今天值得看的

• cjh：华为仓颉语言从零实现的终端 Coding Agent，自称不是 LLM 套壳
• CodeQL 2.27.4：Java 日志注入查询识别更多消毒器，Rust 三项查询减少误报
• GitHub Copilot 进入 Xcode 内置编程助手，需要 Xcode 27.3 beta + macOS Tahoe 26.6

cjh：仓颉语言原生的终端 Coding Agent

cjh 是一个用华为仓颉语言从零实现的交互式编码代理。在终端里用自然语言描述任务，Agent 自主规划、调用工具、观察结果、迭代直到完成。全程通过 TUI 实时呈现，也支持 Web 远程驱动。

项目方特意强调它「不是又一个 LLM 套壳」，从立项就决定不依赖现有框架。

原文只给了项目概述，没展开具体命令用法、prompt 写法或任务执行示例。想知道它实际怎么跑，只能去 GitHub 仓库自己读源码。

我的判断：仓颉语言生态还很小，工具链和库远不如 Python 或 TypeScript 成熟，直接把这个 Agent 塞进日常工作流风险不低。关注它的实现思路比直接换工具更实际——尤其是它自称不依赖现有 Agent 框架这一点，源码里怎么做规划循环、怎么调用工具，值得翻一翻。

→ 原文

CodeQL 2.27.4：Java 日志注入识别更多消毒器，Rust 误报减少

这是 GitHub 代码扫描背后的静态分析引擎更新，主要改了三块。

Java/Kotlin 的 java/log-injection 查询现在能识别来自 JDK、Apache Commons Lang 和 Text、Guava、OWASP Java Encoder、Spring Framework 的消毒器和消毒器守卫。路径注入查询也新增了对 Apache Commons Lang 和 Guava 子串守卫、字符串替换和移除操作的识别。

Rust 的 rust/uncontrolled-allocation-size、rust/log-injection、rust/cleartext-logging 三项查询减少了误报。

C/C++ 的 cpp/suspicious-pointer-scaling 查询不再报告某些有意的指针算术写法——原文这一截断了，没给出具体是哪种模式不再触发。

我的判断：Java 部分直接可用。如果你的项目用了上述库做输入消毒但 CodeQL 还在报警，升级到 2.27.4 应该能消掉一批误报，不用再手写 suppress 注释。Rust 三项查询的误报减少也值得升级验证，后续安全告警的信噪比会好一些。

→ 原文

GitHub Copilot 进入 Xcode 内置编程助手

Copilot 现在可以直接在 Xcode 内置的 coding assistant 里使用了，不再只依赖 GitHub Copilot for Xcode 扩展这一个渠道。目前是公开预览。

前置条件：Xcode 27.3 beta，Mac 需运行 macOS Tahoe 26.6 或更高版本。在 Xcode 里打开 Settings > Intelligence 即可设置。所有 Copilot 套餐都支持。原来那个独立的 Copilot for Xcode 扩展保留，两个渠道并存。

我的判断：对已经在 Xcode 里用 Copilot 扩展的人来说，内置集成的意义是少装一个插件、少一个可能打架的更新点。但这是预览版，依赖 beta 版 Xcode 和尚未正式发布的 macOS 大版本，日常开发机不建议追，等正式版出来再说。

→ 原文