来源: oschina.net
44
做过内容型产品的人都知道，图片处理这块"小事"能吃掉大量工程时间。用户上传一张 5MB 原图，手机端要 400px 宽的 WebP 缩略图，桌面端要 1200px 的 JPEG，海外用户还希望把图片里的中文说明翻译成英文——每一条需求背后都是一套裁剪、转换、存储、缓存逻辑。ImgFlux v0.1 把这些能力打包成一个读写分离的微服务，Docker C...
来源: postgr.es
58
大多数被归咎于"数据库挂了"的 PostgreSQL 宕机，真正的故障点在更底层——内核的文件描述符（file descriptor）用完了，PostgreSQL 只是第一个倒下的进程。这篇文章拆解整个故障链路：从连接数膨胀到 FD 耗尽，从日志特征到诊断命令，再到根治方案和临时止血手段。 Linux 内核把几乎所有 I/O 对象都抽象为文件描述符：T...
来源: cncf.io
78
过去一年，开源供应链几乎成了攻击者的游乐场。Axios 在 npm 上被劫持，正常版本里混进了远程访问木马；LiteLLM 的 PyPI 包同样遭篡改——这些都不是理论风险，而是已经发生的事。攻击路径往往指向同一个薄弱环节：CI/CD 流水线的执行权限。谁能触发 workflow？谁能往流水线里注入步骤？谁能拿到签名密钥？这些问题如果没想清楚，项目再火...
来源: postgr.es
39
Percona 之前发过一篇博客，说 pgBackRest 配合 pg_tde（透明数据加密扩展）时，异步归档不可用——原因是对加密的 WAL 段做归档会出问题。Stefan Fercot 在会议走廊里听到这个说法后觉得不对劲：pgBackRest 应该能透明处理加密 WAL。于是他亲手搭了一套环境跑了一遍，结论是：异步归档完全可用，之前说的限制并不成...
来源: oschina.net
41
Docker 29.5.3 是一个小版本更新，但修了一个让不少用户头疼的问题——在使用 containerd 镜像存储时，一边清理镜像一边跑 ，容易触发错误。如果你已经在用 Docker 的 containerd 镜像存储后端，这个版本值得尽快升级。 Docker 默认的镜像存储后端是经典的 V2 格式（overlay2 + layer store）。...
来源: istio.io
40
Istio 近期披露了安全公告 ISTIO-SECURITY-2026-004，对应 CVE-2026-47774，CVSS 评分 7.5（High）。漏洞根因落在 Envoy 的 HTTP/2 头部处理逻辑上——HPACK 编码的压缩率让攻击者用极小的请求体撑爆 Sidecar 内存。任何对外暴露 HTTP/2 或 gRPC 的 Istio 集群都在...
来源: istio.io
44
Istio 1.30.0 发布后不久，1.30.1 就紧随而至——原因很直接：一个 CVSS 7.5 的高危拒绝服务漏洞，加上一批在 ambient 模式、Gateway API、多集群等方向上影响生产稳定性的 bug。如果你正在跑 1.30.0，这次升级不是"可选"，而是"尽快"。 漏洞的核心在于两处 Envoy 对 HTTP/2 头部大小的校验缺失...
来源: istio.io
40
Istio 1.29.4 是一个以安全修复和稳定性提升为主的补丁版本。最值得关注的是 CVE-2026-47774——一个 CVSS 7.5 的高危漏洞，攻击者可以通过精心构造的 HTTP/2 请求让 Envoy 进程内存耗尽，导致拒绝服务。此外，Ambient 模式在本版本集中修复了多个生产级问题：CNI 并发 panic、跨网络 Waypoint ...
来源: istio.io
36
Istio 1.28.8 是一个聚焦安全与稳定性的补丁版本，核心变化只有一个：堵住 Envoy 在 HTTP/2 场景下的内存耗尽漏洞（CVE-2026-47774，CVSS 7.5），同时修复了 ListenerSet 证书丢失、Route 过滤器静默丢弃、以及 Ambient 模式下拓扑感知路由与健康策略联动异常三个问题。如果你的集群正在跑 1.2...
来源: cncf.io
31
eBPF 正在重塑 Kubernetes 可观测性的底层逻辑——内核级钩子、零侵入采集、近乎无开销的运行时洞察。Inspektor Gadget 正是这一浪潮中的代表项目：它把数十种 eBPF 小工具打包成 Kubernetes 原生资源，一条命令就能追踪网络包、监控文件访问、抓取进程执行事件。但 eBPF 工具本身跑在内核态，权限极高，如果实现有漏洞...