文章

微调 vs RAG 这个问题，通常不是以问题的形式出现的，而是以一句结论出现：我们需要用自己的数据微调一个模型。这是企业 AI 里最昂贵的一句话之一，而且多数情况下是错的。不是永远错，但确实是多数。这个诉求背后几乎总是两件事之一：模型不了解我们的业务，或者模型回答的方式不是我们想要的。对第一件事，微调是一个糟糕的解法；对第二件事，微调是一个昂贵的解法。 在微调、RAG 和提示词之间做选择，并不是技术偏好问题。三者各自修复的是完全不同类别的问题，选错了，就会换来几个月的工程投入，而最初那句抱怨依然原封不动地摆在那里。 最省钱的一条规则： 如果问题是模型不知道某件事，用检索。如果问题是模型知道，但回答的风格、格式或长度不对，先改提示词，...

网站迁移大概是唯一一种能在一个下午就抹掉多年搜索可见度的常规项目。重做前端、更换平台、更换域名，甚至只是顺手整理一下网址结构，都带着同样的风险，而损失很少在上线当天露面。它通常在两周后才显形，表现为一条安静而持续的下滑曲线，没有人会把它和那次发布联系起来。 好消息是，原因早已被研究透彻，而且几乎全部可以预防。在实际项目里，迁移造成的流量损失几乎都能追到同一件事上：一份不完整的重定向映射。这篇文章里的其他所有内容，重要性都排在把这件事做对之后。 只有一条规则： 每一个当前存在且仍有价值的网址，都必须通过一次永久重定向，落到新站上最接近的对应页面。这里说的价值，指的是它有流量、有外链，或者仅仅是已被索引。不是首页。不是三跳的跳转链。一次...

进入 2026 年后，认真考虑迁移出 OpenAI 的团队明显变多了。开放权重模型在日常生产任务上的质量已经很难与头部模型区分开来，公开单价更低，而权重本身可以下载这一点，把与厂商的关系从依赖变成了选择。 但这并不意味着切换是免费的。API 调用本身几乎一模一样，真正要干活的是它周围的一切。本文讲清楚:哪些东西能原样搬过去,哪些会悄悄出问题,怎样设计一次有意义的比较,以及什么时候留在原地才是正确答案。 先把预期对齐。 换厂商就是换一个基础 URL、一个模型名、一份凭据。但要拿回同样的输出质量,那是以天为单位计的提示词工程。给一个范围明确的功能预留一到三周。任何假设可以即时替换的估算,都是乐观估算。 哪些东西能原样搬过去比你想的多,这...

大多数团队把 API 安全当成身份验证问题：发放令牌，在每一条路由上校验它，然后认为事情已经做完了。直到某天，一位测试人员把 URL 里的一个数字改掉，就读到了另一位客户的发票。 「已通过身份验证」和「已获得授权」之间的这道缝隙，正是绝大多数真实 API 泄露事件栖身的地方，而且它并不是扫描器能够稳定发现的那类问题。自动化工具看到一个有效的令牌和一个 200 响应，就报告成功。只有理解你业务规则的人，才会注意到那个响应里装的是别人的数据。 核心区别： 身份验证证明的是谁在调用。授权决定的是这个特定调用方可以看到什么、可以修改什么，而且它必须落实到每一个对象、每一次请求，并在数据层强制执行。几乎所有严重的 API 漏洞，都是第一件事运...

如果你的 WordPress 网站被黑，现在正显示医药垃圾内容、把访客转到某个不堪的地方，或者被 Google 标记为欺骗性网站，请从这里开始，而不是从一个插件开始。人的第一反应是装一个安全扫描器然后点清理。那样做去掉的是看得见的症状，留下的是进来的路，这也是为什么那么多网站几天之内就再次被感染，而站长最后得出结论：WordPress 本来就不安全。 并不是。几乎每一次入侵都是通过一个过期插件进来的，而几乎每一次清理失败，都是因为有人清掉了恶意软件，却没有清掉访问权限。 第一个小时： 把网站下线或切到维护模式。更换主机控制面板密码、数据库密码、所有管理员密码，以及 FTP 或 SSH 凭据。先不要恢复备份，也先不要删除任何东西。你需...

