# 黑客一碰它，警报飞进你邮箱：第6轮开源金矿，一件AI都没有 ## 本期思路 第6轮挖掘，我刻意做了一次减法：本期8个仓库，**没有一个调用大模型**。当所有榜单都被Agent、RAG、本地推理塞满的时候，真正的金矿反而藏在那些解决「具体到不能再具体的问题」的仓库里——有人把入侵报警器伪装成一份Word文档，有人用Scala写了个每天跑数百万盘对局却分文不取的象棋平台，有人花四年时间一颗一颗地补中文字，有人靠卖浇花控制板养活了一间小作坊。它们的共同点：问题真实、方案优雅，而且大多已经想清楚了「谁来付钱」。 --- ## 01 thinkst/canarytokens — 把报警器伪装成猎物 **仓库**：[thinkst/canarytokens](https://github.com/thinkst/canarytokens) | 约2000星 | 长期活跃维护 **一句话定位**：不是防火墙，不是杀软，而是「绊线」——攻击者摸进门之后，只要碰到你故意留的东西，警报立刻飞进你邮箱。 防火墙防的是「进门前」，可现实是：一旦被人进来，往往几个月后才发现。Canarytokens 解决的是「进来之后」——它生成的每一条绊线，看起来都像最值得下手的目标： - 一份Word或PDF文档，被打开即触发 - 一段看起来像真的AWS密钥（攻击者最爱原样搬走） - 一个网页信标、一条DNS记录、一张二维码 - 触发方式多样，报警走邮件或Webhook，直接推进你的IM 实现上它几乎不用改你的现有系统：不用装Agent，不用改网络，把绊线放到该在的位置（文件服务器、代码仓库、邮箱的角落）就完成了部署。官方在 canarytokens.org 提供免费托管版，点几下就能生成；仓库本身开源，可以Docker自托管，绊线的触发记录永远不出你的网络。 **上手难度**：⭐（托管版即点即用）/ ⭐⭐（自托管） **适用人群**：运维、中小公司安全负责人、任何担心「被翻了都不知道」的人。**商业视角**：背后公司Thinkst的打法值得抄——绊线免费送，完整的蜜罐硬件Canary收费，免费版本身就是最好的获客漏斗。二次开发方向：接入自有告警渠道，或者给投标文件、客户新闻稿埋信标做泄露溯源。 --- ## 02 usebruno/bruno — API集合，从SaaS搬回Git **仓库**：[usebruno/bruno](https://github.com/usebruno/bruno) | 约3万星 | 持续更新中 **一句话定位**：一个「请求就是纯文本文件」的API客户端，把Postman最让人心疼的部分——集合被锁在别人云上——还给你的Git仓库。 2024年Postman强制登录那场风波，直接把一批用户推向了本地化替代品，Bruno是吃到这波红利最狠的一个。它的设计核心只有一条：**每个API请求就是一个 `.bru` 纯文本文件**。 这意味着： - API集合天然住在你项目的Git仓库里，diff可评审、可回滚、可走PR流程 - 完全离线，官方明确拒绝做内置云同步——这是产品哲学，不是功能缺失 - 脚本和断言用JavaScript写，环境变量分文件管理，接口间调用链清晰 - 自带CLI，可以在CI里跑整个集合做冒烟测试 对团队来说，「接口定义进代码评审」这一个特性就值回票价：后端改了接口，前端在PR里一眼看到。 **上手难度**：⭐ **适用人群**：前后端、测试、任何被API工具订阅费硌过的人。**商业视角**：二次开发方向是把Bruno集合变成公司内部的API回归测试资产——接口文档、测试用例、CI守门三合一，这套东西每个正经软件团队都需要一份。 --- ## 03 coollabsio/coolify — 一行脚本，VPS变Vercel **仓库**：[coollabsio/coolify](https://github.com/coollabsio/coolify) | 约4万星 | 高频更新 **一句话定位**：开源版的Heroku/Vercel——在一台你自己的VPS上，把「push代码自动部署、自动HTTPS、托管数据库」全部装进一个网页面板。 独立开发者的老矛盾：Vercel方便但账单和代码都攥在别人手里；裸用Docker又什么都得手搓。Coolify站在中间，一条安装脚本下去，你的VPS就长出了部署平台该有的一切： - 绑定Git仓库或镜像，push即构建部署，支持Dockerfile和docker-compose - 自动申请续期HTTPS证书，一键起Postgres/MySQL/Redis - 备份到S3、资源监控、Web终端、多服务器管理 - 所有数据、构建产物、日志都在你自己的机器上 它的走红踩中了两股风：自托管回潮，以及「别把命交给单一SaaS」的觉悟。官方的生意也简单清晰——自托管永久免费，想要省心就买官方托管云。 **上手难度**：⭐⭐（需要一台VPS） **适用人群**：独立开发者、小团队、不想给云厂商交「方便税」的人。