everything：

2026 年的 Everything：

不能说一模一样，只能说好像完全一样 😂

完整的中文界面

其实，这个事情，昨天才介绍了：Everything 1.5a 完整官方中文版发布

是的，昨天。

以至于青小蛙猜测，从 Everything 1.5a 到 Everything 1.5b，是不是一直在等这个中文语言包？

升级了什么？

从 Everything 1.5 的发布页面来看，和昨天的更新相比，也没什么大的变化：

都是改进和清理。不过，倒是提供了一个：

升级指南

在这份 Everything 官方升级指南中，开发者首先特别感谢了帮助测试 alpha 版本的所有人。

以下针对安装版本：

当前安装情况	你想保留谁的设置	正确操作
只有 1.5a	保留 1.5a	直接安装 1.5b → 自动继承 1.5a 设置 → 复制插件 → 卸载 1.5a
同时有 1.4 + 1.5a	保留 1.5a	先卸载 1.4 → 删除 %APPDATA%\Everything 下部分配置文件 → 安装 1.5b → 自动继承 1.5a 设置 → 复制插件 → 卸载 1.5a
同时有 1.4 + 1.5a	保留 1.4	先卸载 1.5a → 直接安装 1.5b
只有 1.4	保留 1.4	直接安装 1.5b

青小蛙觉得，开发者这份指南太复杂了，直接上 1.5b 就好 😂

以下针对便携版：

退出 Everything，直接将 Everything.exe 替换为 Everything 1.5b 便携式压缩包中的 Everything.exe，然后：

运行，根据提示，以管理员身份运行索引程序或安装 Everything Service。

就好了。

手动倒入数据

Everything 1.5b 会自动导入 Everything 1.5a 的设置和数据。

还能从工具菜单点击导入和导出设置。

1. 1. 退出 Everything（文件 → 退出）

2. 2. 在 %APPDATA%\Everything 目录中，复制以下文件：

• • 书签：Bookmarks-1.5a.csv → Bookmarks.csv

• • 主配置：Everything-1.5a.ini → Everything.ini

• • 排除结果：Omit Results-1.5a.csv → Omit Results.csv

• • 运行历史：Run History-1.5a.csv → Run History.csv

• • 同义词：Synonyms-1.5a.txt → Synonyms.txt

• • 过滤器：Filters-1.5a.csv → Filters.csv

• • 宏命令：Macros-1.5a.csv → Macros.csv

• • 插件配置：Plugins-1.5a.ini → Plugins.ini

1. 1. 在 %LOCALAPPDATA%\Everything 目录中，复制以下文件：

• • 数据库：Everything-1.5a.db → Everything.db

1. 1. 启动 Everything 1.5b。

更新插件

• • 退出程序

• • 把你的插件文件夹从Everything 1.5a文件夹复制到Everything 1.5b文件夹。

• • 例如：复制C:\Program Files\Everything 1.5a\Plugins 到 C:\Program Files\Everything\Plugins

