今日科技动态呈现出工具革新与信任危机并存的局面。开发者工具领域迎来了 GitHub 的原生“堆叠式 PR”功能，试图解决大代码审查的痛点；而在软件工程深处，形式化验证的实验揭示了运行时环境的脆弱性。与此同时，网络安全与生态信任面临严峻挑战：WordPress 插件供应链遭到利用，攻击者通过区块链技术规避封禁；云服务提供商 Backblaze 则因停止备份特定文件夹引发用户信任危机。此外，搜索引擎优化规则更新针对浏览器历史劫持行为，而创意软件巨头 Blackmagic 也推出了针对静态照片的专业级调色工具。
代码堆叠的阶梯：GitHub Stacked PRs; 购买信任的代价：30款WordPress插件被植入后门; 迷途的浏览器键：Google打击“后退按钮劫持”; 胶片般的静物：DaVinci Resolve推出照片版; 证明完美的幻象：形式化验证程序中发现运行时漏洞; 沉睡的备份：Backblaze停止备份部分同步文件夹。
新闻速递
代码堆叠的阶梯：GitHub Stacked PRs
GitHub 推出了名为 Stacked PRs 的原生功能，允许开发者将多个 Pull Request（PR）按顺序排列成一个栈，并支持一键合并。这一功能旨在解决大 PR 审查困难、冲突频发的问题，通过将大型变更拆解为独立的、可逐层审查的小型 PR 来优化团队协作。用户可以通过 GitHub 界面浏览栈结构，或使用 gh stack 命令行工具进行本地工作流管理，包括创建栈、级联变基和推送分支。此外，该功能还集成了 AI Agent，能够帮助编码助手理解并处理这种栈式工作流。
社区讨论集中在这一功能对工作流的改进以及与旧有工具的对比。有用户提到 Phabricator 和 Mercurial 的堆叠式差异流，认为 GitHub 的实现回归了“石器时代”的简单。也有人指出，虽然 CLI 功能强大，但部分团队仍希望能在界面中直接对单个提交进行交互式变基或标记。
购买信任的代价：30款WordPress插件被植入后门
一个购买者通过 Flippa 平台收购了名为“Essential Plugin”的团队名下的 30 多个 WordPress 插件后，在所有插件中植入了恶意代码。此次攻击的源头是插件中的 wpos-analytics 模块，攻击者通过该模块在 2026 年 4 月 6 日将恶意 PHP 代码注入到网站配置文件 wp-config.php 中。这些恶意代码会从以太坊智能合约解析出的命令与控制（C2）服务器获取链接，仅对 Googlebot 可见，从而绕过传统的域名封禁措施。
更值得警惕的是，恶意代码在植入后处于潜伏状态长达 8 个月，直到 2026 年 4 月 5 日至 6 日才被激活。该版本于 2025 年 8 月发布，引入了 PHP 反序列化漏洞，允许攻击者执行任意函数。WordPress.org 在 2026 年 4 月 7 日当天永久关闭了该作者名下的至少 30 个插件，以切断威胁。
社区讨论揭示了软件供应链的深层风险。有评论指出，购买成熟插件是获取用户信任的捷径，但用户往往无法审计这些第三方库。关于软件更新的本质，也有观点认为更新代表了一种权衡：既要修复漏洞，又要避免破坏用户习惯，甚至面临被“恶意利用”的风险。
迷途的浏览器键：Google打击“后退按钮劫持”
Google 搜索策略更新，将“后退按钮劫持”明确列为违反“恶意实践”垃圾邮件政策的违规行为。这种行为指网站通过脚本干扰浏览器导航，阻止用户使用后退按钮返回上一页，或将其重定向至未访问过的页面、广告等。Google 表示，这种行为破坏了用户对浏览器核心功能的预期，导致用户体验受损并降低对陌生网站的访问意愿。
根据新规，从事此类行为的页面可能面临人工垃圾邮件处罚或自动降权。Google 提供了两个月的时间窗口（至 2026 年 6 月 15 日）供网站所有者整改，并建议检查是否使用了包含此类代码的第三方库或广告平台。
社区反馈中，LinkedIn 被多次提及为典型的“后退按钮劫持”案例。用户报告称，从 LinkedIn 链接进入后，点击后退键会被重定向回 LinkedIn 首页而非来源页面。有开发者质疑第三方域名的脚本不应拥有修改浏览器历史记录的权限，并呼吁 Google 下一步能打击“Ctrl+F 搜索劫持”等类似行为。
胶片般的静物：DaVinci Resolve推出照片版
Blackmagic Design 宣布为 DaVinci Resolve 添加了专门的“照片”页面，将好莱坞级别的调色工具引入静态摄影领域。新功能提供了节点式工作流，支持 RAW 格式图片（最高达 32K 分辨率）的编辑，并集成了波形图、矢量图等专业示波器。用户可以在该页面完成曝光、白平衡等基础调整后，无缝切换到“调色”页面进行复杂的色彩分级。
