https://holmeslin.github.io/posts/Recent content in 文章 on Feng-Chi's NotesHugo -- gohugo.iozh-twMon, 02 Nov 2026 14:00:00 +0800https://holmeslin.github.io/posts/go-os-root-safe-file-store/Mon, 02 Nov 2026 14:00:00 +0800https://holmeslin.github.io/posts/go-os-root-safe-file-store/<p>讓使用者上傳檔案、存在伺服器的某個目錄底下，是很常見的需求。最直覺的寫法只要兩行，但這兩行藏了三個問題：檔名可以跳出目錄、寫到一半當機會留下殘檔、讀檔時可能被一個 FIFO 卡住整個 goroutine。</p> <p>這篇從最直覺的寫法開始，逐一修掉這三個問題。主角是 Go 1.24 新增的 <code>os.Root</code>。</p>https://holmeslin.github.io/posts/go-url-redacted-credential-leak/Mon, 02 Nov 2026 13:00:00 +0800https://holmeslin.github.io/posts/go-url-redacted-credential-leak/<p>服務啟動時把連線字串印到 log，方便確認連到哪台機器，這是很常見的寫法。Go 的 <code>net/url</code> 有一個 <code>Redacted()</code>，看名字會以為它能把敏感資訊遮掉，但它只遮「密碼」這一格。很多連線字串的祕密根本不放在那一格。</p> <p>這篇用實際跑過的測試，整理 <code>Redacted()</code> 會漏掉的幾種情況，以及 <code>url.Parse</code> 錯誤訊息的同類問題，最後給一個簡單的替代寫法。</p>https://holmeslin.github.io/posts/vite-preload-error-stale-chunk/Mon, 02 Nov 2026 12:00:00 +0800https://holmeslin.github.io/posts/vite-preload-error-stale-chunk/<p>Vite 打包的 SPA 部署新版之後，常會收到這種回報：「選單點了沒反應，重新整理就好了。」原因是使用者的分頁還停在舊版，舊版要載入的 chunk 在伺服器上已經不存在了。</p> <p>Vite 官方文件提供了 <code>vite:preloadError</code> 事件，範例只有一行 <code>window.location.reload()</code>。這一行能解決大部分情況，但它沒處理無限重整、同一次失敗觸發好幾次，也沒顧慮使用者手上正在進行的工作。這篇從官方範例出發，逐一補上這些狀況。</p>https://holmeslin.github.io/posts/claude-code-pretooluse-hook-guardrails/Mon, 02 Nov 2026 11:00:00 +0800https://holmeslin.github.io/posts/claude-code-pretooluse-hook-guardrails/<p>在 CLAUDE.md 寫「不要 force push」，模型大多會遵守，但「大多」不夠。Claude Code 的 PreToolUse hook 會在每次工具呼叫之前執行你的腳本，由腳本決定放行或擋下，模型沒辦法用說理的方式繞過去。</p> <p>寫 hook 時最容易忽略的問題是：<strong>hook 自己出錯的時候該怎麼辦？</strong> 擋危險指令的護欄，出錯時應該擋下（fail-closed）；只是提醒的 hook，出錯時應該安靜放行（fail-open）。這篇用兩支 bash 腳本說明這兩種設計。</p>https://holmeslin.github.io/posts/open-redirect-validation/Mon, 02 Nov 2026 10:00:00 +0800https://holmeslin.github.io/posts/open-redirect-validation/<p>使用者在未登入時打開 <code>/orders/42</code>，前端把他導到 <code>/login?redirect=/orders/42</code>，登入成功後再導回去。這個流程幾乎每個 SPA 都有，但 <code>redirect</code> 是網址上的參數，誰都能改。只要改成 <code>?redirect=https://evil.com</code>，使用者就會在剛輸入完帳號密碼、最信任你的那一刻，被送到攻擊者的頁面。這就是 open redirect。</p> <p>這篇從最常見的檢查開始，說明它怎麼被繞過，再一層一層補起來。</p>https://holmeslin.github.io/posts/javascript-note/Thu, 15 Oct 2020 15:43:43 +0800https://holmeslin.github.io/posts/javascript-note/<p>紀錄 Javscript 相關筆記</p>https://holmeslin.github.io/posts/clean-code-javascript/Thu, 30 Jul 2020 08:10:05 +0800https://holmeslin.github.io/posts/clean-code-javascript/https://holmeslin.github.io/posts/clean-code-php/Thu, 30 Jul 2020 08:10:05 +0800https://holmeslin.github.io/posts/clean-code-php/https://holmeslin.github.io/posts/cross-domain/Tue, 14 Jul 2020 08:51:19 +0800https://holmeslin.github.io/posts/cross-domain/<h2 id="前言">前言</h2> <p>前段時間公司同事出現了跨域問題 , 雖然我知道了大略的解決方案 , 但是說實在的真實真實的跨域知識及領域 ,</p> <p>不是了解得很透徹 , 趁這個機會好好查一下文章記錄下來</p>https://holmeslin.github.io/posts/nginx-setting-record/Thu, 09 Jul 2020 14:20:56 +0800https://holmeslin.github.io/posts/nginx-setting-record/https://holmeslin.github.io/posts/server-offline-install-software/Thu, 09 Jul 2020 14:14:35 +0800https://holmeslin.github.io/posts/server-offline-install-software/https://holmeslin.github.io/posts/build-nginx-centos/Thu, 09 Jul 2020 14:01:14 +0800https://holmeslin.github.io/posts/build-nginx-centos/https://holmeslin.github.io/posts/go-goroutine-channel/Wed, 08 Jul 2020 10:36:17 +0800https://holmeslin.github.io/posts/go-goroutine-channel/<h2 id="前言">前言</h2> <p>Go 語言中並發程序可以用兩種方式來實現。</p> <p>一種是 <code>goroutine</code> 和 <code>channel</code>，其支持 &ldquo;交談循序程式&rdquo;（communicating sequential processes）或被簡稱為 CSP。</p> <p>CSP 是一個現代的並發程式模型，在這種程式模型中值會在不同的運行實例(goroutine)中傳遞，儘管大多數情況下被限制在單一實例中。</p> <p>另一種是傳統的並發模型，多線程共享內存(基於共享變量的並發) ， 會在後續單獨闡述。</p>https://holmeslin.github.io/posts/go-sync/Tue, 07 Jul 2020 15:07:16 +0800https://holmeslin.github.io/posts/go-sync/<p>並發程式中的同步也就是我們通常說的鎖的主要作用是保證多個線程或者 <code>goroutine</code> 在訪問同一片內存時不會出現混亂的問題。</p> <p><code>Go</code> 語言的 <code>sync</code> 包提供了常見的並發程式同步 。 今天的文章裡讓我們回到應用層 ， 聚焦 <code>sync</code> 包裡這些同步的應用場景 ， 同時也會介紹 <code>sync</code> 包中的 <code>Pool</code> 和 <code>Map</code> 的應用場景和使用方法。</p>https://holmeslin.github.io/posts/blog-build-process/Tue, 07 Jul 2020 14:29:40 +0800https://holmeslin.github.io/posts/blog-build-process/<blockquote> <p>紀錄建置過程</p> </blockquote> <blockquote> <p>註：本文記錄的是 2020 年的舊架構（hugo-theme-even + peaceiris/actions-gh-pages），本站目前已改用 toha 主題與 GitHub Pages 官方部署流程。</p> </blockquote>