几乎每一次 WooCommerce 性能排查都以同一个场景开始。店主已经换了更快的主机，装了缓存插件，还买了图片优化工具，网站却依然慢。于是他们得出结论：WooCommerce 本来就重，然后就此放弃。 WooCommerce 确实比一个型录式网站重，这在每个页面都可能带着购物车的前提下无法避免。但一个需要六秒才能打开的商店，承受的并不是这份开销。它承受的是某个具体的东西，而以我的经验，几乎总是四件事之一。 一句话版本： 商店慢，是因为购物车和结账页无法进入页面缓存，因为 options 表被自动加载的垃圾数据撑到臃肿，因为商品查询在扫描一张没有索引的元数据表，也因为三十个插件各自往每个页面上塞自己的脚本。主机是最后才该换的东西，不...

Drupal 迁移属于那种能安稳待在下个季度计划里的项目，直到某个日期让它变得紧迫。眼下正有两个日期在做这件事，而其中只有一个还没到来。 Drupal 7 已于 2025 年 1 月 5 日失去官方支持。任何还在跑它的站点，已经一年多没有任何安全保障了。Drupal 10 将在 2026 年 12 月 9 日走到生命周期终点，正好是 Drupal 12 发布的同一周，此后它不会再收到任何形式的发行版。如果你正处在这两个版本之一，问题已经不是要不要动，而是走哪条路、要花多少钱。 你现在的位置： 从 Drupal 10 到 Drupal 11 是一次真正的升级，同一个站点原地更新，通常两到六周。从 Drupal 7 到 Drupal...

需要招聘 Drupal 开发者的组织，通常在运营一些体量不小的东西：有四十个院系的大学网站、带有无障碍义务的公共部门门户、权限真正重要的会员平台。Drupal 很少被选来做宣传册式的站点。它被选中，是因为内容模型复杂，而这意味着你招的人必须理解模型，而不只是主题。 这个市场也比 WordPress 更小、更成熟。开发者更少，其中资深比例更高，招聘流程奖励的是具体。本文讲清这个岗位在 2026 年要花多少钱、哪些能力把 Drupal 工程师和只装过一次 Drupal 的 PHP 开发者区分开，以及现在就该左右你决策的那个期限。 有时间压力： Drupal 10 将于 2026 年 12 月 9 日结束生命周期，同一周 Drupal...

自托管 Kimi K3 在 2026 年 7 月 27 日成为技术上可行的选项，那天 Moonshot AI 连同生产级推理支持一起公开了这个 2.8 万亿参数模型的权重。许多机构读到这条消息后得出结论：现在可以在自家硬件上运行前沿级推理，不必再按 token 付费了。 这个结论通常是错的，但原因并非人们预想的那样。工程上是可以做到的。真正击垮多数项目的是那笔账，而且它往往在预算批下来好几个月后才悄无声息地发作。 简短回答： 在 MXFP4 精度下，2.8 万亿参数在计入键值缓存之前就已占用约 1.4TB。一个八卡 H100 节点只有 640GB，因此根本无法服务这个模型。现实的部署要从约 1.7TB 显存起步，...

Kimi K3 API 带着一个不寻常的组合登场：接近前沿水平的基准成绩、激进的定价，以及可供下载的权重。Moonshot AI 于 2026 年 7 月 27 日公开了这些权重，使 K3 成为迄今公开发布的最大模型，也是这一规模的模型首次在原则上可以由你自己运行。 对于已经在向前沿供应商付费的团队来说，这提出的是一个务实问题，而非哲学问题：它在你的技术栈里有没有位置，把一部分流量迁过去究竟会改变什么。本文讨论成本测算、集成工作，以及那些公开数字无法转化为生产表现的环节。 简而言之： Kimi K3 的缓存未命中输入约为每百万 token 3 美元，缓存命中输入约为 0.30 美元，输出约为 15 美元，...