写了十年的移动端，现在主要折腾 Kotlin Multiplatform 和 AI 工具。这里的文章大多先在公众号发过，再归档到这里，尽量都带可复现的步骤和一手来源。
4.5 万星的安全审计 skill，一半代码在防 AI 编漏洞
文档 1778 行，校验侧 3498 行。Cloudflare 这个开源审计 skill 最重的部分不是找漏洞，是防止 agent 编漏洞。
Compose 1.13 发布了，但真正值得写的是 1.12
1.13 这版只有一个新功能，其余全是修问题。真正重的东西藏在 1.12 里，热重载接上了 MCP。
AI 都能写 Swift 和 Kotlin 了，跨端图什么
9 月 10 日，Shopify 移动端负责人 Mustafa Ali 发了篇博客。
Kotlin 2.5 换了发布格式，编译器也跟着变严
10 月 21 日，Kotlin 2.5.0-Beta2 发布。多数人翻开更新说明，看的是语言特性那几行：四项转正、两项实验。看完觉得这一版平平无奇，就关掉了。
给编码 Agent 装记忆，先想清楚存哪层
我的 DeepSeek Harness 里一直挂着 memorix，用了几个月，没出过问题。
Google Play 账号被封，我重开了一遍
账号被封那天，我的第一反应和你一样：再注册一个。
Google Play 注册：地址要和身份证一致
上周又有人问我 Play 开发者账号被拒了怎么办。翻他的材料，身份证拍了、信用卡也绑了、25 美元扣款成功，问题出在地址，他那张卡的开户地址是公司，身份证上的地址是老家。
Google Play 开发者账号：25 美元之后的五道关
中文教程里关于 Play 开发者账号的说法，大多停在两年前：25 美元、一张信用卡、填个地址、等一天。这套现在不够用了。
DeepSeek Harness 装插件，我撞了三堵墙
DeepSeek Harness 一直喊的那句 Everything is a Plugin，说的是功能都做成插件。0.2.1 这个版本往前挪了一步，开始管「插件从哪来」这件事：rc.1 里加了一条「允许用户从自定义插件索引源中发现和安装插件」。
Flutter 流式聊天：三个坑的实测代价
写 AI Chat 客户端的人都绕不过这件事：模型的回答不是一次性给你的，它一个 token 一个 token 往外吐，中间还要插工具调用、插代码块、插一段思考。用户盯着屏幕，其实是在看一棵树一边长一边被人重新摆位置。
CLI-Anything：让 agent 用上命令行
让 agent 去操作软件，眼下最常见的路子是让它看截图、找按钮、点坐标。跑是能跑通，但很脆。窗口大小变一变、按钮挪一格、页面慢半拍加载，它就开始瞎点。
IDEA 的智能进了 VS Code：1.0 实测
补全靠猜，跳转看运气，重命名不敢按。10 月 15 日，JetBrains 把 IntelliJ IDEA 里那套 Java 和 Kotlin 引擎做成了语言服务器扩展，推 1.0 正式版，装进 VS Code、Cursor、Google Antigravity 都能用。