Issue 106 大家都說除錯的難度要比程式被寫出來的時候難兩倍以上，因此，理論上你沒有能力除錯自己用盡全力寫出的精妙程式  November 20th 2017

Careful With That PyPI

教你怎麼讓 Python 社群大暴死：想辦法得到某個有名 package 作者的電腦，然後看他家目錄裡面的 .pypirc。這個檔案的內容會像這樣：

[pypi]
username:uranusjr
password:s3cr3t

更新他的有名 library，在 setup.py 裡執行 rm -rf / 之類，再用這組帳密上傳 PyPI 就好了。很多人都用 sudo 在更新 Python 套件，而 setup.py 允許 arbitrary code execution；PyPI 更新套件時沒有主動確認機制，所以等作者輾轉發現時，應該已經有無數人中招了。

我之前好像有分享過 setup.py 的 remote code execution 問題，不過這只是弱點的一部分——最大的漏洞是 PyPI 竟然要求你把密碼用明碼存在檔案系統裡。這問題也很久了，但 Glyph 又當了一次勇者跳出來發聲，並且教大家有什麼方法可以 workaround 這個可怕的弱點——大致的概念就是把密碼存在 password manager，然後用一個 custom function 動態讀出密碼、寫入檔案、上傳 PyPI、使用完清理。他提供了 1Password 和 LastPass 的解法，不過如果你像我一樣用 macOS 內建的 KeyChain Access，也可以用內建的 security command 達到同樣效果。我是用下面的方法拿到密碼：

security find-internet-password -ws 'pypi.python.org'

延伸閱讀：如果你完全不懂怎麼發表 Python 套件，也趁這個機會學一下吧。現在也越來越多人會把專案發佈在 GitHub 上，但很多時候如果能發到 PyPI，一來能見度更高可以幫助更多人，二來也會讓你學到更多模組化技巧，寫出更好的 Python 程式。可以參考 Hynek 的惡補式教學，裡面也包含了這篇的密碼管理技巧，比官方的教學文更適合快速學習——學會之後，再看官方教學補足背景知識就好。

twistedmatrix.com  

Flat UI Elements Attract Less Attention and Cause Uncertainty

文章摘要：扁平 UI 設計常使用效果較弱的符號。在眼球追蹤實驗中，符號效果較弱的 UI 擁有較少各類點擊線索，迫使使用者在面對 UI 時需要付出更多努力。

（後面不是引文內容，是我自己的想法。）

舊的網站設計 (2010 左右) 沿用從單機 PC 時代模仿現實世界事物的 UI 設計，按鈕看起來就像按鈕，所以使用者在面對新介面實，更容易推論各元件的作用。扁平 UI 的互動元件並沒有很明顯的特徵，使得使用者需要學習；每個網站都有自己的 UI，使用者難以沿用既有的使用經驗，使得扁平 UI 的問題更加明顯。

如果你設計的 UI 只能在少數地方使用（而不是像 iOS 那樣大家都有大把機會學習），又想更接近扁平設計（畢竟這確實是現代設計的潮流），那麼 Google 的 Material Design 是個很好的折衝。它採用了很多流行的扁平設計，但是加入了少量的陰影來表達遠近感，加強可互動性的提示：另一方面，這些陰影仍然只停在功能性的提示，而非用來模擬現實事物，因此不會太囉唆，仍然維持一定的極簡風格。設計本身好不好看還是看人，但是後面的設計邏輯很值得學習。

nngroup.com  

Why I cancelled my ReactiveConf talk

最近越來越多活動有 Code of Conduct 了，主辦單位慢慢有經驗之後也懂得怎麼處理一些問題行為，真讓人開心，希望這樣也能讓更多人在社群裡覺得舒服。但是如果主辦單位自己違反 CoC 又能怎麼辦？也不能怎麼辦，所以這個講者就決定不參加直接回家了，talk 就放生⋯⋯。

這件事情最可憐的反而是沒邊站的會眾，付錢進場然後就這樣少了一個優秀的 talk。而這個結果其實完全是主辦單位可以預先避免的，畢竟事先徵求講者同意也是常識等級的事情。當然 hindsight is always 20/20 所以我也不覺得該怪誰，但是這件事情對辦活動的人都是個警惕：不要假設，盡可能取得各方面的同意再做事，寧可囉唆也沒關係。

medium.com