前端安全的第一道口子，从来不是 XSS 漏洞，是信任错位
前端安全的第一道口子，从来不是 XSS 漏洞，是信任错位 复盘过的 XSS 事故里，多数不是「忘了转义」，而是「认为这块内容是可信的」。转义只能治症状。真正要修的是：谁有权决定这段 HTML 该长什么样。 一、dangerouslySetInnerHTML 这个名字其实很好Rea…
阅读全文 →原生控件回来了：Popover、dialog 与可定制 select 正在吃掉半个组件库
原生控件回来了：Popover、dialog 与可定制 select 正在吃掉半个组件库 过去十年，前端组件库最稳定的一块收入是「把浏览器的丑控件包一层」。现在浏览器自己把这个活干了——而且干得比大多数库更好，因为它免费用了无障碍和顶层渲染。 一、组件库里最没技术含量的那部分打开…
阅读全文 →INP 取代 FID 之后，前端性能的敌人换了一个
INP 取代 FID 之后，前端性能的敌人换了一个 FID 只测「按下到开始响应」那一下，通常几十毫秒，人人都能过。INP 测「按下到画面真的变了」——它把过去那些”响应很快但卡住”的问题全暴露了出来。 一、FID 为什么会被淘汰FID（First Input Delay）的测量…
阅读全文 →本地优先不是离线兜底：CRDT 改变了前端对「数据」的假设
本地优先不是离线兜底：CRDT 改变了前端对「数据」的假设 大多数应用把数据库放在服务器，前端只是它的一个远程终端。本地优先把这句话反过来：数据先属于这台设备，同步是后来的事。 一、两种模型，两种前端服务器优先（现在 95% 的应用）： 1用户操作 → API 请求 → 服务器校…
阅读全文 →Rolldown 转正之后：打包器的 Rust 竞赛，赢家其实不是速度
Rolldown 转正之后：打包器的 Rust 竞赛，赢家其实不是速度 esbuild 用 Go 把打包速度提高了十倍，然后大家发现 CI 只快了 40 秒。Rolldown 换成 Rust、走 Rollup 兼容路线，这一轮的胜负手不在毫秒，在生态兼容。 一、先厘清这几家的关系…
阅读全文 →Web Components 终于能服务端渲染了：Declarative Shadow DOM 改变了什么
Web Components 终于能服务端渲染了：Declarative Shadow DOM 改变了什么 Web Components 被唱衰了快十年，核心理由只有一条：它没法 SSR，所以首屏空白、SEO 归零。Declarative Shadow DOM 把这条理由消掉了。…
阅读全文 →容器查询落地三年后：响应式的单位从「屏幕」变成了「组件」
容器查询落地三年后：响应式的单位从「屏幕」变成了「组件」 @media 问的是「窗口多宽」，@container 问的是「我被放进了多大的地方」。这个差看着只是换了个参照物，实际把组件库的设计前提整个换掉了。 一、@media 的根本缺陷：组件不知道自己在哪一个卡片组件，在首页三…
阅读全文 →没人给我排期，所以我从没下过班
没人给我排期，所以我从没下过班 一个人做项目最大的错觉，是”时间都是我的”。真相是：没有下班时间的人，也不会有真正的上班时间。 一、第一天很爽，第三个月开始不对不用打卡、不用开会、不用向谁解释今天做了什么——刚开始的那几周，效率高得不像话。想什么时候写就什么时候写，凌晨三点有想法…
阅读全文 →发布按钮按下去之前，我删掉过三段话
发布按钮按下去之前，我删掉过三段话 这段时间写了十几篇东西，每一篇在按发布之前，我都会删掉一点什么。删的不是错字，是那些”太像我自己”的句子。 一、删的是哪三段第一篇删的是一句抱怨：某个项目做了半年，几乎没人用，那半年像白过了。 第二篇删的是一段自我怀疑：我至今不确定换掉 Sci…
阅读全文 →我优化性能的那几天，其实在优化自己的情绪
我优化性能的那几天，其实在优化自己的情绪 那几天我盯着一个冷启动数字，从 380ms 改到 310ms，再改到 260ms。后来我看清了：我不是在追求快，我是在用”能测的数字”来压住”测不到的不安”。 一、可测的东西会变成镇静剂x-notepad 冷启动那阵子，我每天打开一个秒表…
阅读全文 →