一个软件，微软通常需要经历四、五代，才会搞对
这是前几天在一个 podcast 中听到美国几个 IT 前辈的观点。我当下脑中立刻发出“一针见血”的反射动作，这两天更是遇上一个活生生的例子，始作俑者的现行犯是 Windows Media Player。
一位同事最近买了 Macbook，故需要将一些 MP3 从 XP 迁移到 Mac OS 10.5 上的 iTune，其中包括一些过去用 Media Player 从原始 Audio CD 剥下来的中文和日文歌。当这些 MP3 被导入 Mac 上的 iTune 时，他发现里面出现了大量的乱码，而大部分都集中在中、日文歌曲。于是找我求助。
我们知道，MP3 等多媒体文档的元数据（如歌名、演唱者、专辑名等），是存放在 ID3 标签里面的。可能是因为我不爱用 Media Player（觉得界面很不直觉），自己过去对处理这个问题还真的没经验。替他诊断了一下后，发现这些 MP3 的 ID3 标签中的文字，都是以简体中文 CP936, GB2312 的编码形式存在，而未采用多语言支持更好的 Unicode (UTF-8)。这就有趣了。在 ID3 文字编码的处理上，Windows Media Player 的做法，不同于其他 MP3 音乐播放器，如 iTune 或 Linux 上的各播放器。人家都是选择用 Unicode，但微软则独排众议地选择用本地的语言，所以在不同语言的 OS 下做，会出来不同的结果 — 简体中文会是 CP936，繁体中文则 CP937…。微软早在 NT 和 Office 2000 时代便已支持 Unicode，为何 Media Player 不采用真是匪夷所思。
more »
去年写过选择目前这支 Nokia E70 的心路历程，当时正值 Apple 刚宣布 iPhone，世人赞叹声 ooo…、ah… 不绝于耳之际。当时也和几位网友交换了在 Nokia 上使用 SIP VoIP 的心得。
自从 iPhone “越狱版”出现之后，至少已有不下两打的同事成为爱用者。我也开始评估是否/何时改用 iPhone。Nokia E 和 某些 N 系列手机内带的 Wi-Fi 加 SIP 支持，是我当初选择 E70 的主因之一。从一年前搬到北京以来，光是这个功能，已经替我们省下了大量的国际电话费，不管是打台湾、香港，还是美国、讲多久，都完全免费 — 一个叫 Truphone 的英国 SIP-VoIP 供应商（在那篇 blog 中提过），因为做促销，所以提供 40 多个国家免费的活动；这个活动虽然已在二月底正式结束，但 Truphone 私下发 email 通知我，说因为我是很早就加入的老用户，所以这个免费活动特别再延三个月，呵呵（附带一提，Truphone 一旦收费就划不来了，因为他的费率比 Skype Out 和某些其他 VoIP 供应商贵）。除了 Truphone 这种针对 Nokia 用户的服务外，Nokia E 系列上还能安装 Fring 这个软件，可同时支持 SIP、Skype Out，和多种 IM。
随着 Apple 正式释出 iPhone SDK，第三方开发人员百花齐放，SIP 和其它各式各样应用的出现，只是迟早的事。果然，Fring 的 iPhone 版已经出现，还有其他 SIP-VoIP 的免费软体。iPod Touch 的接头几个月前更已被人破解成功，麦克风都已经在量产了。现在有了 SIP 应用，iPod Touch 也能通话了。
more »
Web 2.0 早已不是什么新话题。过去的几年内，知名度高如 Google、Yahoo、MySpace、PayPal 等大站，也都无法完全免疫，而陆续爆发过各种攻击事件（钓鱼、虫…）。Web 2.0 网站不管是选择用 AJAX 、Flash，还有逐渐风行的离线解决方案，如 Dojo Offline、Google Gears 、Adobe AIR 等，来提供互动性更高的 UI，只要一不小心，这些 Web 应用出现安全漏洞、被坏人占便宜的机率，其实是很高的。有时候不仅是自己的 code，而问题也可能出现在第三方提供的现成工具箱、API。
要如何防范？对网站开发人员而言，在过去，对这个主题的探讨，往往比较零散，要不就偏学术，要求较高的门槛（例如 OWASP 发表的文献），一直缺乏系统化，全面性，且深入浅出的探讨。不久前终于出了一本好书 — AJAX Security，作者为 Billy Hoffman 和 Bryan Sullivan 这两位 Web 2.0 安全的专家（过去在零星的安全相关报道中，也常出现他们两位的影子）。在此强烈推荐这本书，给所有从事与 Web 2.0 开发相关的网友。尽管书名选择叫 "AJAX" Security，但事实上，除了 AJAX 之外，Flash 安全，甚至于如何将 CSS 这种看似无害、展现层的东西，拿来攻击的方法，在书中都有深入探讨（第十二章）。尽管这样的书，早该出现，但出版时间晚，反而也做出一些额外的贡献 — 比较新的科技，如上述的 Google Gears 和 Dojo 离线工具箱的安全弱点，在书中都涵盖了。希望它尽快能被翻译成中文，以造福更多大众。
more »
无巧不成 blog。
大约在半年前写过关于 PaaS (Platform as a Service) 和亚马逊的 AWS （可谓 PaaS 鼻祖）。上周有位记者朋友向我询问相关信息，打算做个深入报道。同样在上周，看到有篇 blog，谈到一个马路消息，说 Google 很快就要开始“抢亚马逊” 的午餐了。当时看了以后，只觉得这个可能性的确存在，但不知何时才会发生。没想到来得这么快 – 几个小时前，华尔街日报报道，Google 也将开始做基础设施租赁的生意。
亚马逊最早开发 AWS 的念头来自于 — 既然我自己能把基础设施玩得这么好，为什么不干脆把它松耦合化，当成一门生意 outsource 出去？Google 玩基础设施、计算机中心这方面的效率是出了名的（之前也写过），这是他们的核心竞争实力，对公司财务报表的 bottom-line，带来很大的贡献，放眼 Web 的世界，可说无人能敌。所以本着同样的论点，Google 可说非常有资格做 PaaS 这门生意。
more »
