探索 AI 优先开发、编码护栏和可处置架构。https://autotomy.dev/zh-hanshttps://autotomy.dev/zh-hans/blog/git-bisect-binary-search-commit/https://autotomy.dev/zh-hans/blog/git-bisect-binary-search-commit/Git bisect 把手动翻 commit 变成了自动二分查找。以下是如何在不逐个 checkout 的情况下，精确定位引入 bug 的 commit。Tue, 25 Aug 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/production-crash-capture-replay/https://autotomy.dev/zh-hans/blog/production-crash-capture-replay/堆栈追踪告诉你崩溃发生的位置，而不是原因。以下是一种捕获-复现模式，能把生产环境崩溃转化为本地可调试的测试用例。Mon, 24 Aug 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/symbolic-execution-integer-overflow-coverage/https://autotomy.dev/zh-hans/blog/symbolic-execution-integer-overflow-coverage/你的单元测试只检查特定输入，而 symbolic execution 检查所有可能的输入。以下是它的工作原理、成本以及从何入手。Sun, 23 Aug 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/pii-tracking-code-pipeline/https://autotomy.dev/zh-hans/blog/pii-tracking-code-pipeline/大多数团队是在客户投诉后才发现 PII 泄露。以下是如何从源头到输出全程追踪敏感数据，并附上了今天就能用的代码示例。Sat, 22 Aug 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/api-contract-testing-ci/https://autotomy.dev/zh-hans/blog/api-contract-testing-ci/大多数 CI 流水线能捕获语法错误和逻辑 bug，却漏掉了真正拖垮生产环境的 API contract 破坏。以下是修复方法。Fri, 21 Aug 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/crash-correlation-triangulation/https://autotomy.dev/zh-hans/blog/crash-correlation-triangulation/Statistical debugging 找到与崩溃相关的 predicates，但相关性不是文件和行号。以下是如何通过排序、过滤和三角测量，从相关性分数找到实际的 bug 位置。Thu, 20 Aug 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/sentry-seer-trace-root-cause/https://autotomy.dev/zh-hans/blog/sentry-seer-trace-root-cause/Seer 摄取 trace tree、关联的错误和性能分析数据来诊断分布式问题。以下是它的实际工作原理、擅长之处以及仍然需要人工帮助的地方。Wed, 19 Aug 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/statistical-debugging-adoption-challenges/https://autotomy.dev/zh-hans/blog/statistical-debugging-adoption-challenges/Statistical debugging 承诺通过将程序行为与故障相关联来精确定位 bug。以下是为什么这个想法从未从研究论文跨越到生产系统。Tue, 18 Aug 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/statistical-debugging-production-data-anomalies/https://autotomy.dev/zh-hans/blog/statistical-debugging-production-data-anomalies/Statistical debugging 将你的生产数据视为信号，将 bug 视为信号中的异常。以下是如何在不添加任何 unit test 的情况下发现数据损坏、off-by-one 错误和静默故障。Mon, 17 Aug 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/metamorphic-testing-production-bugs-compiler/https://autotomy.dev/zh-hans/blog/metamorphic-testing-production-bugs-compiler/Metamorphic testing 在 GCC、LLVM、Vulkan shader 编译器和 ADAS 模拟器中发现了真实 bug。本文用可运行的代码解释这项技术，并说明它在你 test suite 中的定位。Sun, 16 Aug 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/llm-metamorphic-relations-brainstorming/https://autotomy.dev/zh-hans/blog/llm-metamorphic-relations-brainstorming/大语言模型在发现 test oracles 时是个不错的头脑风暴伙伴，但它们会产生幻觉性质，并遗漏领域约束。以下是如何在不发布虚假测试的前提下使用它们。Sat, 15 Aug 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/metamorphic-relation-quality/https://autotomy.dev/zh-hans/blog/metamorphic-relation-quality/并非所有 metamorphic relations 都能捕获 bug。弱关系给你虚假信心，强关系才能发现真正的缺陷。以下是如何区分两者，并构建一组真正有效的关系。Fri, 14 Aug 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/metamorphic-testing-oracle-problem/https://autotomy.dev/zh-hans/blog/metamorphic-testing-oracle-problem/Metamorphic testing 让你无需知道确切的预期输出就能验证代码正确性。本文介绍它的工作原理、局限性以及如何开始使用。Thu, 13 Aug 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/typescript-phantom-types-protocol-state/https://autotomy.dev/zh-hans/blog/typescript-phantom-types-protocol-state/如何使用 phantom types 和 `this` 参数，将非法的协议转换从运行时 bug 变成编译期错误。Wed, 12 Aug 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/openapi-session-types-protocol-gap/https://autotomy.dev/zh-hans/blog/openapi-session-types-protocol-gap/OpenAPI 规范描述了请求和响应的 schema，但并未规定合法的消息序列。本文介绍你能从中提取什么，以及哪些地方仍需手动补全。