Posts for: #WeChat

闲聊中，我被 ppchen 批评过几次，大体都是：

应该觉得骄傲，不用谦虚，能做出这样产品的团队，就是很优秀。应该多夸大家，不要只提要求、目标、需要改进的地方。

我能看到，周边都是很棒的人，很好的事，能观察到别人的好。但我的缺点是：不会夸人。可能是性格里内向的一面在起作用。我自己此前可能觉得，夸奖跟奉承、溜须拍马有点接近，于是矫枉过正，该夸的时候也不夸了。这就导致，赞扬、感谢、欣赏……这些平常但是温暖、正能量的情绪没有被正常传递。

所以我想，可以让自己养成每周至少夸人三次的习惯。

找机会称赞一个人，亲人、朋友、同事甚至陌生人。面对面、发消息或者朋友圈。认真地观察长处，真诚地表达欣赏。

一直以来，我认为，要养成习惯，一个人做，不如一群人一起。公开出来，能被人看见，能相互鼓励，往往更容易达成。所以，欢迎一起来夸夸。

试了两天，我不知道是不是心理作用，我觉得，我更开心了，身边的人们也更开心了。

–

推荐，我是用“小日子”这个 App 来尝试培养这个习惯的，这几天发布的新版本，支持了组队打卡，方便小公司、小团队、一群有共同爱好的朋友，共同做点儿小事。

1. 下载小日子：https://tealseed.app.link/hpWV965FVGb（手机估计需要复制到浏览器才能下载）

2. 在 App 第三个 Tab（小习惯），点击右上角的加号，会进入如下页面

3. 创建新的组队打卡（你也可以直接看看“打卡广场”里面，是不是有你想参加的。

推荐你试试。

推荐一本《星球大战：千万级付费社群养成记》。我是立过写书 Flag 但迟迟无力实现的拖延症患者，知道写书难。过程中，我也看到了同事们面临的压力——可能还有我给的未必恰当的批评。

最终还是出来了。谢谢在这个过程中付出过努力的朋友们。

知识星球是一款简单的产品，这本小书，是一本简单的书。

这本书的雏形，是个训练营。那时刘容希望能有一套清晰而且简明扼要的材料，但凡有人想做付费社群，可以把材料提供给他们。大家按图索骥，不费太多力气，就能掌握在社群里交付内容和服务的方法。

但训练营能服务的对象有限，于是刘容拉上了慧婷，又开始了一本新书的写作。看到她们在没什么资源协助的情况下，列框架、找我们的用户（可爱的星主们）索取资料、吭哧吭哧地从 0 到 1，在她们完成这本书的草稿时，我是佩服的。

她们在实际工作中，服务过上千位社群运营者，这些人各具天赋，所以社群特色也各不相同。恰好我们的产品足够简单，其留白处，就是这些创作者的发挥空间。

知识星球产品简单，本不值得用一本书来描述。

同事们的心思也简单：很多人想做副业，想建社群，想做知识付费，想投身创作者经济……但不知道怎么开始。我们能不能不甩大词，不说空话套话，尽可能言之有物地把“付费社群”这件事的实操方法讲清楚？能不能让人看完这本书，就知道怎么做付费社群？能不能把已经在我们这里跑通的经验落地传播？

这就是她们呈现出来的作品——希望用浅显的文字，把我们见过的、有价值的付费社群里的经验和盘托出。期待你不要光看。动手做起来，或许你会发现，做社群这件事，真的就差捅破一层窗户纸。

