博客 · 第 16 页
关于工程、设计与一些随手记录。
哈希与校验和：为什么 CRC32 和 MD5 得自己写
浏览器只在安全上下文提供 SHA 系列，CRC32 与 MD5 不在 Web Crypto 里。顺带解决大文件不该一次读进内存，以及校验值不该靠人眼比对。
正则测试：命中、分组与替换预览，以及零宽匹配的坑
自己写一个正则测试页要处理三件事：把命中位置和分组讲清楚、把替换结果先预览出来、以及别让零宽匹配把页面卡死。
JSON 工作台：格式化、校验与结构对比放在同一个页面
从反复在终端写临时命令洗 JSON 的经历出发，做一个只在浏览器里运行的工作台：格式化、压缩、排序、带行列的错误定位，以及两份 JSON 的结构差异。
1059 项断言，零测试框架：纯逻辑必须零 import
我的自检是 node scripts/selftest.ts 直接跑的，没有测试框架也没有依赖。代价是纯逻辑模块一个相对 import 都不能有，而这个代价换来了代码形状。
SharePoint 反序列化 RCE：CVE-2026-45659 分析
一个普通 Site Member 账户就足以在 SharePoint 服务器上执行任意代码。微软最初判定「利用可能性较低」，CISA 依据在野证据把它拉进了 KEV，并要求三天内完成修复。
n8n 未授权 RCE（Ni8mare）：CVE-2026-21858 分析
表单节点跳过了对 Content-Type 的验证，于是一个 application/json 请求就能让它去读任意文件。读出配置里的密钥后可伪造管理员 JWT，再借沙箱绕过完成 RCE。