Tue, 11 Aug 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/session-types-research-to-production/https://autotomy.dev/zh-hans/blog/session-types-research-to-production/会话类型将通信协议编码到类型系统中，将运行时协议错误转化为编译时错误。以下是它们为何在论文中停留三十年才被生产代码采用的原因。Mon, 10 Aug 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/session-types-deadlock-compiler-errors/https://autotomy.dev/zh-hans/blog/session-types-deadlock-compiler-errors/会话类型将通信协议编码到你的类型系统中，在代码运行之前将消息传递不匹配转化为编译器错误。Sun, 09 Aug 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/infer-abstract-interpretation-ci/https://autotomy.dev/zh-hans/blog/infer-abstract-interpretation-ci/如何使用Infer在CI管道中运行形式化静态分析，包含可工作的配置和现实权衡。Sat, 08 Aug 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/llm-static-analysis-triage/https://autotomy.dev/zh-hans/blog/llm-static-analysis-triage/大语言模型可以帮助分流静态分析中的误报，但它们无法像抽象解释那样理解程序语义。以下是如何将两者结合。Fri, 07 Aug 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/facebook-android-abstract-interpretation-races/https://autotomy.dev/zh-hans/blog/facebook-android-abstract-interpretation-races/Facebook如何利用抽象诠释和有意的不完整性，在数百万行Android代码中大规模发现竞态条件。Thu, 06 Aug 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/meta-infer-100000-bugs-static-analysis/https://autotomy.dev/zh-hans/blog/meta-infer-100000-bugs-static-analysis/Meta的Infer利用抽象解释和双向推理，通过推理代码结构而非执行来发现空指针解引用、内存泄漏和竞态条件。以下是它的工作原理以及如何在您自己的代码库中使用它。Wed, 05 Aug 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/static-analysis-aviation-abstract-interpretation/https://autotomy.dev/zh-hans/blog/static-analysis-aviation-abstract-interpretation/抽象解释会对每一种可能的程序状态进行过度近似。如果除零错误在抽象中不可达，那它在真实代码中就不可达。以下是它的工作原理以及它的局限性。Tue, 04 Aug 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/abstract-interpretation-runtime-error-proof/https://autotomy.dev/zh-hans/blog/abstract-interpretation-runtime-error-proof/抽象解释让你在执行之前就证明运行时错误不可能发生。以下是它的实际工作原理、难点所在，以及它在你的工具链中的定位。Mon, 03 Aug 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/cheri-c-porting-hybrid-abi/https://autotomy.dev/zh-hans/blog/cheri-c-porting-hybrid-abi/CHERI 的 hybrid ABI 让你可以逐步将 C 代码移植到 capability 硬件上。本文介绍如何编译、哪些代码会出问题，以及如何在不 rewrite 整个 codebase 的情况下修复它们。Sun, 02 Aug 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/capability-hardware-cheri-history/https://autotomy.dev/zh-hans/blog/capability-hardware-cheri-history/自 1970 年代以来，硬件层面的内存安全性就已可行。以下是权能架构为何一直败给扁平内存模型，以及为什么 CHERI 终于正在改变这一等式。Sat, 01 Aug 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/c-library-wasm-sandbox/https://autotomy.dev/zh-hans/blog/c-library-wasm-sandbox/用容器来隔离单个 C 库未免小题大做。将其编译为 WebAssembly，在 WASI 沙箱中运行，即可实现内存安全、基于权能的文件系统访问和崩溃隔离，无需 Docker。Fri, 31 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/mobile-memory-tagging-extension/https://autotomy.dev/zh-hans/blog/mobile-memory-tagging-extension/ARM Memory Tagging Extension 和 GWP-ASan 让现代移动设备在生产环境中检测内存安全成为可能。本文介绍它们的工作原理和权衡取舍。Thu, 30 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/cheri-hardware-buffer-overflow-prevention/https://autotomy.dev/zh-hans/blog/cheri-hardware-buffer-overflow-prevention/CHERI是一种硬件扩展，它将每个指针转变为带有边界的权能。本文介绍它如何在CPU层面阻止缓冲区溢出、代价几何，以及如何在真实硬件上试用。Wed, 29 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/llm-cleanroom-proof-obligation-automation/https://autotomy.dev/zh-hans/blog/llm-cleanroom-proof-obligation-automation/净室验证需要生成并消解证明义务。以下介绍 LLM 如何自动化注解和验证条件生成，让你可以专注于真正困难的证明。Tue, 28 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/cleanroom-pragmatic-subset/https://autotomy.dev/zh-hans/blog/cleanroom-pragmatic-subset/Cleanroom software engineering 将 defect rate 降低 100 倍，但全面采用需要独立的 test team 和 formal proof。这里介绍一种 pragmatic subset，无需 overhead 即可捕获大部分收益。Mon, 27 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/ibm-cleanroom-zero-defects-disappearance/https://autotomy.dev/zh-hans/blog/ibm-cleanroom-zero-defects-disappearance/IBM 的 Cleanroom engineering 达到了比行业平均水平好 100 倍的 defect rate，然后消失在历史中。它的消失与是否有效毫无关系。