开源工具

用 Trivy 把仓库、容器镜像和 IaC 配置放进同一条可复查的 CI 安全扫描链路。

Knip 适合把 JavaScript 和 TypeScript 项目里的未使用文件、依赖和导出先变成可复核报告，再接入清理节奏和 CI 闸口。

Mergiraf 用语法树理解三方版本，适合先处理机械冲突，再把真正需要人工判断的风险点留给评审和测试。

Biome 适合把格式化、lint、assist 动作和 CI 校验收进同一条链路，但落地时要先分清自动修复、本地反馈和合并闸口各自的责任。

Buf 适合把 Protobuf 仓库的格式约束、兼容性检查和 CI 合并条件收进同一条链路，前提是先把本地反馈、对比分支和跳过策略分层设计。

一篇 marimo 开源 Notebook 的开发实践：把响应式执行、纯 Python 文件、脚本化运行、App 交付和版本审查拆开，让数据分析更容易复现、协作和发布。

Genkit 适合把 AI 应用里的调用、工具、提示词和可观测性收进一条可复查的工程路径。

promptfoo 是一个开源的 LLM eval CLI 和库，适合把提示词、模型和 RAG 输出纳入可复跑的测试流程。

一篇面向团队 API 调试集合治理的实践笔记：用 Bruno 保存本地可读集合文件，同时把环境变量、秘密值、CLI 执行和 CI 报告边界拆清楚，避免把个人调试习惯直接带进仓库。

OpenTelemetry Collector 能把日志、指标和 Trace 先收进一条本地管道，再统一处理和导出，适合作为小服务上线前的观测出口演练。