Go 团队终于正式推出了酝酿数年的 encoding/json/v2 官方提案与实验版本。
老版本 json 库自 Go 1.0 以来因滥用 reflect 反射扫描和不可避免的堆内存逃逸，长期成为高并发后端的性能瓶颈，逼得大家去用各种第三方魔改库。
v2 版本彻底将词法分析与反序列化分离，底层引入纯流式状态机，支持结构体字段的零内存分配直接解包，基准测试下内存分配次数直接归零。
深度链接：
显示更多
主机极客圈刚炸出一个神级漏洞利用：用一张普通的《文明 7》Switch 实体游戏卡带，直接在最新固件上实现了用户态任意代码执行（Userland Code Execution）。
项目叫 CivSwitch。任天堂把系统调用的权限收得比铁桶还严，但这次沦陷的不是操作系统内核，而是卡带内置的游戏脚本运行时。
逆向细节非常冷酷：
1. 《文明 7》这类重度策略游戏为了跨平台移植和 DLC 热更，卡带内部打包了基于轻量脚本的逻辑解释器；
2. 漏洞作者通过特制存档诱发内存越界，篡改了解释器内部的虚函数指针；
3. 利用卡带在内存中已加载的只读代码段作为 ROP Gadgets 跳板，精准构造出 ROP 链，直接绕过了 W^X 内存保护。
硬件防线再强，只要第三方游戏把未经校验的脚本解释器带上卡带，安全边界就会瞬间坍塌。
开源地址：
显示更多