**商业视角**：对做外包和私有化交付的团队，Coolify可以直接改造成标准交付底座——把客户项目的部署流程做成模板，下一次交付成本砍半，这本身就是一门能收费的生意。 --- ## 04 lichess-org/lila — 每天数百万盘棋，分文不取 **仓库**：[lichess-org/lila](https://github.com/lichess-org/lila) | 约1.6万星 | 高频更新 **一句话定位**：世界级的免费国际象棋平台，法国注册的非营利组织，零广告、零付费墙、AGPL全开源——它证明了「不融资不卖广告」的社区产品可以活得很体面。 Lichess值得拆的不是某个功能，而是**整套运行方式**。服务端 lila 用Scala写成，每天扛着数百万盘对局的实时同步：一步棋落子，要在毫秒级推给观战的成千上万人。围绕它还有一套完整生态——职业比赛的电视直播频道、开源的防作弊检测、残局数据库、离线分析引擎。 它每年发布公开年报，账目透明，主要收入是捐赠，雇着一个小到惊人的全职团队，却服务着千万级棋手。对做产品的人来说，这是一个活体样本：**当成本结构足够克制、社区足够信任你，「商业价值」可以表现为永续经营而不是上市敲钟。** **上手难度**：⭐（作为用户）/ ⭐⭐⭐⭐（参与开发，Scala+高并发有一定门槛） **适用人群**：棋手、想研究「社区制产品如何活十年」的创业者、Scala学习者。**商业视角**：它是本期唯一的「反商业」样本，但恰恰补齐了另一个维度——信任本身就是最深的护城河。 --- ## 05 TandoorRecipes/recipes — 菜谱收藏，终于可搜可查 **仓库**：[TandoorRecipes/recipes](https://github.com/TandoorRecipes/recipes) | 约6000星 | 持续维护 **一句话定位**：自托管菜谱库——把散落在微信收藏、短视频和截图里的做菜知识，变成一个能搜索、能按食材反查、能自动生成购物清单的数据库。 它的杀手锏是**URL导入**：贴一条美食网页的链接，自动解析出标题、食材、步骤、营养成分（按网页结构化数据抓取），一次导入，永久属于你。之后的一切都围绕「做菜时真正会发生的事」设计： - 全文搜索，「上次那个不放辣的炖牛肉」三秒找到 - 冰箱里有什么，反查现在就能做的菜 - 家庭多人空间，周菜谱排好后一键汇总购物清单 技术上是一套经典的Django+Vue组合，docker-compose一条命令起全套，数据随时导出备份。它解决的是一个被所有App忽略的问题：菜谱平台换了一茬又一茬，你的收藏不该跟着陪葬。 **上手难度**：⭐⭐ **适用人群**：爱做饭的家庭、收藏癖患者。**二次开发方向**：把菜谱库做成问答机器人接进家里语音音箱——「红烧肉怎么腌」直接出答案，这套RAG素材库现成。 --- ## 06 lxgw/LxgwWenKai — 四年功夫，一颗一颗补中文字 **仓库**：[lxgw/LxgwWenKai](https://github.com/lxgw/LxgwWenKai) | 约1.5万星 | 长期活跃维护 **一句话定位**：一款基于日文Klee One骨架、由开发者lxgw花数年补齐中文字形的开源楷体，SIL OFL协议——可以自由嵌入产品、印刷、商用。 中文互联网有个沉默的痛点：界面不缺好设计，缺能放心商用的好看正文字体。LXGW文楷的路径很聪明——日本Fontworks的Klee One本来只有覆盖日文常用字的字形，笔意温润、自带「教科书楷体」的手写感；lxgw把缺失的中文常用字一个一个补齐重画，让这副日文骨架真正长成了全功能中文字体，并陆续分支出大字符集的GB版、繁体版。 因为协议是SIL OFL，你可以把它嵌进App、印进出版物、用在商业物料上，只要遵守协议条款。开发者自己则靠社区赞助和字体定制维持这项长期工程——把「造字体」这个最苦的活，干成了可持续的营生。 **上手难度**：⭐（下载装上即用） **适用人群**：所有做产品的人、出版从业者、自媒体。**商业视角**：二开方向是按客户需求定制子集字库——电子墨水屏、嵌入式设备、品牌定制字体，都是真实付费场景。 --- ## 07 daya0576/beaverhabits — 习惯打卡，只剩一件事 **仓库**：[daya0576/beaverhabits](https://github.com/daya0576/beaverhabits) | 千余星 | 持续迭代 **一句话定位**：一款极简自托管打卡应用——功能做减法做到极致：界面就是一张热力日历，今天完成了，勾掉，结束。 市面上的习惯App，十个里有九个在往里塞社交、课程和会员订阅。BeaverHabits反着走：Docker一行命令起服务，多用户、数据随时导入导出、全部留在自己服务器上，没有通知轰炸，没有成长体系，甚至没有多余的一个按钮。 