一個軟體，微軟通常需要經歷四、五代，才會搞對

這是前幾天在一個 podcast 中聽到美國幾個 IT 前輩的觀點。我當下腦中立刻發出「一針見血」的反射動作，這兩天更是遇上一個活生生的例子，始作俑者的現行犯是 Windows Media Player。

一位同事最近買了 Macbook，故需要將一些 MP3 從 XP 遷移到 Mac OS 10.5 上的 iTune，其中包括一些過去用 Media Player 從原始 Audio CD 剝下來的中文和日文歌。當這些 MP3 被彙入 Mac 上的 iTune 時，他發現裡面出現了大量的亂碼，而大部分都集中在中、日文歌曲。於是找我求助。

我們知道，MP3 等多媒體檔案的元資料（如歌名、演唱者、專輯名等），是存放在 ID3 標籤裡面的。可能是因為我不愛用 Media Player（覺得 UI 很不直覺），自己過去對處理這個問題還真的沒經驗。替他診斷了一下後，發現這些 MP3 的 ID3 標籤中的文字，都是以簡體中文 CP936, GB2312 的編碼形式存在，而未採用多語言支援更好的 Unicode (UTF-8)。這就有趣了。在 ID3 文字編碼的處理上，Windows Media Player 的做法，不同於其他 MP3 音樂播放器，如 iTune 或 Linux 上的各播放器。人家都是選擇用 Unicode，但微軟則獨排眾議地選擇用本地的語言，所以在不同語言的 OS 下做，會出來不同的結果 — 簡體中文會是 CP936，繁體中文則 CP937…。微軟早在 NT 和 Office 2000 時代便已支援 Unicode，為何 Media Player 不採用真是匪夷所思。

more »

去年寫過選擇目前這支 Nokia E70 的心路歷程，當時正值 Apple 剛宣佈 iPhone，世人讚歎聲 ooo…、ah… 不絕於耳之際。當時也和幾位網友交換了在 Nokia 上使用 SIP VoIP 的心得。

自從 iPhone 「越獄版」出現之後，至少已有不下兩打的同事成為愛用者。我也開始評估是否/何時改用 iPhone。Nokia E 和 某些 N 系列手機內建的 Wi-Fi 加 SIP 支援，是我當初選擇 E70 的主因之一。從一年前搬到北京以來，光是這個功能，已經替我們省下了大量的國際電話費，不管是打台灣、香港，還是美國、講多久，都完全免費 — 一個叫 Truphone 的英國 SIP-VoIP 供應商（在那篇 blog 中提過），因為做促銷，所以提供 40 多個國家免費的活動；這個活動雖然已在二月底正式結束，但 Truphone 私下 email 通知我，說因為我是很早就加入的老用戶，所以這個免費活動特別再延三個月，呵呵（附帶一提，Truphone 一旦收費就划不來了，因為他的費率比 Skype Out 和某些其他 VoIP 供應商貴）。除了 Truphone 這種針對 Nokia 用戶的服務外，Nokia E 系列上還能安裝 Fring 這個軟體，可同時支援 SIP、Skype Out，和多種 IM。

隨著 Apple 正式釋出 iPhone SDK，第三方開發人員百花齊放，SIP 和其它各式各樣應用的出現，只是遲早的事。果然，Fring 的 iPhone 版已經出現，還有其他 SIP-VoIP 的免費軟體。iPod Touch 的接頭幾個月前更已被人破解成功，麥克風都已經在量產了。現在有了 SIP 應用，iPod Touch 也能通話了。

more »

Web 2.0 早已不是什麼新話題。過去的幾年內，知名度高如 Google、Yahoo、MySpace、PayPal 等大站，也都無法完全免疫，而陸續爆發過各種攻擊事件（釣魚、蟲…）。Web 2.0 網站不管是選擇用 AJAX 、Flash，還有逐漸風行的離線解決方案，如 Dojo Offline、Google Gears 、Adobe AIR 等，來提供互動性更高的 UI，只要一不小心，這些 Web 應用出現安全漏洞、被壞人佔便宜的機率，其實是很高的。有時候不僅是自己的 code，而問題也可能出現在第三方提供的現成工具箱、API。

要如何防範？對網站開發人員而言，在過去，對這個主題的探討，往往比較零散，要不就偏學術，要求較高的門檻（例如 OWASP 發表的文獻），一直缺乏系統化，全面性，且深入淺出的探討。不久前終於出了一本好書 — AJAX Security，作者為 Billy Hoffman 和 Bryan Sullivan 這兩位 Web 2.0 安全的專家（過去在零星的安全相關報道中，也常出現他們兩位的影子）。在此強烈推薦這本書，給所有從事與 Web 2.0 開發相關的網友。儘管書名選擇叫 “AJAX” Security，但事實上，除了 AJAX 之外，Flash 安全，甚至於如何將 CSS 這種看似無害、展現層的東西，拿來攻擊的方法，在書中都有深入探討（第十二章）。儘管這樣的書，早該出現，但出版時間晚，反而也做出一些額外的貢獻 — 比較新的科技，如上述的 Google Gears 和 Dojo 離線工具箱的安全弱點，在書中都涵蓋了。希望它盡快能被翻譯成中文，以造福更多大眾。

more »

無巧不成 blog。

大約在半年前寫過關於 PaaS (Platform as a Service) 和亞馬遜的 AWS （可謂 PaaS 鼻祖）。上周有位記者朋友向我詢問相關資訊，打算做個深入報道。同樣在上周，看到有篇 blog，談到一個馬路訊息，說 Google 很快就要開始「搶亞馬遜」 的午餐了。當時看了以後，只覺得這個可能性的確存在，但不知何時才會發生。沒想到來得這麼快 — 幾個小時前，華爾街日報報道，Google 也將開始做基礎設施租賃的生意。

亞馬遜最早開發 AWS 的念頭來自於 — 既然我自己能把基礎設施玩得這麼好，為什麼不乾脆把它鬆耦合化，當成一門生意 outsource 出去？Google 玩基礎設施、電腦中心這方面的效率是出了名的（之前也寫過），這是他們的核心競爭實力，對公司財務報表的 bottom-line，帶來很大的貢獻，放眼 Web 的世界，可說無人能敵。所以本著同樣的論點，Google 可說非常有資格做 PaaS 這門生意。

more »