半年时间，从 Web 安全学到 LLM 再到 EEG 信号处理，跨度大得有点不真实。前两天翻自己 GitHub 的 contribution，看到从去年 12 月到现在逐渐变绿的格子，突然想写一篇总结——不是为了显摆，而是想记录下来那些真正改变了我的瞬间。

最早的一个改变来自 DVWA。学 XSS 的时候我花了很多时间背各种绕过技巧——大小写、编码、注释混写。直到有一天配置 Impossible 级别，发现作者只做了一件事就堵住了所有攻击：htmlspecialchars。

那一瞬间我挺愣的。防御原来不是靠记住一千种绕过手法然后一一封堵，而是从根本上消除注入的可能性。参数化查询消除 SQL 注入，模板引擎自动转义消除 XSS，CSP 消除内联脚本——一条规则解决一类问题。这个念头后来反复出现。

第二个改变来得没那么戏剧化。被 Attention 公式折磨了三天之后，我意识到 Transformer 本质上是序列到序列的通用映射框架。输入序列可以是文本，可以是脑电时间序列，可以是音频频谱。当时有人用深度可分离卷积解释 EEGNet 和多头注意力的关系，我似懂非懂，但”跨领域的东西底层其实是相通的”这个念头扎下了根。

第三个改变是学 LoRA 的时候。看十篇论文，不如亲手写一遍 LoRALayer 来得实在。搭 ReAct Agent 跑通第一次工具调用、看着它自动搜索推理给出答案，那种震撼比读任何论文都深。我的学习节奏从此变成了：先跑通代码，再理解原理，最后补数学推导。和教科书顺序正好相反，但对我这种工程背景的人最管用。

写博客也是这么改的。春节前我定了每周一篇的计划，坚持了一个月，发现写出来的东西质量很差——基本是网上文章的翻译整理。后来放慢到一个月一篇，但每篇都要动手实践过、有实际数据。那篇 EEG 信号处理写了三周，一周读论文、一周跑实验、一周写作，慢是慢，但每段话都是自己验证过的。

半年下来最大的收获不是什么知识点，是慢慢找到了一种适合自己的节奏。不焦虑、不攀比、持续输入、注重输出。新的一年想做的事还很多——微调自己的模型、做内网渗透的完整演示、把脑电 demo 接入实时系统。

写代码去吧。