• • 从 %APPDATA%\Everything\Plugins-1.5a.ini 到 %APPDATA%\Everything\Plugins.ini

• • 对于便携版，请复制你的 Plugins-1.5a.ini 到 Plugins.ini 和你 Everything.exe 在同一个地方

• • 重启

重要：1.4 和 1.5b 的 Everything Service 不兼容

Everything 1.4 会为每个实例创建一个独特的 Everything 服务，所有 1.5b 版本都会共享同一个Everything Service。

不过以青小蛙使用这么多年的情况来看，极其稳定，应该用不到上面这些。直接覆盖安装就好了（遇到问题快留言给我看看 🐶）

一个技巧

感谢浓眉00同学昨天的提醒，可以通过自定义快捷键设置 ESC 为关闭窗口，这样就非常非常方便使用了。

入口：工具 > 选项 > 快捷键，找到文件（E）|关闭搜索窗口（D），添加或者修改快捷键：

获取

• • 官网

• • 网盘搬运（已同步更新 1.5.0.1411b 版本）

如果你是新电脑，请选择 x64 进行下载，其中 Setup 是安装版，另外一个是便携版。

如果你是老电脑，可考虑下载 x86 版本。

原文：https://www.appinn.com/everything-1-5-beta/

青小蛙就一个问题，Beta 是不是也要5年转正？

本周赛博领鸡蛋， Epic 共送出 1 款电脑游戏、1 款手机游戏，分别是《蝙蝠侠：故事版》与《Arranger：角色解谜冒险》。

《蝙蝠侠：故事版》

这是一个打包版本，包括了：

• • 《Batman:The Telltale Series》（1-5集）

• • 《Batman:The Enemy Within》（1-5集）

• • Batman Shadows Mode

互动叙事冒险游戏，玩家将在剧情推进中同时扮演布鲁斯·韦恩与蝙蝠侠，通过对话选择、调查与 QTE 战斗来影响故事发展。游戏采用章节式结构，对经典蝙蝠侠角色进行了不少重新演绎，整体更偏重人物关系与剧情分支体验。

基础游戏在 Steam 的评价：

• • 最近评测：特别好评 (89)

• • 简体中文评测：多半好评 (1,152)

• • 发行日期：2016 年 8 月 3 日

限免地址：https://store.epicgames.com/zh-CN/p/the-telltale-batman

《Arranger：角色解谜冒险》

这是一款结合了 RPG 冒险与滑动拼图玩法的解谜游戏，玩家需要通过移动整行或整列地图来改变场景布局、推动机关并解决谜题。游戏整体节奏轻松，采用连贯式地图设计，并围绕主角的旅行与成长展开叙事。

玩法创意非常讨喜，经常会出现“啊原来还能这样”的瞬间，挺容易一玩就停不下来。

Steam 评价：

• • 所有评测：特别好评 (320)

• • 发行日期：2024 年 7 月 26 日

限免地址：

• • 安卓：https://store.epicgames.com/zh-CN/p/arranger-a-rolepuzzling-adventure-android-caa29b

• • iOS：https://store.epicgames.com/zh-CN/p/arranger-a-rolepuzzling-adventure-ios-ceccbd

• • 可在网页上领取

注意

现在的 Epic 网页版本新增加了一个步骤，按下之后才算领取：

另外，下周预告有两款神秘游戏。

字数 468，阅读大约需 3 分钟

这是真的！

只需要访问一个网页，什么都不做，也不需要授权，就可以知道你的很多信息。

现在，你只需要点击访问下面的网站：

• • https://baolu.appinn.com/

就可以看到，你的一些信息。

而这些信息，在网页加载完成之前，就发送完了。包括 IP地址、时间、语言、设备、电池、显卡、字体、屏幕等信息。

单独看，这些信息似乎没什么。

但组合在一起之后，它们就会变成一枚相当稳定的“浏览器指纹”。

很多网站即使不登录、不写 Cookie，也依然有机会认出“还是你”。

另外，关于电池信息、鼠标键盘、停留时间的信息，我也是第一次具体的感受到：

你已经在这个页面上待了 70 秒。你向下滚动了 100% 。你还没有离开这个标签页 —— 如果离开了，我们会知道。你的鼠标已经移动了 78 次。你点击了 7 次。你最长停顿了 3 秒 —— 比页面上的其他地方都更久。我们不是在现在才开始计数。我们一直都在计数。

该网页只保存了你上次访问的时间信息，可以在页面底部点击按钮清除。

原文：https://www.appinn.com/baolu-browser/

青小蛙遇到一个英文网页，名叫 Taken，内容和这个页面差不多，当青小蛙抱着翻译看完之后，也才理解到浏览器给出的信息如此之多，觉得有必要让更多的人了解这件事，于是有了上面的这个网页。

字数 419，阅读大约需 3 分钟

从4月30日至今，Linux 已经连爆三起提权漏洞，只需要一行代码，立即获得系统 root 权限。

• • 2026年4月30日：Copy Fail：2017年至今的漏洞，一个脚本获得 Linux root 管理员权限｜CVE-2026-31431

• • 2026年5月8日：Linux 又爆 Dirty Frag 漏洞：Ubuntu、Debian、Arch、RHEL、WSL2 全中招｜CVE-2026-43284

• • 2026年5月14日：Fragnesia：普通用户可通过 Linux 内核里的网络/加密处理逻辑，把只读文件在“页缓存”里的内容临时改掉，然后借此拿到 root