它是「小而美」的标准样板：**产品上做减法，部署上做加法**。代码量小到可以一个下午通读——对想学习「一个完整的自托管产品长什么样」的开发者，这比任何教程都直观。 **上手难度**：⭐ **适用人群**：想自托管一切的玩家、想研究小型Web产品架构的开发者。**二开方向**：接一枚物理按钮或Home Assistant传感器，进门按一下自动打卡——自托管生态里最讨喜的玩法。 --- ## 08 OpenSprinkler/OpenSprinkler-Firmware — 卖板子不卖云的十几年小生意 **仓库**：[OpenSprinkler/OpenSprinkler-Firmware](https://github.com/OpenSprinkler/OpenSprinkler-Firmware) | 约千星 | 维护多年仍在迭代 **一句话定位**：开源灌溉控制器——硬件、固件、App全套开源，商家靠卖控制板养活作坊，用户不用交任何订阅费。 市面上的浇花/灌溉控制器只有两种：傻的（纯定时开关，下雨也浇）和被云绑架的（必须用厂商App，停服即砖）。OpenSprinkler走了第三条路：控制板和固件全部开源（GPL），App开源，同时按天气数据自动调整——预报有雨就跳过浇水，土壤湿度传感器插上就能联动。 真正值得拆的是它的**生意结构**：Rayshobby在自己商店里卖套件和成品板，硬件毛利养活小团队；社区则贡献固件、翻译、3D打印外壳，越活跃产品越好卖。十几年不融资、不订阅、不停服，这是开源硬件最经典的活法。 **上手难度**：⭐⭐⭐（需购买板子或焊套件） **适用人群**：园艺爱好者、想验证「开源硬件怎么赚钱」的创业者。**商业启示**：开源硬件的护城河从来不是代码保密，而是供应链、社区信任和「你的服务器永远不会关」这句承诺。 --- ## 本期横向对比 | 仓库 | 方向 | Star（约） | 上手难度 | 一句话场景 | |------|------|-----------|---------|-----------| | canarytokens | 安全防御 | 2000 | ⭐⭐ | 给入侵者埋报警器 | | bruno | 开发工具 | 3万 | ⭐ | API集合住进Git | | coolify | 部署平台 | 4万 | ⭐⭐ | VPS秒变部署台 | | lila（Lichess） | 社区平台 | 1.6万 | ⭐⭐⭐⭐ | 非营利产品活样本 | | recipes（Tandoor） | 生活自托管 | 6000 | ⭐⭐ | 菜谱变成数据库 | | LxgwWenKai | 字体 | 1.5万 | ⭐ | 能商用的中文楷体 | | beaverhabits | 生活自托管 | 千余 | ⭐ | 极简打卡 | | OpenSprinkler | 开源硬件 | 千 | ⭐⭐⭐ | 浇花控制器生意经 | ## 本期全景 ```mermaid flowchart TD subgraph S1["有人摸门就报警"] A["Canarytokens 绊线"] end subgraph S2["开发与部署"] B["Bruno 本地API客户端"] C["Coolify 自托管部署台"] end subgraph S3["生活自托管"] D["Tandoor 菜谱库"] E["BeaverHabits 习惯打卡"] F["OpenSprinkler 浇花大脑"] end subgraph S4["社区与作品"] G["Lichess 开源象棋平台"] H["LXGW文楷 开源字体"] end ``` ## 本期之最 - **最值得立即尝试**：Canarytokens——五分钟白得一套入侵报警系统，安全预算为零的团队尤其该装 - **最有商业潜力**：Coolify——私有化部署需求只增不减，把它做成交付底座就是一门现成的生意 - **最被低估**：LXGW文楷——每个做产品的人都欠自己一套能放心商用的中文字体，而这颗星点下去就是最好的支持 --- ## 参考来源 1. [Canarytokens 免费生成页](https://canarytokens.org/generate) — 官方托管版绊线，即点即用 2. [thinkst/canarytokens 仓库](https://github.com/thinkst/canarytokens) — 自托管绊线服务源码 3. [Coolify 官网](https://coolify.io) — 安装文档与官方托管云说明 4. [Lichess 官方介绍页](https://lichess.org/about) — 非营利运营模式与技术栈说明 5. [OpenSprinkler 官方站点](https://opensprinkler.com) — 硬件商店、固件文档与社区 wiki > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。