Sun, 26 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/ibm-cleanroom-10000-lines-zero-defects/https://autotomy.dev/zh-hans/blog/ibm-cleanroom-10000-lines-zero-defects/Cleanroom software engineering 承诺通过 mathematical verification 而非 debugging 实现零缺陷增量。我们查看 IBM 的实际项目数据，看看这一说法是否成立。Sat, 25 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/cleanroom-box-structure-three-layers/https://autotomy.dev/zh-hans/blog/cleanroom-box-structure-three-layers/Box Structure 强制你将模块的行为、记忆的状态和实现方式定义为三个独立且可验证的层。以下是 Cleanroom 如何利用它们消除调试。Fri, 24 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/ibm-cleanroom-01-defects-per-kloc/https://autotomy.dev/zh-hans/blog/ibm-cleanroom-01-defects-per-kloc/IBM 的 Cleanroom 工程流程通过预防而非发现缺陷，实现了比行业平均水平好 100 倍的缺陷率。以下是它的工作原理、为何几乎无人使用，以及你今天可以借鉴什么。Thu, 23 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/ci-literate-programming-tangle/https://autotomy.dev/zh-hans/blog/ci-literate-programming-tangle/Literate programming 承诺单一事实来源，但手动的 weave 和 tangle 步骤会破坏 CI/CD 流水线。以下是如何自动化提取和文档生成，使 Markdown 文件保持规范。Wed, 22 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/llm-rubber-ducking-bug-rate/https://autotomy.dev/zh-hans/blog/llm-rubber-ducking-bug-rate/我花了30天时间，在向LLM索要代码之前先撰写设计说明。结果改变了我对rubber-ducking的看法。Tue, 21 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/literate-programming-markdown-python/https://autotomy.dev/zh-hans/blog/literate-programming-markdown-python/Literate programming 将 Markdown 文件作为单一事实来源，使文档、测试和实现保持同步。以下是如何用三十行 Python 实现它。Mon, 20 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/claude-thread-to-documentation/https://autotomy.dev/zh-hans/blog/claude-thread-to-documentation/LLM 对话包含意图、被拒绝的替代方案以及可运行的代码。这正是文档应该包含的内容。以下是将 ephemeral chat 转换为持久、可搜索的文档，同时不丢失叙事的方法。Sun, 19 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/structured-editing-ast-text-editors/https://autotomy.dev/zh-hans/blog/structured-editing-ast-text-editors/每个编译器都将你的代码视为树，但你的编辑器让你编辑原始文本。以下是结构化编辑的实际样子、为什么它没有占领市场，以及如何在不更换工具的情况下借用其优势。Sat, 18 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/knuth-literate-programming-history/https://autotomy.dev/zh-hans/blog/knuth-literate-programming-history/Literate programming承诺代码应该首先为人类编写，其次才是为机器。四十年后，几乎没有人这样写。以下是软件文档化中最优雅的理念为何未能改变我们工作方式的原因。Fri, 17 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/fagan-causal-analysis-defects/https://autotomy.dev/zh-hans/blog/fagan-causal-analysis-defects/大多数团队修复缺陷后就继续前进。同样的缺陷反复出现。以下是如何在费根审查内部运行因果分析，从而停止两次编写同样的缺陷。Thu, 16 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/pr-reviews-catch-15-to-30-percent-defects/https://autotomy.dev/zh-hans/blog/pr-reviews-catch-15-to-30-percent-defects/IBM、AT&T、HP 和 Microsoft 的多项研究均证实，非正式代码审查大约能发现四分之一的缺陷。以下是数据实际说明的内容、该比例偏低的原因以及解决方法。Wed, 15 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/fagan-structured-checklist-defect-detection/https://autotomy.dev/zh-hans/blog/fagan-structured-checklist-defect-detection/大多数审查检查清单都是复制粘贴的良好愿望列表。Fagan inspection风格的结构化检查清单基于实际缺陷数据构建，针对特定工件类型，并在个人准备阶段使用。以下是如何构建一个有效的检查清单。Tue, 14 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/llm-fagan-inspection-preparation/https://autotomy.dev/zh-hans/blog/llm-fagan-inspection-preparation/费根审查需要四到六个人、两小时才能审完250行代码。大语言模型可以通过承担准备工作和检查清单的执行来削减这部分成本，但它无法取代人类角色去发现最昂贵的缺陷。Mon, 13 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/fagan-inspections-disappearance-ibm/https://autotomy.dev/zh-hans/blog/fagan-inspections-disappearance-ibm/Michael Fagan 在 IBM 设计的结构化审查流程，能在代码进入编译器之前捕获几乎全部缺陷。但它也消耗了项目总工时的15%–20%。本文解释软件史上最有效的审查方法为何消失，以及团队究竟失去了什么。Sun, 12 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/fagan-reviewer-defect-detection-variance/https://autotomy.dev/zh-hans/blog/fagan-reviewer-defect-detection-variance/即使是高级工程师，在非结构化审查中也只能发现一小部分缺陷。Michael Fagan 在IBM的研究揭示了原因，并构建了结构化审查流程来解决这一问题。