Fragnesia 漏洞

这次漏洞被叫做 Fragnesia，编号 CVE-2026-46300，得分 7.8 分。

Fragnesia 属于 Dirty Frag 漏洞家族，但并不是同一个漏洞，而是 Linux ESP/XFRM 模块中的另一处独立问题，因此需要单独修复。不过，两者影响的位置相似，临时缓解方法也一样。

攻击者可以利用 Linux 内核 ESP-in-TCP 子系统中的逻辑错误，只需要修改只读文件在内存中的页缓存内容，就能实现提权。

主要涉及服务

如果你的服务上有以下服务，请谨慎对待：

• • IPsec VPN

• • StrongSwan

• • 企业 VPN

• • 某些 AFS/RPC 服务

如何临时解决？

官方 PoC README 给出的缓解方案是：

https://github.com/v12-security/pocs/blob/main/fragnesia/README.md

# 卸载当前已经加载的模块。
sudo modprobe -r esp4 esp6 rxrpc
# 取消启动加载：
printf 'install esp4 /bin/false
install esp6 /bin/false
install rxrpc /bin/false
' | sudo tee /etc/modprobe.d/fragnesia.conf
# 重启
sudo reboot
# 确认，没有输出即可
lsmod | grep -E 'esp4|esp6|rxrpc'

青小蛙看了眼手上的服务器，都还好，没中招。

另外，有同学说：selinux都过不了 说啥呢

我把这个问题交给了AI，AI说的挺有道理的 😂

而关于截图中的第二个问题：

字数 604，阅读大约需 4 分钟

Nginx 是一款被广泛使用的 HTTP 服务器软件。2026 年 5 月 13 日官方披露常用模组 rewrite 存在安全漏洞。攻击者可通过构造特殊 HTTP 请求触发该漏洞，导致 Nginx 工作进程发生堆缓冲区溢出，进而造成进程崩溃或服务重启。@Appinn

在部分关闭了地址空间布局随机化（ASLR）的系统中，攻击者还有可能进一步执行任意代码。

漏洞代码 CVE-2026-42945 得分 8.1 分，属于较高。

发生了什么？

感谢 @Niceb 同学的提醒。

在 Nginx 的 ngx_http_rewrite_module 模组中，发现了一个存在多年的内存漏洞，攻击者可通过构造特殊 HTTP 请求，在 nginx 处理 rewrite 规则时触发堆缓冲区溢出，导致工作进程崩溃、服务重启。

• • 漏洞位置：ngx_http_rewrite_module

• • 类型： 堆缓冲区溢出（heap buffer overflow）

• • 影响： 可能导致远程代码执行（RCE）

• • 攻击条件： 攻击者不需要登录，可以通过构造 HTTP 请求触发

• • 触发条件： 需要 nginx 配置中存在特定 rewrite / set / if 组合，并使用 $1、$2 这类 PCRE 捕获变量，同时 replacement 字符串里带 ?

• • 受影响时间跨度： 研究人员称漏洞代码可追溯到 2008 年，影响大量历史版本。

在部分安全保护较弱的系统上，甚至可能进一步执行任意代码。由于 WordPress 等大量网站都广泛使用 rewrite 规则，因此这次漏洞影响范围较大。

什么是安全保护较弱的系统？

在这里，关闭了 ASLR（地址空间布局随机化）的系统，就算比较弱鸡的了。可通过下面的命令检测：

cat /proc/sys/kernel/randomize_va_space

返回 2，那么意味着你开启了 ，该漏洞最多会导致 Nginx 崩溃、重启，绝大多数现代操作系统都会是 2。

rewrite 规则

你可以通过以下命令查看所有的 rewrite 规则：

grep -RInE 'rewrite|set |\$[0-9]|if \(' /etc/nginx

青小蛙把小众软件的 rewrite 规则发给了 AI，得到了这个内容：

而让 AI 修复该规则，AI 把规则直接改掉了 😭

想想算了，规则还是要用，升级吧。

如何解决

升级 nginx/1.30.1 即可。

原文：https://www.appinn.com/nginx-rewrite-rce-cve-2026-42945/

字数 783，阅读大约需 4 分钟

当你在电脑上拉宽 Scrcpy 窗口时，

Android 会认为：“哦，我变成平板了。”

