JSON 的 10 个坑：文档不写，但上线后真会踩的那些
不是 "JSON 入门 30 分钟"。如果你已经在线上 ship 过 JSON API，那大概率被里面这些坑里的一两个搞过——大整数精度、循环引用、jq 实战、Schema 真实用法。
写工具的人，记下他踩过的坑
这里不是教程站。每篇都是在某个具体场景里被坑过、然后整理出来的笔记——JSON、正则、哈希、编码、那些每天都要用但从来没人讲清楚的东西。
HTML 实体编码不是万能解药：XSS 要按上下文转义
HTML 正文/属性/JavaScript/URL/CSS 五种上下文各自的转义规则，textContent vs innerHTML，javascript: 绕过，以及为什么 React 也会被 XSS。
Cron 的三个坑：星期和日期是 OR、夏令时漏跑、任务重叠
日和星期同时写为什么是并集、只判首字符导致 */2 翻车、DST 那两小时的漏跑与重跑，以及为什么该用 UTC 和 systemd timer。
Base64 不是压缩也不是加密：33% 膨胀和 data URL 的真实代价
4/3 膨胀的原理、base64url 和 JWT 为何去填充、HTTP/2 后内联图片为何多半是亏的、btoa 遇中文为何抛错。
只存 UTC 还不够：夏令时、闰秒和那次放倒半个互联网的跳秒
未来的会议为什么不能存 UTC、DST 那一小时怎么凭空消失、2012 闰秒如何触发 Linux 内核 futex 让 CPU 打满。
utf8 不是 UTF-8：MySQL 最坑的一次命名，和 emoji 变问号的真相
MySQL 的 utf8 只是 3 字节的 utf8mb3，存不下 emoji。191 魔数怎么来的、767 字节索引上限、四处都要改的迁移清单。
为什么 "👨👩👧👦".length 是 11：码点、代理对与字素簇
字节/码元/码点/字素簇四层长度的区别，代理对怎么把 emoji 切成乱码，Intl.Segmenter 与 NFC 归一化实战。
别拿 UUID v4 当数据库主键：写到崩的教训，和 v7 怎么救场
随机 UUID 主键为什么在表变大后拖垮写入——聚簇索引页分裂讲清楚，RFC 9562 的 v7 怎么用时间前缀解决。
一个正则打满线上 CPU：ReDoS 是怎么发生的，怎么排查
从 Cloudflare 2019 全球宕机说起：灾难性回溯的原理、怎么一眼看出风险正则、CPU 打满怎么定位，三种修法。
为什么我把 JWT 从生产环境删了：无状态鉴权的真实代价
撤销难、改密旧令牌仍有效、令牌膨胀、密钥轮换，外加 alg:none 和 RS256/HS256 混淆两个经典漏洞，以及 JWT 真正合适的场景。
API 调试实战：从 curl 到上线的 8 个排障手段
HTTP 状态码、JSON 解析、JWT 验签、时间戳偏移、URL 编码——一条线串完 API 排障工作流。
CSS Box Shadow 完整指南：从基础到性能优化
语法、8 种常见阴影、与 drop-shadow 的区别、移动端性能坑、配套在线生成器。
中英文混排到底怎么算字数？
不同平台的字数规则差异、阅读时间估算公式、各种字数限制场景与实现代码。
Unix 时间戳：秒级还是毫秒级，前后端各踩各的坑
秒级 vs 毫秒级、各语言获取方法、前后端对接 case study、在线转换工具。
URL 编码：哪些字符需要编码，为什么
URL 编码原理、保留字符与不安全字符、与 Base64 的区别、各语言实现差异。
MD5、SHA-1、SHA-256：什么时候用哪个
从碰撞概率、计算开销到典型使用场景，一次说清四种主流哈希算法的取舍。
前端日常 10 个在线工具（2026 版）
JSON 格式化、Base64、正则、时间戳——每天都要用的那批工具，省掉装一堆 App。
10 个最常用的正则表达式
邮箱、手机号、URL、身份证、IP——复制即用，含解释和边界条件说明。
怎么挑一个真正安全的在线密码生成器
看似简单的需求背后：随机源、熵评估、本地 vs 远程生成的取舍。
让开发效率翻倍的几个在线工具（2026 版）
JSON 格式化、Base64、正则测试——这批工具组合起来，能省掉大半天的环境配置。