Sat, 11 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/fagan-inspections-90-percent-defects/https://autotomy.dev/zh-hans/blog/fagan-inspections-90-percent-defects/非正式的代码审查只能发现15%到30%的缺陷。Fagan Inspection是一种有50年历史的结构化流程，持续报告60%到90%的缺陷移除率。以下是它的工作原理、团队回避它的原因，以及如何运行轻量级版本。Fri, 10 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/autoverus-llm-rust-verification/https://autotomy.dev/zh-hans/blog/autoverus-llm-rust-verification/AutoVerus利用LLM智能体网络为Rust代码生成Verus正确性证明，通过由SMT求解器反馈驱动的生成-修复-消除循环，自动化超过90%的证明义务。Thu, 09 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/llm-rust-formal-proofs-hallucination/https://autotomy.dev/zh-hans/blog/llm-rust-formal-proofs-hallucination/大语言模型能写出质量惊人的Rust代码，但当你要求形式化证明时，它们会幻觉出不变量，并编造出没有任何验证器接受的语法。本文介绍它们真正做对了什么、在哪里崩溃，以及如何善用它们。Wed, 08 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/model-checking-race-conditions/https://autotomy.dev/zh-hans/blog/model-checking-race-conditions/model checking 如何在数秒内碾压你在生产环境跑几天才能发现 concurrency bug 的做法，以及如何把它用在自己的代码上。Tue, 07 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/is-there-a-model-checker-that-doesnt-require-learning-temporal-logic/https://autotomy.dev/zh-hans/blog/is-there-a-model-checker-that-doesnt-require-learning-temporal-logic/像Kani这样的有界模型检验器和像Alloy这样的关系模型查找器允许你用普通的断言和约束来验证性质。你放弃了活性证明，换来的是以小时而非周为单位的学习曲线。Mon, 06 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/rust-model-checking-kani-state-space/https://autotomy.dev/zh-hans/blog/rust-model-checking-kani-state-space/像 Kani 这样的模型检验工具让你可以用断言代替形式化证明来验证 Rust 性质。棘手之处在于，当你的循环没有小的边界时会发生什么。Sun, 05 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/distributed-protocol-model-checking-tla/https://autotomy.dev/zh-hans/blog/distributed-protocol-model-checking-tla/分布式缺陷在部署后修复成本高昂。模型检验能让你在写下第一行实现代码之前就发现它们。以下是如何使用 TLA+ 做到这一点。Sat, 04 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/infrastructure-config-dsl-per-context/https://autotomy.dev/zh-hans/blog/infrastructure-config-dsl-per-context/基础设施团队如何使用按上下文划分的 DSL 来管理 dev、staging 和 production 之间的配置，使环境差异显式且类型安全。Fri, 03 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/grammar-constrained-decoding-llm/https://autotomy.dev/zh-hans/blog/grammar-constrained-decoding-llm/LLM 会对语法产生幻觉，因为它们以概率方式采样 token。语法约束解码在每一步过滤词表，只输出保持语法有效性的 token。Thu, 02 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/english-to-theme-deterministic-design-tokens/https://autotomy.dev/zh-hans/blog/english-to-theme-deterministic-design-tokens/你可以从简单的英语描述中生成设计令牌，但前提是将该描述视为带有模式契约和快照测试的限界上下文DSL。Wed, 01 Jul 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/typescript-parser-combinators-dsl/https://autotomy.dev/zh-hans/blog/typescript-parser-combinators-dsl/对于大多数 bounded-context 的 DSL 来说，解析器生成器是大材小用。解析器组合子让你可以用与应用相同的语言构建可用的解析器，无需生成代码，也无需构建步骤。Tue, 30 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/config-validation-build-time/https://autotomy.dev/zh-hans/blog/config-validation-build-time/如何使用模式验证和构建时检查，在应用程序开始处理流量之前捕获配置错误。Mon, 29 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/javascript-capability-security-lockdown/https://autotomy.dev/zh-hans/blog/javascript-capability-security-lockdown/Ambient Authority意味着Node.js进程中的任何代码都能触碰文件系统、网络和运行环境。本文将讲解如何通过lockdown、compartment和显式capability传递来剥除它。Sun, 28 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/service-authentication-without-ambient-authority/https://autotomy.dev/zh-hans/blog/service-authentication-without-ambient-authority/大多数服务间信任来自网络位置，而非密码学证明。本文介绍能力令牌、mTLS 和 SPIFFE 如何让服务在不依赖环境权威的前提下完成认证，以及为何这做起来比想象中困难。Sat, 27 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/rust-cap-std-capability-filesystem/https://autotomy.dev/zh-hans/blog/rust-cap-std-capability-filesystem/Rust 的标准库向每个依赖授予隐式的文件系统权限。cap-std 将其替换为基于权能的 API，强制代码在打开路径之前证明它有权访问该路径。