在上一篇文章里，我比较了第二个项目的几个可能方向。
当时最主要的目标，是练习如何在开发前验证市场。我想更深入地了解 SEO、关键词研究、Semrush、eRank（用来分析 Etsy 关键词和竞争对手的工具）、竞品分析，以及其他能在投入大量开发时间之前估算需求的方法。
一周之后，重点有了一些变化。我暂时放下了之前的部分选项，把更多时间花在 Web 安全、开发者社区和已有的软件市场上。
这看起来有点像回到了自己的技术舒适区。不过现阶段我并不排斥。相比从零做一个没有用户的独立产品，平台通常能提供更明确的起点、现成的用户和更快的反馈。
之前的几个方向有什么变化
我购买了一个月的 eRank，研究了 Etsy 上几个类别的需求和竞争情况。最明显的观察是，有需求的地方往往也有巨大的供给。一些热门关键词的供需比很差，同一个搜索结果里已经挤满了成熟商品和卖家。通用的 AI 生成数字材料也很难做出差异。
从我目前所在的地区稳定运营 Etsy 店铺，还会增加一层平台风险。即使技术上能够完成设置，地理位置不一致、VPN 使用以及账号可能被封，都让这个机会变得没那么有吸引力。Etsy 仍然是一个成立的市场，但我暂时停下了这个方向。
朋友最近又对玩具业务的独立网站产生了一些兴趣，不过进展依然比较慢。现在我更倾向于把它看成一份外包工作，同时也是观察完整跨境销售链条的机会：
- 选品和定价
- 获取流量
- 支付和发货
- 客户服务
- 复购
这些经验会超出单纯的软件开发。不过，我的角色更接近支持一项已经存在的业务，而不是建立属于自己的资产，所以它的优先级仍然不高。
用一个月试试 Hacker101
目前最主要的新方向是 Web 安全。
我开始做 Hacker101 的 CTF 题目。CTF（Capture the Flag）是一种合法、刻意设置漏洞的安全练习环境。我正在学习和复习 HTTP、Cookie、浏览器安全、XSS（跨站脚本：让不受信任的内容在网页中执行）、CSRF（跨站请求伪造：诱导浏览器发出用户并不想发送的请求）、同源策略（限制不同网站相互访问的浏览器规则）、内容类型、字符编码，以及 Burp Suite（检查和测试 Web 流量的工具）。
过程记录在我的 Hacker101 CTF 笔记里。这个仓库只涉及经过授权的 CTF 环境，会记录每道题的分析过程、相关请求、学到的内容和后续问题。
这个方向会用到我已有的经验，但又不完全重复以前的工作。我的背景主要是后端系统、网络、基础设施和可靠性，这些工作的重点通常是让系统按照预期正确运行。
安全则会从另一个角度看同样的组件：
一个假设会怎样失效？系统可能怎样被用于原本没有预料到的用途？
这些技术足够熟悉，过去的经验仍然有用；但对抗式思维又需要专门练习。
它的反馈周期也比较短。CTF 有明确的目标和结果，开始练习的成本很低，进度还能公开记录，而不是停留在一份抽象的学习计划里。
我准备先用一个月做这次实验，然后再判断是否继续。这一个月里，我计划：
- 完成更多 Hacker101 题目。
- 系统记录每次练习的结果。
- 更熟悉 Burp Suite 和 Web 流量分析。
- 阅读真实的漏洞报告。
- 看看自己能否减少对现成题解的依赖。
月底时，我会检查自己是否仍然保持兴趣，以及学到的东西能否迁移到新问题，而不是只能解决做过的几道题。
眼前的目标是学习，不是收入。不过长期来看，它可能延伸到经过授权的公开漏洞赏金项目、应用安全、安全研究、安全自动化和开发者工具、AI 辅助漏洞分析，或者至少让我在做自己的产品时具备更好的安全意识。
即使它最后没有变成单独的职业方向，这些知识对产品开发和技术风险判断仍然有用。
观察小型软件市场
最近我也花了更多时间浏览 Product Hunt、Reddit 和独立开发者发布的内容。
我看到不少小产品每个月只有几十或几百美元的 MRR（每月经常性收入）。它们未必是很大的生意，却已经跑通了一个完整循环：
找到问题 → 开发 → 接触用户 → 收款 → 改进
另一个观察是社区的价值。开发者会公开分享发布过程、失败经历、客户反馈、收入、获客渠道和技术决策。持续参与社区，可能带来早期用户、合作者、推荐，也能接触到更多实用信息。
所以，和社区建立联系不只是社交，也可能成为分发和发现机会的一部分。
我还想继续尝试一种方法：去应用、工具和 Chrome 扩展里寻找一星评价。现有产品已经证明了一定程度的需求，而差评可能暴露反复出现的问题：
- 缺少某些功能
- 可靠性差
- 长期无人维护
- 工作流程难用
- 定价问题
- 隐私顾虑
一个可能的实验，是从中找到一个足够窄的抱怨，快速做出更小的替代品，发布到已有平台，再观察用户反应。
这种方法不需要太多准备，就能从市场研究自然过渡到产品测试。应用商店和扩展市场还有现成的发现机制，可以降低一部分早期推广压力。平台风险仍然存在，但和一个没有任何受众的独立网站相比，平台往往能提供更容易的起点和更快的反馈。
开始做减法
到这里，我不想再往清单里添加更多点子。目前的范围已经足够：
- 研究现有应用和用户评价，找到合适的机会时，快速开发并测试一个小产品。
- 和更多独立开发者及相关社区建立联系。
- 继续学习 Web 安全，逐步走向经过授权的漏洞挖掘。
这三个方向已经足以占据我的时间，直到其中一个失去动力，或者被我主动删掉。
现在的重点是做减法，而不是继续收集可能性。与其维护一张越来越长、却没有多少精力执行的想法清单，我更愿意在少数几个方向上积累证据。
这一周还有几个零散的观察：
- 即使是在经过授权的 CTF 环境里，OpenAI 对协助网络安全练习也格外谨慎。
- Burp Suite Professional 每年大约需要 499 美元，而灰色市场上有人用约 1 美元兜售破解访问权限。
- eRank 上部分热门关键词的供需比很差，Pokémon 相关搜索就是一个明显例子。
- 即使 MRR 只有几十美元，也足以证明一个产品确实有真实需求。
- 一星评价可能比通用的创业点子清单更有价值。
原计划是进一步离开开发，把重点放在验证上。现在的方向虽然又靠近了一些技术工作，但背后的原则没有太大变化：借助已有平台缩短反馈周期，在获得继续投入的证据之前，不要先做一个庞大的产品。