惯性聚合 高效追踪和阅读你感兴趣的博客、新闻、科技资讯
阅读原文 在惯性聚合中打开

推荐订阅源

S
Schneier on Security
Blog — PlanetScale
Blog — PlanetScale
L
LangChain Blog
P
Proofpoint News Feed
MongoDB | Blog
MongoDB | Blog
G
GRAHAM CLULEY
Simon Willison's Weblog
Simon Willison's Weblog
The Hacker News
The Hacker News
博客园_首页
W
WeLiveSecurity
Recorded Future
Recorded Future
S
Secure Thoughts
C
Check Point Blog
Y
Y Combinator Blog
Project Zero
Project Zero
量子位
www.infosecurity-magazine.com
www.infosecurity-magazine.com
S
Security Archives - TechRepublic
K
KPMG report finds enterprise disconnect between AI and its ROI | CIO
Scott Helme
Scott Helme
Spread Privacy
Spread Privacy
V
Vulnerabilities – Threatpost
AWS News Blog
AWS News Blog
S
Security @ Cisco Blogs
T
Threatpost
F
Full Disclosure
P
Proofpoint News Feed
T
The Exploit Database - CXSecurity.com
阮一峰的网络日志
阮一峰的网络日志
TaoSecurity Blog
TaoSecurity Blog
Last Week in AI
Last Week in AI
E
Exploit-DB.com RSS Feed
Microsoft Security Blog
Microsoft Security Blog
N
News | PayPal Newsroom
C
Cybersecurity and Infrastructure Security Agency CISA
让小产品的独立变现更简单 - ezindie.com
让小产品的独立变现更简单 - ezindie.com
C
Cisco Blogs
月光博客
月光博客
S
SegmentFault 最新的问题
B
Blog
GbyAI
GbyAI
J
Java Code Geeks
小众软件
小众软件
D
Docker
IT之家
IT之家
SecWiki News
SecWiki News
F
Fortinet All Blogs
Recent Commits to openclaw:main
Recent Commits to openclaw:main
Google Online Security Blog
Google Online Security Blog
NISL@THU
NISL@THU