Fri, 26 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/whats-a-confused-deputy-attack-and-how-do-i-prevent-it/https://autotomy.dev/zh-hans/blog/whats-a-confused-deputy-attack-and-how-do-i-prevent-it/Confused deputy 攻击会诱骗一个拥有特权的服务，让它利用自己的权限攻击自己。以下是攻击者如何利用隐式信任发起攻击，以及为什么 capability-based security 才是解决方案。Thu, 25 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/typescript-capability-based-security/https://autotomy.dev/zh-hans/blog/typescript-capability-based-security/基于能力的安全模型用不可伪造的权限令牌取代零散的角色检查。以下是如何在 TypeScript 中实现它，同时不让代码变得难以阅读。Wed, 24 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/capability-based-security-permissions/https://autotomy.dev/zh-hans/blog/capability-based-security-permissions/大多数代码运行在 ambient authority 之下：每个函数都能触碰一切。Capability-based security 翻转了这一范式，强制函数只能接收显式、受限定范围的权限。Tue, 23 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/should-i-stop-throwing-errors-and-start-returning-them/https://autotomy.dev/zh-hans/blog/should-i-stop-throwing-errors-and-start-returning-them/抛出的异常会把失败路径从你的类型系统中隐藏起来。下面解释为什么显式返回错误能让代码更诚实，以及如何在不折磨自己的情况下采用这一模式。Mon, 22 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/rust-newtypes-zero-cost-safety/https://autotomy.dev/zh-hans/blog/rust-newtypes-zero-cost-safety/一个单字段包装结构体就能在编译期捕获单位混淆和类型错用，不增加哪怕一个字节的开销。Sun, 21 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/is-there-a-better-way-than-switch-statements-for-type-safe-matching/https://autotomy.dev/zh-hans/blog/is-there-a-better-way-than-switch-statements-for-type-safe-matching/TypeScript 的 switch 语句会悄无声息地让你遗漏分支。下面介绍如何用穷尽性检查模式来替代它，让构建阶段而非运行时暴露错误。Sat, 20 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/typescript-exhaustiveness-state-machines/https://autotomy.dev/zh-hans/blog/typescript-exhaustiveness-state-machines/给状态机添加新状态很容易。记住更新每一个 switch 语句却不然。下面介绍如何让 TypeScript 在你遗忘某个 case 时拒绝编译。Fri, 19 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/typescript-currency-types/https://autotomy.dev/zh-hans/blog/typescript-currency-types/TypeScript 把所有数字视为同一个东西。下面介绍如何让它区分 USD 和 EUR，使编译器在代码上线前就能拦截货币转换相关的 bug。Thu, 18 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/typescript-unit-types-compile-time/https://autotomy.dev/zh-hans/blog/typescript-unit-types-compile-time/该传秒的地方传了毫秒，这种 bug 能躲过所有测试。下面介绍如何将单位直接编码进 TypeScript 的类型系统，让混用在编译阶段就报错，且运行时零开销。Wed, 17 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/typescript-branded-types-newtypes/https://autotomy.dev/zh-hans/blog/typescript-branded-types-newtypes/TypeScript 中的类型别名不会创建独立的类型。Branded types 可以，而且它们能在编译时帮你避免混淆标识符。Tue, 16 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/differential-testing-common-mode-failures/https://autotomy.dev/zh-hans/blog/differential-testing-common-mode-failures/差分测试让你无需知道正确答案就能发现 bug。问题在于，相关的错误看起来像是达成一致。以下是如何发现盲点。Mon, 15 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/function-equivalence-smt-solvers/https://autotomy.dev/zh-hans/blog/function-equivalence-smt-solvers/N-version programming 假设你的实现结果一致。我们来看为什么测试远远不够，SMT solvers 如何真正证明等价性，以及如何在‘足够好’和形式化验证之间取舍。Sun, 14 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/llm-variant-disagreement-resolution/https://autotomy.dev/zh-hans/blog/llm-variant-disagreement-resolution/并行运行多个 LLM 能够捕捉到任何单一模型都会自信地交付的错误。以下是如何构建一个真正有效的分歧解决系统。Sat, 13 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/n-version-implementation-selection/https://autotomy.dev/zh-hans/blog/n-version-implementation-selection/N-version programming 听起来很简单：运行多种实现，然后挑出最佳答案。但在实践中，'最佳'远比'最常见'更难定义。Fri, 12 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/llm-n-version-diverse-implementations/https://autotomy.dev/zh-hans/blog/llm-n-version-diverse-implementations/基于 LLM 的 N 版本编程不需要多个模型。通过变化提示词、角色设定和推理约束，你可以从单个模型中提取多样化且正确的实现。Thu, 11 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/nasa-n-version-programming-knight-leveson/https://autotomy.dev/zh-hans/blog/nasa-n-version-programming-knight-leveson/N-version programming 曾承诺独立团队会犯独立的错误。