Scrcpy 是一款开源免费的电脑控制安卓工具，支持 Windows、macOS、Linux，Scrcpy v4.0 今日更新，新增弹性显示功能（Flex Display），让 Android 应用的界面会跟着窗口大小自动调整。@Appinn

Flex Display 功能

以前的 scrcpy：

• • 本质是“把手机画面录下来”

• • 电脑窗口只是播放器

• • 拉伸、缩放，本质都是视频缩放

现在的 scrcpy 4.0：

• • 可动态调整 Android 虚拟显示器

• • Android 会真的重新布局

• • 应用会认为屏幕尺寸变了

Scrcpy 4.0 的其他更新

SDL3：窗口体验明显更正常了

scrcpy 从 SDL2 升级到 SDL3。带来：

• • 更稳定的全屏

• • 更自然的窗口缩放

• • 更好的高分屏与 Wayland 支持

• • 黑边减少

keep-active：防止设备自动息屏

scrcpy --keep-active

会模拟用户一直在活动，让屏幕不在熄灭。

适合长时间投屏、演示、挂机监控等场景

摄像头控制增强

现在可以直接控制摄像头，包括：

• • 闪光灯

• • 摄像头缩放

• • 手机摄像头视频流

scrcpy --video-source=camera

延迟与性能优化

包括：

• • 音频缓冲降低到 10ms

• • FFmpeg 升级

• • CPU 占用降低

• • 静音异常耗电问题修复

长时间运行会更稳定、更安静。

Meta Quest 修复

修复了 Quest 固件更新后的闪烁问题。

scrcpy 已经开始兼容：

• • VR 设备

• • Android XR

• • 大屏 Android 设备

这里有 Meta Quest 用户么？

使用示例

用 H.265 截取屏幕

使用 H.265 编码（画质更好），限制分辨率到 1920，限制帧率到 60fps，关闭音频，并通过模拟实体键盘来控制设备：

scrcpy --video-codec=h265 --max-size=1920 --max-fps=60 --no-audio --keyboard=uhid``scrcpy --video-codec=h265 -m1920 --max-fps=60 --no-audio -K # 简写

在新的虚拟显示器中启动 VLC

在一个新的虚拟显示器中启动 VLC（与设备主屏幕分开）：

scrcpy --new-display=1920x1080 --start-app=org.videolan.vlc

在新的 flex 显示器中启动 VLC

使用 H.265 在新的 flex 显示器中启动 VLC，码率为 16 Mbps，同时保持显示器常亮，避免自动熄灭：

scrcpy --new-display -x --keep-active --start-app=org.videolan.vlc --video-codec=h265 -b16M

录制摄像头

以 H.265 格式录制设备摄像头视频到 MP4 文件，分辨率为 1920×1080，同时录制麦克风音频：

scrcpy --video-source=camera --video-codec=h265 --camera-size=1920x1080 --record=file.mp4

把前置摄像头作为电脑摄像头输出

捕获设备前置摄像头，并在电脑上暴露为摄像头设备（Linux）：

scrcpy --video-source=camera --camera-size=1920x1080 --camera-facing=front --v4l2-sink=/dev/video2 --no-playback

不镜像画面直接控制设备

通过模拟实体键盘和鼠标来控制设备，但不进行镜像显示（不需要 USB 调试）：

scrcpy --otg

用游戏手柄控制设备

使用插在电脑上的游戏手柄来控制设备：

scrcpy --gamepad=uhid scrcpy -G # 简写

获取

• • GitHub https://github.com/Genymobile/scrcpy/releases/tag/v4.0

原文：https://www.appinn.com/scrcpy-4/

字数 1195，阅读大约需 6 分钟

npm 出现了新攻击方式：TanStack Router 官方 npm 包被植入恶意代码。攻击者入侵了项目发布流程，上传了带后门的官方版本。这些包会窃取开发者电脑里的各种密钥，并尝试继续感染开发者拥有权限的其他 GitHub 仓库，再借 npm 进一步传播。

