分享開發現場真正有用的知識。

Cloudflare Blog 於 2026/10/21 刊出 Jenny Lea、Max Brosnahan 與 Matthew Conroy 的文章，說明 Cloudflare 與電商平台 Commerce.com 合作，為近 10 萬個 Commerce.com 網域啟用 WebMCP。WebMCP 是 Google 提出、仍屬實驗階段的瀏覽器標準提案，讓網頁以結構化工具（如 search_products）提供給 AI 代理使用，目前可透過 Chrome 實驗旗標、Origin Trials、部分代理型瀏覽器與 Cloudflare Kitesurf 等環境使用。Cloudflare 8 月推出的邊緣版 WebMCP（beta）會在邊緣注入腳本，店家不必改程式；工具在顧客的瀏覽器工作階段中執行，憑證不交給第三方，結帳由顧客自己完成。雙方以 Configuration Rules 與自訂主機名稱中繼資料實作每家商店的退出機制，並加入自訂 MCP 路徑與失敗時自動退回的設計。本文整理運作方式、對品牌電商的意義與實務建議。

Smashing Magazine 於 2026/10/20 刊出 Brecht De Ruyte 的文章，介紹 CSS Values and Units Level 5 規格中的原生 random() 函式：已在 Safari 推出，Chrome 156 正在推出中，Mozilla 也對 Firefox 支援表達正面訊號。random() 可在 CSS 中產生偽隨機數值，支援最小值、最大值與步進，並可透過快取鍵（搭配 element-scoped）讓同一元素的多個屬性共用同一個隨機值。文章以文字微歪斜、字母彈跳、卡片隨機傾斜、搭配 sibling-index() 與捲動時間軸的扇形卡片、隨機捲動速度與景深模糊六個示範，說明適合與不適合使用隨機性的情境，並提醒以 @supports 漸進增強、尊重 prefers-reduced-motion 與螢幕閱讀器。本文整理語法重點、實務用法與給品牌網站的建議。

PHP 官方於 2026/10/21 發布安全公告，PHP 8.5.12、8.4.27、8.3.36 與 8.2.35 修補兩個 CVSS v4.0 9.2 的嚴重漏洞（合稱 PHP2Shell）：CVE-2026-109618（記憶體不足處理導致的資料損毀）與 CVE-2026-109619（請求結束後殘留的過期全域狀態），可能讓未經驗證的攻擊者遠端執行程式碼。所有處理網頁請求的 PHP 安裝都受影響，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 與 LiteSpeed，其中 mod_php 風險最高。官方表示沒有完整緩解方式，更新是唯一安全選擇；8.1 以下已無官方更新。Laravel News 整理了 Laravel Cloud、Forge、Vapor 的處理方式，Cloudflare 則表示漏洞提前外洩後已觀察到攻擊流量，並為所有 WAF 方案預設部署防護規則。本文整理受影響範圍、更新步驟、暫時降低風險的設定，以及給企業與工作室的實務建議。

Cloudflare 工程師 Ryan Skidmore 於 2026/10/19 在 Cloudflare 部落格分享：自家 AI 程式碼審查系統的平均每次成本，從 4 月的 1.19 美元上升到 8 月底約 2.46 美元。團隊自 9 月中起追查 token 去向，發現審查花費中快取寫入占 43%、快取讀取占 34%、輸出 token 占 23%，而每個工作階段的第一個請求只有 14% 到 26% 命中快取。透過把共用的系統提示切出獨立的快取斷點、讓三個審查者共用同一前綴、移除用不到的工具、平行讀檔、重審時略過無新內容的審查者，以及改用 Opus 5.5 與 Sonnet 5.5 並調整思考強度，平均成本降到 0.77 美元，比最貴兩週的 2.43 美元少 68%；中位數審查時間從 4 分 09 秒降到 1 分 32 秒。品質方面，程式碼品質審查者在高強度下找到的重要問題與之前相當，但嚴重度誇大的情況減少約 70%；效能審查在中強度下確實少抓了真問題。本文整理關鍵做法與給企業導入 AI 代理的實務建議。