Все публикации подряд на Хабре

Ловим музу за клавиатуру: как айтишнику стать автором Что умеет Midjourney в 2026? Мой немного грустный разбор этого шикарного инструмента Никто не любит писать тесты, но ИИ может исправить это IPv8 выглядит как мечта. Поэтому почти наверняка не взлетит Производители вернули в продажу материнки с DDR3. Что происходит? Управление агентом с телефона через Telegram теперь в KodaCode От координации к лидерству: как меняется роль руководителя разработки Я сделала родителям бизнес вместо пенсии: зарабатываем 70 тысяч, мама не даёт продать В три раза быстрее приемка товара и оптимизация трудозатрат на 73%: как «РСТ-Инвент» помог Gulliver Group ИИ-шечный мир победил? О влиянии искусственного интеллекта на игропром Кремль снижает давление на Телеграмм пока Европа строит интернет по паспорту Как CEO, CTO и CIO за 8 часов собрали ИИ-директора, который умеет держать позицию под давлением Как (не) потерять домен за выходные Вместо 8 разных VPS: как я организовал практику студентам на одном сервере Почему твой Open Source проект не замечают? R&D: искусство управления неопределенностью в разработке AI-дефляция: вакансий для разработчиков больше, а рост зарплат — худший за 15 лет Мы отдали управление роботами OpenClaw. Что из этого вышло Галактический ID: система идентификации для всех форм разумной жизни Шесть основ бизнес-анализа: начинаем с вопроса «Кто в игре?» Код-ревью, в котором дело не в коде Данные переехали. Команда — нет Системной подход к сдаче OSWE в 2025 Почему комната управления реактором покрашена в цвет морской пены 4 YAML-файла вместо PySpark: как аналитикам строить пайплайны без разработчиков LLM-агент для поиска свободных доменов: автоматизируем подбор Когда, зачем и как правильно начинать новую сессию в Claude Code? Как я заставил нейросеть писать макросы для FreeCAD Анатомия ИИ‑агента для подбора персонала. От тысячи резюме к топ‑10 за минуты Опыт разработчика как экономика внимания Автономность как точка невозврата: кто будет субъектом в цифровом будущем Обучение ИИ в «диких» условиях: как рутинные действия превращаются в датасеты Как измерить LLM для задач кибербеза: обзор открытых бенчмарков Где хранить код? Сравнение GitHub, GitLab и Bitbucket Математика объясняет, почему нормальное распределение встречается повсюду Почему ваш FinOps не работает: 12 тезисов от практиков Как подписать проектную документацию УКЭП с использованием бесплатных лицензий Pilot Адаптивное администрирование Sigla Vision Я грузил уран в бочки, а потом 20 лет строил ИТ в атомной отрасли Чем позвонить с Эвереста? История и обзор спутниковой связи. Часть 2 Как языковая модель помогает контролировать качество инструктажей по охране труда в металлургии Как не передать на desktop свой IP в РКН Анатомия SAP Privileges: как устроено управление правами в macOS MoneyDev: Сказка про три главных слова Обновлённый токенизатор видео K-VAE 2.0 от Сбера Как сделать диспетчеризацию дома на 1284 квартиры почти бесплатно Как мы разогнали железную дорогу Мы дали агентам рутину. Теперь надо решить — что делать с освободившимся временем Токсичный контент, промпт-хакинг и защита ИИ — всё о Guardrails для LLM Умный город начинается с точного взгляда: как «Фалькон Тех» меняет пространство к лучшему Навайбкодил приложение для анализа графов Почему Дюну так интересно читать? Упрощаем работу с рутиной или как стать Гендальфом Белым Деконструкция Go: CPU, RAM и что там происходит. Go Assembler база. Часть 1.1 Какие профессии исчезнут из-за ИИ, а какие появятся? И что с этим делать Как мы построили IT-отдел, где хочется расти: архитектурные встречи, прозрачные метрики и книжные подарки Rufler: Делаем из Claude Code автономный рой через один YAML-конфиг Sing-box и белый список приложений Как построить надёжный обмен сообщениями в микросервисах: лучшие практики для enterprise OpenAI строит MLM-пирамиду, а McKinsey и Accenture помогают ей в этом Дом, который не построил Фишер (Часть 2) «Сверхзвуковой математик» против «Вдумчивого логиста»: битва алгоритмов 3D-упаковки Мультимодальные модели – грубый и дорогой инструмент Разговоры ничего не стоят. Код тоже Проверки физических лиц: с кого начнет ФНС Топ-10 бесплатных нейросетей для создания видео в 2026 году Первые слои кода: как наши решения сегодня определяют архитектуру ИИ на десятилетия Разработка нового статического анализатора: PVS-Studio JavaScript Поиск уязвимостей ПО: базовый минимум или роскошный максимум Почему оценка персонала не работает как инструмент управления Как мы разработали ИИ-ассистента и сократили рутину продуктовой команды на 50% Как я ушел из найма, нажарил косточек и продал на маркетплейсах на 168 млн в год Когда 1С:ERP уже внедрена, а нормального производственного плана всё ещё нет Как я сделал Claude мультимодальным, подключив к нему Qwen Omni Как приглашение на вакансию мечты превращается в атаку Infrastructure as Code: философия и лучшие практики IaC Тестируем Yandex Code Assistant на задаче, в которой нужно хранить секреты nxs-universal-chart v3.0: новое поколение универсального Helm-чарта Callback Injection: Техника, которая отправила Microsoft Defender в глухой нокаут «Все идеи на стол»: митап как способ вывести проект из тупика Сегодня я узнал нечто новое о GPU благодаря багу в своей игре Как заставить LLM ̶ ̶г̶а̶л̶л̶ю̶ ̶ эволюционировать Карта событий как фундамент аналитики: практический кейс для E-commerce Что выбрать для AI: x86, ARM или RISC-V? Дайджест железа за март Роль соматических мутаций в развитии аутоиммунных заболеваний: путь к избирательной терапии Mythos от Anthropic — тревожный сигнал для всех, а не только для банков Guardrails для LLM на Java: как приручить промпт‑инъекции и токсичные ответы Green-VLA: как мы собрали VLA-модель для реального антропоморфного робота и не потеряли обобщение Финансовая гонка вооружений: почему умные люди добровольно в ней участвуют Эра ИИ-агентов наступила: выбираем лучшего цифрового сотрудника # Практический опыт внедрения WinCC Redundancy на производственном предприятии Сделал MVP за 3 дня, а потом неделю прикручивал оплату. Оно того стоило? Физика против Маска: почему Starship V3 может оказаться ещё одной катастрофой Нефть Венесуэлы: крупнейшие запасы в мире, но не крупнейшая нефтяная держава JPA 4. Переосмысление Hibernate Почему зеркальная фотокамера Nikon D5 десятилетней давности идеально подошла для миссии «Артемида-2» Проект «Уровень-Спутник» или как мы сделали платформу для гидрологов «Замедлиться, чтобы ускориться»: почему ИИ повышает цену ошибок в требованиях и архитектуре Как с нуля поднять трафик IT-компании на 1657% при бюджете 55 тыс. и выжить Pixel-perfect Downsampling — идеальная отрисовка 50 миллионов точек без потерь
О, сколько нам открытий чудных готовит COM STA-дедлок
steelfactor · 2026-06-15 · via Все публикации подряд на Хабре

