凌晨两点，代码没出任何故障，他还是会打开那个项目，盯着看一会儿，心里想一句：这东西是我做的。

打开网易新闻 查看精彩图片

不是星标最多的那个，也不是赚到钱的那个。开发者 Akhouri Anmol Kumar 把这句话抛出来，然后自己先交了卷——两个项目，一个纯 Python 安全套件，一个从不上传照片的浏览器修图工具。

第一个：ATLOCK v5，一个文件，一万多行

起点是个很朴素的问题：只用 Python，能不能做出真正靠谱的安全工具？几次推倒重来之后，ATLOCK v5 变成了单个文件、10,000 行以上、Windows 优先的成品，还打包成了 .exe。

它做到的事，比第一天计划的多：

  • AES-256-GCM 密封容器，带分块认证和密钥承诺
  • Argon2id 密钥派生，按每台机器实测性能调参，硬件能扛多强就用多强
  • 密码保险库，支持从 Bitwarden、Chrome、Firefox、KeePass、1Password 导入
  • 文件守卫，可选密钥文件或硬件密钥，打开一个文件要密码加第二因素
  • 2FA 支持 TOTP 和 FIDO2 硬件密钥（YubiKey 之类）
  • 公钥加密、签名与验签，外加 Shamir 秘密共享用于恢复密钥
  • 内置模糊测试器，往自己的容器解析器里灌随机损坏数据——没被自己打过的代码，他不信

但他最得意的不是功能，是"诚实"。源文件开头直接写明 ATLOCK 做不到什么：能以你的身份运行代码的同用户攻击者，可以改这个脚本、读这个进程的内存，他们拦不住一个铁了心的本地攻击者。

他的原话大意是：承诺"牢不可破"的安全工具都在撒谎，与其让你盲信，不如让你知道真实的威胁模型。

第二个：APIC，一个看不见你照片的修图工具

大多数"免费在线修图"会悄悄把图片传到服务器。他想做反的：APIC 100% 跑在浏览器里，不上传、不注册、不要账号，照片不离开你的设备。

功能清单包括：端侧 AI 抠背景、物体移除、曲线/直方图/HSL/调色/LUT 导出的专业色彩套件、PNG/JPG/WebP 等格式的转换压缩缩放，并且从低端手机到 MacBook 都调过流畅度。

最近他重做了实时预览，让预览浮在控件旁边，调滑块时够大、能看清人像细节。让这套东西在便宜安卓机和桌面上都顺滑，他说是个意外很深的坑。

两个项目教给他的事

约束就是特性。"一个文件"和"什么都不离开浏览器"逼出来的架构，比任何框架给的都好。诚实胜过吹嘘，把局限写清楚换来的信任，比一页功能列表更实在。性能是一种共情——只在你自己的机器上跑得顺，那你是给自己做的。一个人也不等于小打小闹，单枪匹马也能交付一个像产品的产品。

这两个项目都出自 Akhouri Systems，作者 Akhouri Anmol Kumar。他把话头递出来了：你最得意的那个项目是什么，最难的那个 bug 或决定是什么，如果可以重来你会重写什么。