最近在做什么、学到什么，随手记在这里。
最近看了一场别人实操漏洞赏金的直播。看完以后，我发现自己对这个方向没有之前那么感兴趣了。整个过程比较繁琐，投入的时间和精力不少，但很难沉淀成可以反复利用、长期积累的东西，回报也不太稳定。而且我感觉其中一部分工作以后可能会逐渐被 AI 自动化，所以暂时不准备继续往这个方向投入。
接下来，我想把重点转到 iOS 应用上，同时参考 Android 市场的数据。相比从零做网站，应用商店本身就有用户和搜索流量，也更容易观察真实需求。我最近开始用 MobileAction——一个类似 Semrush、可以研究应用关键词搜索量和竞争程度的工具。产品想法暂时还没完全确定，先不公开，希望能在接下来一周内选定方向，快速做出并发布一个小产品。
Shopify 项目目前暂时停下来了，原因不是技术问题，而是物流成本。我们从中国向美国寄送一个测试包裹，运费大约需要 28 美元。朋友正在考虑使用第三方物流（3PL），把商品批量运到当地仓库存放，再从当地发货，以降低单笔订单的配送成本。我也提醒了他仓储和运营费用可能带来的额外风险，所以现在需要等他做出决定，再看项目是否继续。
与此同时，继续学习 Web 安全和漏洞赏金让我觉得很有收获。完成更多 CTF 练习并复习基础知识之后，我开始从理论热身走向真实实践：选定了漏洞赏金平台，开始尝试经过授权的真实目标，也提交了第一份漏洞报告。我还在 Reddit 上找到了一些相关社区，可以参考其他安全研究者的经验。
Shopify 店铺已经从规划阶段进入实际搭建，账号、支付、商品、配送和结账等基础配置已经完成。过程中有不少来回沟通，也花了很多时间处理各种配置。
与此同时，我还挺享受学习 SQL 注入和练习 Hacker101 CTF 的过程，目前练习分数已经到了 18/26。接下来会继续学习，并逐步尝试经过授权的真实渗透测试和漏洞挖掘。
来回讨论了很多次之后，我和朋友终于敲定了电商网站的合作方式。这个项目现在正式启动，也成为了近期的优先事项。预计还需要一周左右完成，按朋友价每小时 100 元收费，后续再参与利润分成。定价的过程比想象中更纠结，不过也希望这次合作能成为建立长期信任的开始。
空闲时间里，我也继续分析了一些 Web 攻击技术，最近主要在看 XSS（跨站脚本）和 SQL 注入。这个领域感觉需要几个月甚至几年才能真正掌握，所以暂时不急着下结论，继续学下去。
我已经答应帮朋友启动网站项目，并用 Semrush 分析了一批竞争对手的网站。同时，我又尝试了几道 Hacker101 CTF 题目，也开始更熟悉用于检查和测试 Web 流量的 Burp Suite。
发布了寻找第二个项目的后续记录。目前的实验已经收窄到 Web 安全、开发者社区，以及围绕已有需求寻找小产品机会。
目前的目标，是在动手开发之前先练习验证想法。我和朋友一起验证了那个网站项目，但它既不够紧迫，也缺少清晰的流量路径，所以我选择退出。我也用 eRank 研究了 Etsy，不过账号设置过程让我觉得不够稳定，难以有信心继续投入。现在我准备转向几个新的想法，先做验证，之后很快会公布。
发布了一篇更完整的文章，比较六个第二项目方向背后的证据、风险和学习价值。当前结论是把朋友的电商业务作为主项目，同时把数字材料保留为一个范围明确的独立实验。
给个人网站加上了评论功能、UI/UX 改进和深色模式。评论功能带来了不少意料之外的后端复杂度，包括数据库配置和部署工作。
我也在探索一些新方向，比如在不同的网站上制作几个小型游戏。更让人惊喜的是，那个游戏网站真的吸引到了一位真实用户——这是一个很鼓舞人的小里程碑。
发布了这个网站的第一篇长文《25 小时、30 美元：我的第一次 0–1 网站实验》。同时也更新了首页，并增加了动态页面，用来记录长文之间的短想法和小进展。