共享 DuckDB 服务器的八类暴露与生产加固实践
文章审计了多用户共享 DuckDB 节点时 SQL 用户可触及操作员未打算共享资源的八类暴露：凭证经 getenv()、/proc、ATTACH 连接串和 CLI history 泄露。
推荐理由：原文逐条给出共享 DuckDB 节点上八类暴露的具体示例与对应缓解做法，可直接迁移到其他多租户分析型数据库的加固场景。
#教程/实践
Hacker News精选推荐指数7474
BurpSuite官方精选推荐指数7171 PortSwigger 研究：用重叠片段把 CSS 注入可窃取的 token 长度推至 640 字符
PortSwigger 研究员 Alex 在 Gareth Hughes 原始 CSS 注入窃取 token 技术基础上，用图论方式把大量短片段按重叠关系拼接，无需递归加载样式表即可重建完整 token。
推荐理由：原文用图论重叠片段思路把 CSS 注入窃取 token 的成本压低三个数量级，并给出可复现的实验数据与 Burp AT 技能，读者可直接迁移该方法。
BurpSuite官方精选推荐指数7272 Burp Suite Turbo Intruder 支持 HTTP/3，实测超 100,000 RPS
PortSwigger 宣布 Turbo Intruder 支持 HTTP/3，作者用 HTTP3 引擎通过 Wi-Fi 向远程主机打出 100,000 RPS，云端同区域部署最佳成绩约 180,000 RPS，并推出新的 AUTO 引擎自动选择最高 HTTP 版本并动态调参。
推荐理由：原文给出了HTTP/3引擎的调优参数与实测RPS数据，读者可据此评估在自身目标上能压到多快的模糊测试速度。
Hugging Face Blog精选推荐指数6060 Hugging Face 实测 OpenAI Privacy Filter：用 gradio.Server 构建三个 PII 脱敏 Web 应用
Hugging Face 博客作者用 OpenAI 本周在 Hub 上开源的 Privacy Filter（1.5B 参数、50M 激活参数、Apache 2.0 许可。
推荐理由：原文用三个可运行示例演示了 Privacy Filter 的 PII 检测能力与 gradio.Server 的前后端分工，读者可直接照搬这套工程做法。
已经到底了