令人绝望的是：它绕过了现代 npm 生态最核心的一整套“信任链”：

• • 发布者是真的

• • 官方账号是真的

• • CI 是真的

• • provenance 是真的

• • npm 签名也是真的

但发布出去的代码，是恶意的。

另外，有安全研究员认为，这是 npm 历史上第一次出现真正“会自我传播”的蠕虫式供应链攻击。

到底发生了什么？

这次出问题的是 TanStack Router，一个非常流行的 JavaScript 路由库，在 npm 上每周下载量超过数百万次，被大量前端项目使用。

攻击者先从临时分枝提交了一段恶意代码。虽然这个提交很快就被关闭了，但项目的自动化系统还是运行了它。

这段代码随后污染了 CI 缓存。后来，另一个完全正常的更新触发正式发布流程时，系统再次读取了这个缓存，最终把恶意代码一起打包进了官方 npm 版本里。

TanStack 复盘的时候说：

• • 没有维护者被钓鱼

• • 没有密码泄漏

• • 团队成员都开启双因素认证（2FA）

• • 也没有 npm Token 被偷

攻击链大概是：

攻击者先提交一个恶意 PR
↓
这个 PR 触发了 GitHub Actions
↓
CI 在运行过程中执行了攻击者代码
↓
攻击者污染了 CI 缓存（cache poisoning）
↓
正式发布流程再次读取这个缓存
↓
恶意代码进入官方 release pipeline
↓
CI 自己生成合法 OIDC 发布凭据
↓
官方流程亲手发布了恶意 npm 包

更可怕的是

这些恶意包并不是伪造的“假包”，而是真正通过官方流程发布出来的。

• • 包是官方账号发布的

• • npm 签名正常

• • provenance / SLSA 验证通过

攻击者甚至没有入侵 npm 账号，他们只是提交了一个 Pull Request，随后利用项目自动化流程中的漏洞，把恶意代码混进了官方发布版本。

为什么说它是“蠕虫”？

普通的包中毒只是“守株待兔”，等你去下。

普通的投毒是需要开发者、用户去下载、安装，才会中招。

但这个恶意代码只要你在本地运行了它，它就会立刻扫描你的电脑，偷走你的 npm 令牌和 GitHub 密钥。

然后，它会利用你的权限，自动去翻你参与过的其他 GitHub 仓库，悄悄修改它们的 CI 配置，这意味着，你维护的其他项目，在下一次自动化构建时，都会变成新的毒源。

而这个过程，不就是蠕虫病毒（Computer Worm）吗？

蠕虫病毒是一种通过网络自动传播的独立恶意程序，无需人工干预即可利用系统漏洞自我复制。

这标志着“盲目信任”时代的终结。

过去，我们总觉得，只要不下载莫名其妙的安装包、看准官方认证、官网，守护好自己的账号，应该就安全了，稳了！

但现在，你甚至不能信任「官方渠道的上游代码」，就有点残酷了。

这就好比在某官方旗舰店购买了一台手机，虽然旗舰店是真的、手机外包装也是真的、甚至数据线都是真的，但手机是假的。

在这个自动化的时代，可能除了自己写的那几行代码，其它的你都得留个心眼。

（现实是，自己的代码也是 AI 写的…）

建议

手上的项目，先别着急升级，让子弹飞一会，等个一周两周的，再去碰最新的代码。

原文：https://www.appinn.com/tanstack-npm-compromise/

另外，npm 攻击已经…很多次了 😭

光青小蛙注意到的就有：

• • 又是 npm 包投毒，密码管理器 Bitwarden CLI 中招（放心：本体安全）

• • axios 被供应链投毒，OpenClaw 中招

攻击者都不直接攻击最终用户，而是先污染开发者依赖的 npm 包。只要拿下了自动化路径中的某一点，就能完成攻击。

字数 576，阅读大约需 3 分钟

速度提升、肉眼可见啊。

Windows 11 最近开始测试 Low Latency Profile 功能，可以明显提高系统响应速度，让 Windows 11 更流畅 。包括打开软件、开始菜单、右键菜单等，真的是肉也可见的响应速度提升。