Knight 和 Leveson 在 1986 年的实验证明了相反的事实，NASA 悄然放弃了这条路线。Wed, 10 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/cucumber-skipped-scenarios-diagnosis/https://autotomy.dev/zh-hans/blog/cucumber-skipped-scenarios-diagnosis/Cucumber 的 'skipped' 状态隐藏了三种完全不同的问题。以下是如何诊断是哪一种在侵蚀你的测试套件，以及如何阻止它。Tue, 09 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/gherkin-specs-automated-sync/https://autotomy.dev/zh-hans/blog/gherkin-specs-automated-sync/一旦你指望人工手动维护，Gherkin 规格说明就会立刻与现实脱节。本文介绍如何通过自动化检查，让 feature 文件始终如实反映系统行为。Mon, 08 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/architecture-tests-ci-enforcement/https://autotomy.dev/zh-hans/blog/architecture-tests-ci-enforcement/大多数团队把架构规则写在维基里。这里介绍如何把它们写成可执行的测试，当你的依赖图发生漂移时让 CI 挂掉。Sun, 07 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/clean-architecture-domain-infrastructure-ci/https://autotomy.dev/zh-hans/blog/clean-architecture-domain-infrastructure-ci/整洁架构的图在白板上看着很美。本文介绍如何在构建流水线中强制执行依赖方向，让领域代码永远无法触及基础设施。Sat, 06 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/architecture-docs-code-generated-diagrams/https://autotomy.dev/zh-hans/blog/architecture-docs-code-generated-diagrams/架构文档在你保存的那一刻就开始腐烂。以下是如何利用代码生成图表、ADR 和自动化架构测试来保持文档的诚实。Fri, 05 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/idempotency-keys-api-retries/https://autotomy.dev/zh-hans/blog/idempotency-keys-api-retries/超时或崩溃并不意味着你的 API 请求已经丢失。本文介绍幂等键（idempotency key）如何让重试变得安全，以及真正防止重复请求的数据库存储模式。Thu, 04 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/distributed-leases-fencing-tokens/https://autotomy.dev/zh-hans/blog/distributed-leases-fencing-tokens/内存中的互斥锁在服务器重启后随即消失。本文介绍带有 fencing token 和 TTL 的分布式租约如何防止崩溃后的重复执行，以及它们在哪里仍然会失效。Wed, 03 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/circuit-breaker-lazy-recovery-no-goroutines/https://autotomy.dev/zh-hans/blog/circuit-breaker-lazy-recovery-no-goroutines/大多数熔断器库都会启动后台线程来探测恢复。你根本不需要它们。本文介绍一种请求驱动的设计，在消除所有后台开销的同时，不牺牲正确性。Tue, 02 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/crash-only-software-web-services/https://autotomy.dev/zh-hans/blog/crash-only-software-web-services/Crash-only 软件将每一次失败视为崩溃，将每一次启动视为恢复。对于 Web 服务来说，这意味着删除你的关闭逻辑，并设计出能在 kill -9 下存活的状态。Mon, 01 Jun 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/killing-surviving-mutants/https://autotomy.dev/zh-hans/blog/killing-surviving-mutants/mutation testing 发现了一个 survivor，但你根本不知道这个 mutation 做了什么。这里有一个分步方法，让你不用先理解 mutant 也能写出正确的测试。Sun, 31 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/mutation-score-per-module-risk/https://autotomy.dev/zh-hans/blog/mutation-score-per-module-risk/为什么在整个代码库强制执行单一变异分数是错误的，以及如何根据实际风险设置按模块划分的阈值。Sat, 30 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/my-tests-pass-but-my-mutation-score-is-40-whats-a-surviving-mutant/https://autotomy.dev/zh-hans/blog/my-tests-pass-but-my-mutation-score-is-40-whats-a-surviving-mutant/代码覆盖率告诉你很安全。变异测试告诉你，你的测试大多只是摆设。以下是存活变异体如何暴露这一鸿沟，以及如何弥合它。Fri, 29 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/rust-mutation-testing-cargo-mutants/https://autotomy.dev/zh-hans/blog/rust-mutation-testing-cargo-mutants/cargo-mutants 能找出那些只是假装在验证代码的测试。本文介绍变异测试在 Rust 中的工作原理、它能捕捉什么问题，以及编译时间成本是否值得。Thu, 28 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/ai-coding-validation-spectrum-backend-web-mobile/https://autotomy.dev/zh-hans/blog/ai-coding-validation-spectrum-backend-web-mobile/AI 编码遵循一条验证梯度：后端在毫秒内确定性地验证，Web 需要分钟级的视觉回归，移动端受限于物理现实需要数小时。验证速度和确定性沿着这条光谱递减，反馈循环直接决定了 AI 编码在哪里能发挥作用、在哪里会碰壁，决定了AI编码的可行边界。Wed, 27 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/monkey-machine-gun-aimbot/https://autotomy.dev/zh-hans/blog/monkey-machine-gun-aimbot/AI 代码治理不是要从初级开发者和 AI 代理手中夺走工具，而是要安装guardrails，让每一发子弹都命中目标而不会造成附带损害。