同事们做了个小工具，可以辅助阅读长文章。

对我有用的场景是两个：

一是，我时常在电脑上打开一篇文章，从上往下读一部分后，会意识到文章值得看，但太长，想挑着看，又担心错过重要内容。于是希望有个纲要，可以帮我跳着读重要部分。

二是，文章很好，我认真看完了，但觉得有些乱——信息量一大，没能把握结构，回忆的时候，只能想起碎片。于是希望有个脑图，帮我梳理结构。

Slax Reader 就很符合我这两个需求。话不多说，我直接上图。比如我看这篇文章：

点击 Slax Reader 的浏览器图标，就能在右侧生成纲要。纲要里的数字，点击可以跳转到文章里的对应部分。

同时，也可以打开右侧的思维导图模式。放大或者下载的思维导图，会是下面这样的：

Slax Reader 计划是完全免费（如果用量不太超出我的心理预期的话）。目前只上架了 Chrome 商店，想下载的朋友，估计得自己想办法访问 Chrome 商店了，链接是：

https://chromewebstore.google.com/detail/slax-reader/gdnhaajlomjkhahnmiijphnodkcfikfd

本来想多放一个压缩包供下载，一转念，还是算了，随缘吧。

我的灵感经常来自两个场景，一是洗澡，二是散步。

但这两个场景下，掏出纸笔或者手机打字记录，都有些怪异。而且——其实我试过，但由于环境限制，经常记得过于简略，几天后回顾时，往往会忘记，那时最让我激动的点究竟是什么。所以我想试试：1. 用语音记录内容，语音可以转文字，且语音可以回听。2. 用 AI 将内容梳理顺畅，方便快速复制到其他地方（比如发朋友圈）使用。于是我请同事帮我做了个小工具。目前还很粗糙，用来居然还挺顺手。发出来给大家看看，有兴趣的朋友，可以在 iPhone 上试试。

因为使用了 AI，还是有成本的，所以做成了内购，当然有免费额度，足够你测试了。

产品名称叫 SlaxNote。Slax 是 Simple and Relax 的含义。后续我们可能用这个品牌，做一系列小产品。希望这些小工具都能具备这样的特点——简单，从容。

下载链接是：https://apps.apple.com/cn/app/slaxnote/id6480166286

官网：https://note.slax.com/

欢迎使用，欢迎成为我们尊贵的付费会员，也欢迎给我们提出各种功能建议和批评。

【星球创业笔记】是我做知识星球过程中的一些思考——主要涉及创业、产品、运营、安全。内容碎片化，价值……不好说，只能说贵在真实。

这个星球创建于 2016 年 10 月 20 日，持续更新至今（2024 年 5 月 15 日），目前共有 737 条创业笔记。

最近同事们做了个「轻读」——轻量级、纯阅读产品，方便星主将星球内容整理、定价、售卖，增加收入，扩大影响力。

他们考虑拿我做实验，看看这个特性大家是不是喜欢。我当然得好好配合，所以整理了星球里的一部分笔记，扫码即可跳转购买、体验。

如果已经是我的星球用户，可以直接在我的星球找到对应专栏，不需再购买下面「轻读」产品。

有篇文章，对大众科普“只要使用银行和支付宝官方 App，即使使用公共 Wi-Fi 也是安全的”。这两天，有两位技术大牛针对“蹭 WiFi 会不会导致银行密码被盗”起了争执。

袁哥认为那篇科普很糟糕，他的观点是：不安全的 Wi-Fi 环境下，例如你登录的是黑客设置的 Wi-Fi，上网过程中，有很多方法能不知不觉地劫持、攻击你，导致严重后果。

云风则认为那篇科普很好，质疑袁哥：在银行系统没有安全漏洞时，虚假 Wi-Fi 如何窃取用户密码？如果想科普蹭免费 wifi 增加了设备植入后门的风险，尽可以举个简单的例子说明如何办到的。某个特定系统有怎样一个漏洞，这个漏洞如何让攻击者植入的后门，怎样的设备会没有修补这个漏洞。

我技术不好，而且这二十年来的兴趣都在产品上，对技术本没有发言权，但好在这是科普，作为被科普的对象，还是可以说几句的。

先说几个事实：

1. 类似 wifi-pineapple 这样的设备（https://shop.hak5.org/products/wifi-pineapple）很容易获取和部署。其核心功能是中间人攻击（Man-in-the-Middle, MitM），通过模拟信号强的无线接入点诱使附近的无线设备连接。