除了编辑功能，该版本还支持通过 Blackmagic Cloud 进行云端协作，允许摄影师、调色师和修图师实时共享项目、元数据和分级效果。此外，它支持从 Apple Photos 和 Lightroom 导入照片，并利用 AI IntelliSearch 快速检索素材。
用户对新功能表示欢迎，认为这是 Resolve 在调色领域的自然延伸，填补了专业级静态图像处理的空白。不过，也有评论指出软件在 Linux 平台上的支持体验不佳，且官方未能提供清晰的技术规格列表。
证明完美的幻象：形式化验证程序中发现运行时漏洞
一项实验表明，即使代码通过了形式化验证，依然可能存在漏洞。研究者在 Lean 4 生态中，利用 10 个 AI 代理构建并验证了 lean-zip（zlib 的验证实现），该实现被证明在数学上是完全正确的。然而，当使用 AFL++、AddressSanitizer 等工具对这段“验证无误”的代码进行 1.05 亿次模糊测试时，研究人员发现了两个问题：一个是 Lean 4 运行时的堆缓冲区溢出（lean_alloc_sarray），另一个是 lean-zip 归档解析器中的拒绝服务漏洞。
这两个漏洞均未出现在形式化证明的范围内：前者属于 Lean 4 运行时这一“受信任计算基”的问题，后者则是因为缺少对特定输入的处理规范。实验过程中，研究人员特意移除了文档和定理以避免 AI 代理产生偏差，但最终结果显示，形式化验证主要保证的是程序在特定假设下（如无恶意输入）的正确性。
社区对此讨论热烈。有观点认为，形式化验证将错误从代码逻辑层面转移到了规范定义层面，即“证明了一个程序做了它被要求做的事，但被要求做的事本身可能有误”。也有评论指出，随着 AI 能力提升，更多软件将具备被形式化验证的潜力，但硬件层面的漏洞和运行时环境的不确定性依然是安全防御的薄弱环节。
沉睡的备份：Backblaze停止备份部分同步文件夹
资深用户报告称，云备份服务 Backblaze 在未提前通知的情况下，停止对其个人电脑上的 OneDrive 和 Dropbox 文件夹进行备份。这一发现源于用户试图从备份中恢复被意外覆盖的 Git 历史记录，却发现该文件夹未被备份，随后在社区发现其他用户也面临相同情况。
Backblaze 的商业宣传一直强调“无限制存储”，即只要文件能放入电脑硬盘，服务就会进行备份。然而，用户指出，虽然 OneDrive 和 Dropbox 文件夹内的文件已被同步到云端，但它们的版本保留期较短（通常仅一个月），且依赖于服务提供商的稳定性，这并不等同于 Backblaze 提供的长期冷备份。目前，Backblaze 官方未在设置中明确列出这些文件夹为默认排除项，导致用户在遇到问题时难以排查原因。
社区反馈显示，这并非个例。有用户提到 Backblaze 曾发生过文件名泄露事件，且在恢复文件时出现故障。也有长期用户表示，该服务在停止备份特定文件夹的同时，似乎在逐渐废弃桌面客户端，并试图引导用户转向付费的 B2 存储产品。
编辑手记
今天的几条新闻，无论是工具层面的革新还是安全层面的警示，都在指向同一个核心命题：我们在构建更复杂的自动化与信任系统，同时也暴露了更隐蔽的脆弱点。
GitHub 的 Stacked PRs 功能展示了工具如何试图对抗“软件熵增”——通过结构化手段降低大型项目的维护成本。然而，Item 5 中 Lean 验证实验的发现则泼了一盆冷水：当我们过度依赖形式化证明来确信代码的“完美”时，真正的漏洞可能潜伏在操作系统运行时（如 Lean 4 的内存分配器）或未被定义的边界条件中。这提醒我们，自动化和验证能提升确定性，但无法消除所有不确定性。
在生态与服务的信任构建上，风险正在发生转移。Item 2 中的 WordPress 攻击展示了供应链攻击的进化：攻击者利用区块链技术（智能合约）作为 C2 服务器，使得传统的域名封禁失效；而 Item 6 中 Backblaze 的“无限”承诺与实际行为的割裂，则揭示了 SaaS 服务在商业利益与用户契约之间的博弈。用户往往默认“备份”是绝对的，但这种默认在服务条款的灰色地带和商业决策面前显得不堪一击。
接下来值得观察的具体信号是：随着 AI 编程助手（如 GitHub Copilot 或 lean-zip 的构建者）深度介入开发与验证流程，开发者将如何界定“代码所有权”与“安全责任”？当验证工具和备份服务都变得高度自动化时，用户是否具备审查这些自动化决策（如自动排除 .git 文件夹）的能力？