赞

疫情吧，我 21 年买的 model3 ，等了三周就行了

又到了晒博客时间了 https://zoubingwu.com/

just pick whatever you like

看文档，ReadLine tries to return a single line, not including the end-of-line bytes.

Most callers should use ReadBytes('\n') or ReadString('\n') instead or use a Scanner.

开源对开发者来说事实上提供了一个简单免费快速方便的软件分发方式，中间是不存在审核的，任何人都可以发布任何你想要发布的东西，其他人开到是开源时天然就产生了一种更信任的感觉，这个社区就是建立在脆弱的信任链条上的，希望它从来不出问题是不可能，扪心自问有几个人使用 curl xxx.sh | bash 这种方式安装东西的时候会去检查那个脚本里写了什么呢？更别说一个项目那么多的依赖了。

不管是包的数量还是开发者的数量，npm 社区这个第一庞大的超级规模出现这种事情是完全可以预期的，其他语言 /社区要做这种事情一样有的是办法，拿这点来喷完全就是尬黑了，还有黑前端的，node-ipc 看包名就知道是个 nodejs 进程通信的包，跟前端有什么关系？意思前端一些基础设施工具底层依赖了这玩意儿就也能把整个前端圈拿出来批判一番了？

再多说一句，这种事情我相信以后会越来越多，倒不是说某个开发者自己发疯下毒，而是随着软件行业的繁荣和开源社区的壮大，这个脆弱的链条会被越来越多坏人盯上，我印象里的这种 supply chain 上暴露的问题已经是肉眼可见的一年比一年多了。

@wapzjn #50 并不是这样的，lockfile (package-lock.json, yarn.lock, pnpm-lock.yaml)的作用就是保证所有的依赖版本都和你初次 install 是一致的，如果你开发的是一个应用，你应该总是把这个文件 commit 进去，这样其他协作者，CICD 都能保证是一致的，除非你手动更新了依赖才会导致 lockfile 也更新。如果你开发的是一个 library ，倒是可以不 commit ，这样会让问题提早被发现。

执行的时候里面加一个切换分支的步骤

https://github.com/actions/checkout#Checkout-a-different-branch

可以看看自己常用开源工具呀，GitHub 上很多开了 sponsor

https://k.sina.com.cn/article_5044281310_12ca99fde02001qzf9.html 我要笑死了

并不觉得好看

https://github.com/djyde/cusdis 有个类似的

有多轻啊，和 sublime 相比如何

@Junh #38 看了你的评论才反应过来不是魔塔之旅。。。

大佬出个 k8s 吧

谦哥呆过的应该靠谱，推给了一个感觉很合适的朋友

vscode 自带 setting sync，设置里有，有 GitHub 账号就行