幹壞事是進步最大的原動力
在 ryfeus/lambda-packs 這邊有一票已經編好的套件，可以看出選出來的都是比較吃資源的東西，拆成 API 接出去比較划算 (以免 API overhead 佔太多)：
有些套件光是要編就很麻煩，作者編好後讓人可以直接包進去 XD
Debian 在討論 package 的可重製性：「debian-policy: Packages should be reproducible」。本來的討論其實還好，在 2017/08/12 的 DebConf17 後，看起來有一些人取得共識，於是討論熱了起來... 有興趣的人可以從 Message #107 開始看。
Debian 社群想做的事情是「給足夠的資訊以及 source code，就能產生出一模一樣的 binary package」，這樣就不需要盲目信任 Debian 官方。
Debian 官方的 Wiki 上有「ReproducibleBuilds Howto」可以參考，然後也看到「reproducible-builds.org」這個站。
StackOverflow 直接拿薪水戰 Tab 與 Space 的差異啊 XDDD：「Developers Who Use Spaces Make More Money Than Those Who Use Tabs」。
這下糟糕了 XDDD
HP 被發現 2015 年簽出來的 audio driver 內含 keylogger (yeah，因為有數位簽名，所以賴不掉...)：「[EN] Keylogger in Hewlett-Packard Audio Driver」。完整的報告在「modzero Security Advisory: Unintended/Covert Storage Channel for sensitive data in Conexant HD Audio Driver Package. [MZ-17-01]」這邊。
keylogger 記錄後會寫到 local file 裡。來拉板凳...
Vim 版號進到 8.0 了：「Vim 8.0 released!」，從 GitHub 上的記錄可以看到「updated for version 7.0」是 2006 年五月的事情了。
新的 feature 包括了 packages...？所以 Vim 自己也要搞一套 package 系統了嗎... 還沒仔細看，不知道跟 Vundle 的關係不知道會變成什麼樣子 @_@
Among the new features are: - Asynchronous I/O support, channels, JSON - Jobs - Timers - Partials, Lambdas and Closures - Packages - New style testing - Viminfo merged by timestamp - GTK+ 3 support - MS-Windows DirectX support
之前也有遇到，結果 Lorna Jane Mitchell 寫了一篇「Handling Composer "lock file out of date" Warning」給了不少解法。
第一種是 composer upgrade，直接全部升級。
第二種是先用 composer update --dry-run 看看是不是有人加到 composer.json 後忘記更新，如果是的話再用 composer update [package] 處理。
第三種是用 composer update nothing 閉上眼睛更新 hash 值，當作什麼都沒看到 XDDD
Sometimes this is the right answer so it's a handy trick to know!. I seem to see these kinds of issues in people's projects quite often (I'm a consultant, I see a lot of projects) so I thought I'd share my usual tactics for getting things sorted - if you have any tricks of your own to share, I'd love to hear them :)
該說很「實用」嗎 XDDD
D-Link 在 DCS-5020L 的 open source package (因 GPL 要求) 裡放了簽名用的 private key：「D-Link spilled its private key onto the web – letting malware dress up as Windows apps」。
而這把 key 由 Verisign 所簽，因此被 Windows 所信任，所以這把 key 可以用來簽 malware：
而不幸的是，這把 key 已經洩漏出來超過半年了：
The D-Link key was leaked in late February, and expired on September 3, it appears.
又是一連串的 revoke 過程... orz
Composer 是目前 PHP 世界裡比較紅的套件管理工具，內建了一些 autoload 模組，以及 Packagist 這個巨大的 ecosystem。
在「Installing Composer Packages」這篇文章裡提到要如何在 Composer 裡指定套件的版本。在這之前，你需要先知道什麼是 Semantic Versioning，然後再來看作者的論述。
直接講結論，文章裡推薦用 ~ 的方式指定版本，這通常會是你要的結果：用 ~1.2 表示 >=1.2.0,<2.0.0；而用 ~1.2.3 則可以表示 >=1.2.3, <1.3。
在對付 compatibility 問題時還蠻常見的情況。
在 Slashdot 上看到 OpenBSD 要支援 signed package 的消息：「OpenBSD Moving Towards Signed Packages — Based On D. J. Bernstein Crypto」。
使用的演算法是 djb 的 Ed25519，是基於橢圓曲線密碼系統的演算法。演算法名稱取自 2
[ed25519] 23pp. (PDF) Daniel J. Bernstein, Niels Duif, Tanja Lange, Peter Schwabe, Bo-Yin Yang. High-speed high-security signatures. Journal of Cryptographic Engineering 2 (2012), 77–89. Document ID: a1a62a2f76d23f65d622484ddd09caf8. URL: http://cr.yp.to/papers.html#ed25519. Date: 2011.09.26.
意外發現魯教授的名字出現在列表上...
pkgng 是 FreeBSD 下一代的 package 管理系統，試著改善十幾年的 package 系統。
對於 package 本身：
對於 pkgng 的管理來說：
/var/db/pkg 改用 SQLite 管理，metadata 加上 index 後很多查詢的效率變好，而且也可以預期之後的工具應該會善用 trigger 連動，對於開發管理工具也會變方便。目前還有不少工具在發展，不過常用的 portmaster 已經可以在 compile 時勾選測試了，就拿來測看看。
要注意的是，pkg 1.x 之間不保證穩定性 (相容性)：
Any package metadata changes are allowed, so long as it is always possible to upgrade from pkg-1.x to pkg-1.x+1. Best efforts should be made to ensure compatibility is maintained as far as possible.
看起來還不適合上 production，不過以目前 1.x 可以先測試了...