2. 我草草搜了一下，NSA 在 2021 年发布的公共场所无线设备保护指南（https://t.co/n4w6u7KxuO）里提到“通过公共 Wi-Fi 发送的数据——尤其是不需要密码即可访问的开放公共 Wi-Fi——容易被盗取或操纵。即使公共 Wi-Fi 网络需要密码，它也可能不对经过的流量进行加密。如果 Wi-Fi 网络确实对数据进行了加密，恶意行为者如果知道预共享密钥，也能够解密（在不安全的网络通信中窃听）。恶意行为者有时还可以迫使网络使用不安全的协议或过时的加密算法（降级到不安全的协议）。此外，恶意行为者还可以设置一个假的接入点，模仿附近预期的公共 Wi-Fi，这导致该行为者能够访问通过该网络发送的所有数据。未加密的网络流量或容易被解密的流量可以使用开源工具捕获，暴露敏感数据。这包括但不限于个人和公司的登录凭证（网络嗅探），这可能直接导致更多的安全问题。”

再说一下部分观察：

1. 我见过很多本应安全的设计，配合上或者错误的配置，或者弱智的操作者，或者滞后的运维，或者无知的用户，进而导致的安全事件。有些人见过一两家银行的专业，就误以为所有银行系统固若金汤、运维人员专业不出错、软硬件供应商服务完美到位、用户聪明机警。这很理想但不可能。因此，一个人现在使用一家银行安全，不代表全部人全部银行，全部时候安全。

2. 我见过的安全设计、系统管理，都秉持最小化原则。比如：不需要的服务与端口不开。

最后说我的观点：

1. 蹭 WiFi 有更大概率扩大被攻击面。一位专家，写科普文章告诉大家“只要使用银行和支付宝官方 App，即使使用公共 Wi-Fi 也是安全的”，不是负责任的行为。

2. 现在的移动流量普遍是充足的，价格也算平易近人，普通老百姓，没啥必要非得连公共 Wi-Fi。

所以，我自己的使用习惯是：一般情况下，哪怕出差、住酒店，我用电脑，上网也是连自己的手机热点。因为我不太愿意无谓地增加被入侵的机率。最小化，最安全。

–

最近，小日子在设计中做了些减法，让产品看上去更轻盈通透，让核心功能更聚焦凸显。你可以看看我们的具体做法，以及调整前后的变化，欢迎给我们提出建议。

融合标题栏，日历，日期栏，让屏幕只有上下两个区。视野更干净开阔，一眼聚焦当天的日程，减轻了了层层阅读的冗余压力。

更简洁也更轻量化的配图，让真正实际的功能一眼可见。

创建页不再有标题，让你创建的内容成为真正的标题。弱化说明文字，让按钮直接成为清晰的指引。

在手机上，识别二维码后，点右上角，用默认浏览器打开，就能下载试用最新的小日子 App 了。

对了，这个 App 免费，欢迎你试试。

这些天对 GitHub 的信息做了些收集整理，看网上没有很完整的信息，发出来共享。

我个人对 GitHub 能高速发展的一些观点

• 解决的问题

• 开发者

• 大规模远程协作、交流代码的需求

• 成为开发者对外的名片

• 组织和企业

• 存储代码的 SaaS 需求

• 抓住的机会

• 踩中了开发者数量爆发增长的二十年（2011.08 Software is eating the world - Marc Andreessen）

• 在持续增长的市场里，做了多年有复利的事

• 有可能在 AI 带来的“人人都是开发者”的时代，进一步增长

阅读过程中我的一些感触

创始人说：And we’re all about getting things done. We’re very lucky to be working (mostly) on a web app, which means it’s super easy to make changes fast. We’ve learned it’s much better to ship it now and fix it later, once you can see how people are using it, than it is to let it linger in development forever. Just ship it.