Wed, 27 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/mutation-testing-takes-4-hours-how-do-teams-actually-use-it-in-ci/https://autotomy.dev/zh-hans/blog/mutation-testing-takes-4-hours-how-do-teams-actually-use-it-in-ci/大多数团队不会每次提交都跑完整的变异测试套件。以下是工程团队如何在不破坏构建流水线的情况下，真正把变异测试集成进CI的做法。Wed, 27 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/database-persistence-testing-mocks/https://autotomy.dev/zh-hans/blog/database-persistence-testing-mocks/Mock 数据库测试验证的是 SQL 语法，而不是数据行能否在崩溃、并发写入或 schema 不匹配时存活。下面介绍如何真实地测试持久化。Tue, 26 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/fear-vs-steamroll-ai-coding-divide/https://autotomy.dev/zh-hans/blog/fear-vs-steamroll-ai-coding-divide/AI 编程对能够从任何混乱中恢复的精英团队有效。其他人则只能面对恐惧、失败的 CI 和被放弃的实验。差距不在模型本身。Tue, 26 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/redux-testing-real-state-transitions/https://autotomy.dev/zh-hans/blog/redux-testing-real-state-transitions/为每个 Redux action 写 mock 会让你的测试变成 changelog 校验器。下面介绍如何用真实的状态流转来测试 store。Mon, 25 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/ai-coding-in-production-autotomy-framework/https://autotomy.dev/zh-hans/blog/ai-coding-in-production-autotomy-framework/大多数团队尝试 AI 编程，代码上线后被 QA 驳回，然后放弃。问题不在于模型——而在于缺少让 AI 输出变得可信任的护栏。Sun, 24 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/property-based-testing-run-count/https://autotomy.dev/zh-hans/blog/property-based-testing-run-count/Property-based testing 中默认的 100 个 example 是一种社会妥协，而非统计策略。以下是如何选择与你的信心需求和 CI 预算相匹配的运行次数。Sun, 24 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/fuck-u-code-deterministic-quality-gate-ai-pipeline/https://autotomy.dev/zh-hans/blog/fuck-u-code-deterministic-quality-gate-ai-pipeline/你已经有类型检查、代码风格审查和架构规则。但你的确定性栈对复杂度、重复代码和命名灾难视而不见。以下是零成本的解决方案。Sat, 23 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/rust-property-based-testing-quickcheck/https://autotomy.dev/zh-hans/blog/rust-property-based-testing-quickcheck/基于示例的测试只覆盖你想得到的输入。property-based testing 生成随机数据，检查 invariants，并将失败 shrink 到最小反例。Sat, 23 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/ai-coding-why-version-one-is-never-the-problem/https://autotomy.dev/zh-hans/blog/ai-coding-why-version-one-is-never-the-problem/AI 编程工具擅长生成第一版。真正的工程挑战始于第四版——当团队需要改动某些东西而不破坏其他一切时。Fri, 22 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/ai-generated-code-replaceability-principle/https://autotomy.dev/zh-hans/blog/ai-generated-code-replaceability-principle/衡量 AI 生成代码质量的真正标准不是它在第一天能否运行，而是在第三十天你能否在不 rewrite 其他所有内容的情况下替换它。Fri, 22 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/deterministic-guardrails-ai-codebases/https://autotomy.dev/zh-hans/blog/deterministic-guardrails-ai-codebases/人工审查不一致，AI 审查更不可靠。AI 生成 codebase 唯一可扩展的防线是确定性 enforcement：让构建失败的规则，而非被忽视的建议。Fri, 22 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/i-write-unit-tests-why-do-bugs-still-slip-through/https://autotomy.dev/zh-hans/blog/i-write-unit-tests-why-do-bugs-still-slip-through/代码覆盖率指标制造了一种虚假的安全感。以下是单元测试为何漏掉那些让你夜不能寐的 bug，以及你应该测什么。Fri, 22 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/rust-zero-cost-runtime-contracts/https://autotomy.dev/zh-hans/blog/rust-zero-cost-runtime-contracts/Rust 会自动剥离 debug assertions，但真正的 design-by-contract 需要的远不止 debug_assert!。本文介绍如何在 Release 二进制文件中实现零成本的 runtime contracts，并让它们彻底消失。Thu, 21 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/production-assertion-decision-framework/https://autotomy.dev/zh-hans/blog/production-assertion-decision-framework/开发者要么像撒彩纸一样到处抛撒断言，要么完全避之不及。这个决策框架能帮你区分有用的 invariants 和生产环境崩溃的触发器。Wed, 20 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/declarative-runtime-contracts-validation/https://autotomy.dev/zh-hans/blog/declarative-runtime-contracts-validation/手动验证会让 codebase 膨胀不堪，却依然遗漏边界情况。下面介绍如何通过声明式 schemas 强制执行 runtime contracts，同时让它们不碍你的事。