Chrome 團隊的 Barry Pollard 與 Fergal Daly 於 2026/10/16 在 Chrome for Developers 部落格宣布，unload 事件的淘汰已在 Chrome 155 完成：預設情況下，Chrome 與其他 Chromium 瀏覽器不再觸發 unload 處理器。這次淘汰從 2025 年 3 月到 2026 年 9 月分階段推出；iOS 上的 Chrome 因使用 WebKit 仍可能觸發。網站仍可透過 Permissions Policy 與 Chrome Enterprise 設定選擇保留，但官方鼓勵移除。Chrome 數據顯示，使用 unload 的導覽從 18% 降到不到 4%；unload 作為 bfcache 唯一阻擋原因的比例從 6% 降到約 1%，等於額外約 5% 的導覽能瞬間前進／返回。本文整理背景、對效能與分析數據的影響，以及以 pagehide、pageshow 改寫的實作建議。

Laravel News 的 Paul Redmond 於 2026/10/20 報導，Laravel 公布嚴重等級安全公告 GHSA-f9x3-7vq9-cph6（CVSS 9.2）：使用內建 token 驅動的 API guard（Illuminate\Auth\TokenGuard）時，在 MySQL／MariaDB 上，未經驗證的攻擊者可送出特製的非字串憑證，讓查詢比對到非預期的使用者紀錄，進而冒用既有帳號。修補方式是在 user() 與 validate() 加上 is_string() 檢查，已收錄於 2026/8/25 發布的 Laravel 12.68.0 與 13.29.0；Sanctum 與 Passport 不在公告範圍內。同日另有中度公告 GHSA-5wcm-3v2w-8362（CVSS 6.5），影響 12.45 起加入的 JSON:API resources，唯讀請求可能觸發刪除關聯資料表的操作，修補於 12.68.0 與 13.27.0。本文整理受影響條件、檢查步驟與給企業與工作室的實務建議。

Astro 團隊的 Matthew Phillips 於 2026/10/15 發布 Astro 7.4。重點包括：astro build --timings 在建置完成後列出各階段、Vite 外掛、Markdown 與語法上色、頁面渲染、圖片與整合套件的耗時，官方示範用它找出元件中依序等待的網路請求，改成 Promise.all() 後頁面產生時間從 2.10 秒降到 1.13 秒；image.service 可分別設定 build 與 runtime 服務；astro/fetch 與 astro/hono 新增 notFound() 處理器；字型供應者可回報可用字重與子集，設定不符時發出警告；最低 Node.js 版本提高到 22.22.0；實驗性功能 parallelPrerender 以 worker threads 平行預先渲染，redirectPage 可自訂靜態轉址頁。本文整理重點、升級注意事項與實務建議。

Nielsen Norman Group 的 Rachel Banawa 於 2026/10/16 發表研究：把過去問 604 位科技與設計從業者的開放式問題（這類工作該叫什麼領域），交給 Synthetic Users 平台生成的 120 位合成受訪者回答。兩組都得出「UX 仍是主流稱呼」的結論，但合成受訪者使用 UX 相關詞彙的比例是 84%，真人約 70%；真人用了 50 多種不同說法，合成受訪者只收斂到約十二種，罕見答案全數消失；連產品經理都有 93% 使用 UX 詞彙（真人僅 44%）。NN/g 稱之為模式崩塌，結論是合成使用者研究仍不是使用者研究，適合產生假設或檢查大方向，需要長尾答案時必須找真人。本文整理研究重點與給網站、產品團隊的實務用法。

The Hacker News 於 2026/10/19 報導：Rank Math PRO（Rank Math SEO 的付費版）在 UTC 10/15 20:02 到 10/16 07:12 之間，從 rankmath.com 下載或透過更新取得的部分 3.0.123 檔案含有惡意程式，啟用後會建立持久後門，且有人瀏覽網站時就可能重建。Rank Math 已移除檔案並推出乾淨的 3.0.124；Wordfence 將事件編為 CVE-2026-111862（9.8 分）。官方建議從事發前備份還原、輪換所有憑證，無備份時則依固定順序刪除外掛資料夾、清除特定 wp_options 項目、封鎖 rank1cdn[.]com 後再全面排查。WordPress.org 上的免費版未被列入此事件。本文整理影響判斷、清理順序與給網站業主的長期防護建議。