4 月 3 日，五点多起床，坐上深圳往福建的动车，准备回老家，跟亲人们一起清明祭拜祖先。八点来钟时，车在一个小站停靠，然后就有消息传来——台湾花莲 7.4 级地震，福建、广东震感强烈，为了乘客安全，列车暂时停开。

消息很突然，我掏出手机，想在社交媒体和新闻上看看最新动态，但不知道是地震原因，还是停靠站当地网络质量原因，我的手机近乎断网，微信还勉强能收发文本信息。

过了一小段时间，我突然意识到，自己似乎有点焦虑和茫然——虽然网络不行，但我仍然隔一会儿就点亮屏幕，尝试刷新网站、搜索新闻、点开微信群里别人发出的几个视频……好像不适应这种突如其来的断网。

然后我就默默地把两部手机关成飞行模式，拿出电子书，开始看一本名为 Deep Work 的新书。

很应景的，在最前面部分，就有一些描述，我意译几句：

• 执导了 44 部电影，获得 23 项奥斯卡提名的编剧兼导演 Woody Allen，在1969 - 2013 的 44 年间，从未拥有电脑，而是用打字机完成了所有的写作。

• 作家 Neal Stephenson 不用社交媒体，他的解释是：给我大块连续时间，我可以写小说。否则，我留下的只会是一堆发给不同人的电子邮件。

• 网络正在削弱我们的专注力和沉思能力。在狂热的浅层状态花太多时间，会降低执行深度工作的能力。

书里提到了一种乐观的观点：Google 可能会降低我们的记忆力，但我们不再需要好的记忆力，因为现在我们可以随时搜索任何我们需要知道的东西。

但其实，不是这样的，比如：

• 我现在被困在了没有网络的地方。

• 我们可能都被困在了真假信息混杂，无力分辨的世界。

所以，暂停一下是好事。或许需要重新思考和设计我们和社交媒体、搜索引擎的“合作模式”，比如：

• 从手机里删掉社交媒体软件（制造使用障碍）。只在特定时间、特定设备上使用。

• 不在社交媒体里碎碎念，只把它们当成作品发布平台和用户沟通工具。拿出好作品，比随时在线但肤浅无味有意义。

动车在停下四个多小时后，又动起来了。这次暂停蛮好的。

–

一位自称 Jia Tan 的开发者，花了三年时间，取得开源软件 xz 社区信任，谨慎地植入了一个后门，可以让攻击者无需账号也能通过 sshd 进入系统。如果成功，大多数 Linux 系统（也就是大多数公司的服务器使用的操作系统）都会受到影响。

最后功亏一篑——因为程序没写好，系统资源占用过高，被一位认真的工程师分析并发现。

这几天网上有很多技术分析（我看不懂）和讨论，说说我的观点。

1. 这次事件，其实正好证明了开源界常说的：只要有足够的眼睛关注，任何漏洞都无处藏身。

2. 任何软件，而不仅仅是开源软件，会受到这样的攻击。商业产品中被发现后门的事件，历史上发生过不止一次。

3. 未来的 AI 或许有机会帮助检查出类似构造巧妙的后门和漏洞。

4. 开发者们可能会面临一小波信任危机——要取得社区的信任，以后或许会更加艰难一些。而中国开发者（虽然 Jia Tan 未必——甚至大概率不来自中国，但这个 ID 的设计，就会带来不好的影响）会面临更多挑战。

5. 对于信任问题，或许一个解决办法是付费。具体实现是：要提交代码，先做一笔小额支付验证身份，认证完成后可以立即返还。后续代码质量高，项目方甚至可以将收到的捐赠款项分配给贡献者。在知识星球里，通过付费，我们减少了数据量、噪音，提高了服务质量。在开源领域，或许有机会通过付费，借助真实世界里对金融领域的严谨认证来保障信任。

6. 对这类攻击，普通用户其实没什么好应对的，要我说，“用小众产品”就能避开很多攻击。

7. 要是真的很在意，那我有些朋友有些古怪习惯，比如：只在虚拟机里访问网络。比如：用极“老旧”但是稳定的系统和版本。

–