Tue, 19 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/typescript-strictnullchecks-runtime-nulls/https://autotomy.dev/zh-hans/blog/typescript-strictnullchecks-runtime-nulls/严格模式能捕获你写出来的 null，却无法捕获来自 API、DOM 查询和 JSON.parse 在运行时抵达的 null。类型系统止步之处，正是你的防御开始之时。Mon, 18 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/code-review-becomes-specification-review/https://autotomy.dev/zh-hans/blog/code-review-becomes-specification-review/当 AI 能从规格生成实现、测试和 contracts 时，人类最有杠杆效应的工作会前移到上游。最需要被严格审视的，是规格本身。Sun, 17 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/ai-safety-stack-types-contracts-property-tests-mutation/https://autotomy.dev/zh-hans/blog/ai-safety-stack-types-contracts-property-tests-mutation/如果你想让 AI-generated code 能在生产环境里站得住，光靠 code review 不够。你需要一套从 type constraints 到 mutation testing 与 runtime containment 的分层安全栈。Sat, 16 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/meteor-development-is-real/https://autotomy.dev/zh-hans/blog/meteor-development-is-real/这个梗好笑，是因为很多团队确实活在“陨石开发”里：不断变化的目标、固定期限和半成型范围一起砸下来。Autotomy 不能修复幻想式规划，但它可以让开发继续往前走。Sat, 16 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/stanford-cs146s-ai-architecture-gap/https://autotomy.dev/zh-hans/blog/stanford-cs146s-ai-architecture-gap/这篇对 Stanford CS146S 的评析认为，它准确看到了 AI coding 的转向，但真正决定长期质量的仍是 AI architecture：系统是否可替换、可约束、可持续演进。Sat, 16 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/engineering-ideas-ai-economics/https://autotomy.dev/zh-hans/blog/engineering-ideas-ai-economics/Design by contract、property-based testing、mutation testing、model checking 从来不是坏思路。真正的问题是它们长期需要太多专业判断才能维持，而 AI 正在改变这笔账。Fri, 15 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/ai-react-native-guardrails-scaling/https://autotomy.dev/zh-hans/blog/ai-react-native-guardrails-scaling/AI 可以很快把你的 React Native MVP 推到线上，但如果没有 guardrails，每一个小改动都可能打坏无关 flow。下面解释 declarative constraints 如何避免速度直接变成脆弱性。Thu, 14 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/app-lifecycle-resume-status/https://autotomy.dev/zh-hans/blog/app-lifecycle-resume-status/你的应用在 dev 里一切正常，但用户午休后回来却看到白屏。这里是正确处理原生 lifecycle 的 resume status 模式。Thu, 14 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/dependency-tiers-hard-soft-optional/https://autotomy.dev/zh-hans/blog/dependency-tiers-hard-soft-optional/如果 optional SDK 按照 core infrastructure 的方式初始化，它们完全可以在启动时把 app 一起带崩。下面解释这套 dependency tier system 如何避免非关键工具拖垮 production。Thu, 14 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/nativewind-vs-stylesheet-contract/https://autotomy.dev/zh-hans/blog/nativewind-vs-stylesheet-contract/你用 Cursor 一个周末就做出了 MVP，但现在改一个 brand color 都会波及 47 个文件。这里是能止血的 styling contract。Thu, 14 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/o1-guards-vs-llm-reviews/https://autotomy.dev/zh-hans/blog/o1-guards-vs-llm-reviews/LLM code review 既不确定、又慢，还会漏掉架构违规。这套 O(1) guard stack 才真的能让你的代码保持干净。Thu, 14 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/refactor-by-replacement/https://autotomy.dev/zh-hans/blog/refactor-by-replacement/别再执着于保留旧代码。开始为删除而设计。Autotomy 模式如何让模块安全可替换。Thu, 14 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/service-boundaries-composition-root/https://autotomy.dev/zh-hans/blog/service-boundaries-composition-root/AI 生成的 auth 看起来没问题，直到一个新 feature 把手伸进了错误的 service。下面解释这套 interface-driven architecture 如何避免 vendor swap 和功能迭代把 login 一起打坏。Thu, 14 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/url-validation-expo-router/https://autotomy.dev/zh-hans/blog/url-validation-expo-router/deep link、push payload、shared URL 全都是 untrusted input。下面解释如何在 Expo Router boundary 就把它们 validate 掉，别让坏 params 进入 screen。Thu, 14 May 2026 00:00:00 GMThttps://autotomy.dev/zh-hans/blog/useSyncExternalStore-pattern/https://autotomy.dev/zh-hans/blog/useSyncExternalStore-pattern/别再写那些会 memory leak、会漏掉 state update 的 useEffect subscription 了。这里是构建 bulletproof external state 的 React 18 pattern。Thu, 14 May 2026 00:00:00 GMT