但代价是…多用了一点力：几秒内把 CPU 频率拉高，然后再将回来。

要青小蛙讲：这样的事情多来几次，让整个 Windows 11 都快起来最好。对应消耗的那点电量、使用的那些 CPU，我愿意！

Low Latency Profile低延迟配置

直接上结果，你需要至少打开 Windows 11 开发者预览体验计划的 Beta 频道：

使用 vivetool 激活：

vivetool /enable /id:60716524,61391826

或者使用 ViveTool 图形界面工具（👈 微软商店），分别输入这两个代码（Feature ID：60716524、61391826）即可。

视频

到底该不该压榨 CPU？

青小蛙表示，有点没想到居然有不少用户对于这样的方式表示不满，说「我个人认为，如果你使用的操作系统需要这样的东西来让它看起来流畅，那么这个系统就是垃圾，是对用户的不尊重。」

对此，老牌播客作者、微软开发者社区知名大神 Scott Hanselman 表示：「所有现代操作系统都会这样做，包括 macOS 和 Linux。这不是 “作弊”，现代系统就是这样让应用程序感觉快速的：它们会暂时提升 CPU 速度，优先处理交互任务，以减少延迟。」

是啊，你买来的 CPU，不压榨它，难道供着么？

使劲用啊，用不坏啊。尤其操作系统界面这种几秒钟就完事，对 CPU 来说毫无压力。

不过有13代用户表示不行：

而说到电池，也有同学表示：

不过，既然 macOS 与 Linux 都能这么干，Windows 为何不这么干呢。

青小蛙倒是觉得，这样的优化，再多来几个啊。

原文：https://www.appinn.com/windows-11-low-latency-profile-cpu-boost/

我发现这个地方很容易吵架，基本上一周一次。动不动就在那里吵，但是我这个位置又听不清。有一次是晚上12点多，小朋友都睡了，楼下几辆车停在那里喊叫...哎呀烦死了。

不过最烦的是半夜3点被摩托车还是汽车炸街的给叫醒，简直想打人 

---

睡前不要和小朋友玩耍...

昨天晚上临睡觉了，我从短视频里看来的好玩的，就叫小朋友来玩玩。

大概是这样的：我在床上大字躺好，上面整面平铺被子。小朋友趴上来，我瞬间收手和脚，用四肢把他包裹起来，他就被被子裹起来了。

哎呀，弄完我就后悔了，他在那大喊大叫，又在那狂笑，，还说吓死了吓死了，热死了热死了。

然后.....就兴奋了、睡不着觉了 

你说这个大半夜的，我惹他干嘛....

不过，昨天小朋友放学的时候和我说：我已经知道5单元成绩了，92分，暂时排第二，但还没有号完，不知道最终是第几。

哎呀，看他开心的样子，晚睡就晚睡吧，我也没办法了（最近都是11点左右才睡觉）

简单粗暴的 Windows 11 更新，我喜欢！

就是在资源管理器中，显示正常的单位！

这是青小蛙现在的电脑：

说实话，我是一眼看不出来那个 4百多万kb的文件，到底是多大的。

这时就需要查看属性，或者点击文件才能看到了：

这里再吐槽一下，在深色背景下，属性界面还是白色的。

感谢小熊猫的提醒：https://meta.appinn.net/t/topic/85169

他还专门 @青小蛙表示：

并且，大家都觉得是史诗级更新。

在以往，Windows的文件资源管理器，详细信息视图里，文件大小一栏的单位始终局限于KB，很不直观：

很多人因此使用第三方工具强行修改，如Windhawk的mod，强行改为自适应单位

不过，在Windows 11的25H2 Beta和25H2 Experimental最新版本（26220.8370和26300.8376）中，格式得到了改进，可以自适应单位为GB、MB、KB，以及其他单位：

目前，该变更需要使用Vivetool开启vivetool /enable /id:61014711才能启用，微软你不是说不搞灰度测试了吗？

在这里，青小蛙有一个更简单的开启方式：

安装 https://apps.microsoft.com/detail/9p1bw5wb82mh?hl=zh-CN&gl=US

这是一个 Vivetool 的图形界面版本，不需要敲命令行了。

运行之后，在功能ID中输入 61014711，然后点击 启用，重启电脑。

重启电脑，之后：

舒服了。

字数 1097，阅读大约需 6 分钟

最近10日，来自小众软件论坛的发现频道的热门排行榜，由系统自动生成，青小蛙手动整理：

1️⃣ Motrix Next — Motrix 精神续作来了

已经在前几天介绍了，一个跨平台的下载工具，最大特色就是不再使用 Electron。

详见：全功能开源下载工具：不使用 Electron、Motrix 精神续作

2️⃣【开源免费自荐】xb 微博插件： 重新设计微博PC网页版的 chrome 插件

https://meta.appinn.net/t/topic/84836

它能将微博从：

变成：

3️⃣【开发者自荐】一款微信读书的本地平替版电子书阅读器

https://meta.appinn.net/t/topic/85140

• • 纯本地应用，所有数据完全本地存储，不依赖网络，无广告

• • 支持导入 PDF 或 EPUB 格式文档或电子书

• • 支持字体调节和笔记功能

• • 支持通过 OCR 将扫描版内容转换为文本格式，解决扫描版内容在手机上阅读困难的痛点

4️⃣【自荐】上班摸鱼神器，推理解谜小游戏, 烧脑耐玩 — “用线索找坏蛋”

https://meta.appinn.net/t/topic/85030

就....从20个人里面找到坏蛋, 利用一个或多个已知的线索, 证据链是精心设计的, 会有层层递进的探索感

纯摸鱼啊。

5️⃣[母亲节福利] 3 款精致 Mac App 限免开启（仅限非国区 App Store）

前几天已介绍，但是限免已过期。

6️⃣【开源自荐】觅影 OmniPlay – mac、win双平台海报墙播放器

https://meta.appinn.net/t/topic/84846

觅影 OmniPlay 是一款原生开发的海报墙播放器，支持mac、win双系统。mac采用swift开发，win采用C# + .net + Avalonia UI。底层播放器核心为 MPVKit-GPL / libmpv / FFmpeg 相关组件。

你看，古典开发者喜欢强调开发细节，实际上用户关心的细节：

• • 海报墙媒体库

• • 采用TMDB刮削 / 自动扫描与刮削

• • 支持添加本地文件夹、WebDAV、SMB。mac 版因为开发一直有bug，不支持SMB直连

• • 不需要将电影、剧集分不同文件夹进行挂载，软件自动识别。

• • 支持公共 TMDB 源，也支持自定义 TMDB API Key / v4 Token。

7️⃣ TVBox Q 版 Android 4.0.0-4.0.4 移植

https://meta.appinn.net/t/topic/85045

开发者 @CoiaPrant 说：找了一圈没有支持 Android 4.0 的 TVBox，自己打了一版。普通版本无响应的请用 Legacy 版本 (从某个上古软件提取的 IJKPlayer 能在 4.0 用)

怎么理解 TVBox  呢？看图：

这是青小蛙在手机上测试的，也不清楚是哪个版本。这个移植版本，非常适合老旧的安卓盒子。

8️⃣〖开发者自荐〗在线图片生成工具，提供 GPT Image 2 文生图、参考图改图，以及可复制的提示词模板。

https://meta.appinn.net/t/topic/85017

注册赠送 60 积分，一个商业的 GPT Image 2 文生图（无任何利益相关，纯上榜了）

9️⃣〖开发者自荐〗一个基于 Seedance 2.0 的在线视频生成工具，支持文生视频、图生视频和多模态参考素材。

https://meta.appinn.net/t/topic/85025

同样无任何利益相关，纯上榜了。开发者这样说的：这个站主要想解决一个比较具体的问题：很多人想用 AI 做短视频，但不知道怎样写提示词、怎样控制镜头、怎样用图片或视频素材约束结果。

所以 C Dance AI 不只是一个生成入口，也整理了一些提示词和工作流：

• • 文生视频：输入场景、动作、镜头、风格后生成短视频

• • 图生视频：上传首帧图片，让静态图动起来

• • 首尾帧控制：用起始图和结束图约束视频变化方向

• • 多模态参考：可结合图片、视频、音频等参考素材

• • 支持常见视频比例和分辨率设置

• • 提供 Seedance 2.0 提示词案例、视频作品参考和创作指南

🔟【效率工具】Aura Share 免费的临时文件分享平台，无需注册登录即可使用，安全私密，支持口令分享，最大支持上传2GB单文件，不限速

https://meta.appinn.net/t/topic/84940

一个临时文件工具，不过青小蛙测试时提示：Country, region, or territory not supported，翻译过来就是：不支持的国家、地区或领土 😭