Мне сложно судить о практической ценности данного статьи, поскольку я уже весьма далек от .NET-разработки прикладных приложений, статья написана больше в исследовательских целях разгребания окаменелых кхм.. мамонта, и, возможно, кто-то из практикующих программистов найдет ее забавной.

На просторах мне не удалось обнаружить каких-либо упоминаний об этой проблеме, вскользь лишь исследователь Joe Duffy писал об этом в своем блоге. Еще косвенно было упоминание вот на этой google-борде. Отсутствие упоминаний об этом явлении должно говорить о околонулевой ценности исследования, но статья сама себя не напишет.

Речь пойдет об очень необычной причине дедлока GUI-потока в оконных приложениях .NET – WinForms и WPF. Когда такое приложение виснет намертво, разработчик ищет причину там, где привык: в собственных локах, в гонке между своими потоками, в неудачном lock или забытом .Wait(). Он перетряхивает свой код - и нередко не находит ничего криминального. Потому что причина лежит не этажом ниже, чем он смотрит, и даже не в подвале: в механизме, который он не писал, не видит и с которым, как ему кажется, вообще не работает.

Если вы работаете с WinForms/WPF, то вы наверняка знаете, что весь GUI-стек построен на однопоточной модели COM -  Single-threaded apartments: буфер обмена, drag-drop, общие диалоги, shell-интеграция, OLE - всё это STA-компоненты.

У WinForms сгенерированная точка входа Main имеет явный атрибут [STAThread] (видно прямо в шаблоне), у WPF точка входа генерируется автоматически и тоже имеет атрибут [STAThread].

Так вот, именно эта модель, точнее, тот самый однопоточный апартамент (STA) с обработкой оконных сообщений, на котором незаметно для всех стоит GUI-поток любого WinForms- и WPF-приложения. Дедлок, выглядящий как баг async/await, на деле - тридцатилетняя машина COM, заглохшая под капотом.

Что скрывает COM за реализацией однопоточной модели STA? Собака, как оказалась, порылась весьма в интересном месте.

Абсолютно любой вызов CoInitializeEx() влечет за собой создание невидимого окна с классом «OleMainThreadWndClass». Казалось бы, зачем COM создавать окна и тем более работать с ними? Исторически дело обстояло так. Сначала появилась технология OLE 1.0 (начало 90-х) - компаундные документы, и его механизм межпроцессного взаимодействия IPC был буквально построен на DDE – Dynamic Data Exchange, то есть на оконных сообщениях (WM_DDE_*), что позволяло одной программе запрашивать данные у другой. Потом под OLE 2.0 в 1993 году Microsoft переписала всё на новый объектный слой - COM, заменив DDE нормальным (интересно, в каком месте он нормальный – прим. моё) маршалингом. И для обратной совместимости с OLE-компонентами оставили в COM оставили работу с окнами. И да, забегая вперед скажу, что где-то очень глубоко в недрах COM сидит обработка DDE-сообщений из начала 90-х.

Но обо всем по порядку.

Вызов CoInitializeEx() активирует цепочку вызовов API ThreadFirstInitialize() -> RegisterOleWndClass(), которая, как я писал, создает скрытое окно с классом «OleMainThreadWndClass». Внутри OleMainThreadWndProc нашлось неожиданно мало. Я ожидал увидеть диспетчер вызовов. Но его там не оказалось - сама процедура есть, а вот диспетчеризации в ней нет: внутри есть обработка только трех типов сообщений - на WM_CLOSE и WM_DESTROY процедура лишь пишет трассировку и возвращает ноль - окно даже не сносится, всё сводится к логированию и защите времени жизни. На приватном WM_USER+5 она через GetSingleThreadedHost отдаёт указатель на host-объект апартамента. Остальное уходит в DefWindowProcW. И все. Тупик.

Ладно, пойдем с другой стороны. В Ghydra задизасмил вызов того, что STA-поток реально вызывает, когда находится в режиме ожидания: функции CoWaitForMultipleHandles. И все сложилось: CoWaitForMultipleHandles() дергает ClassicSTAThreadWaitForHandles(), а та в свою очередь создает «клиентский» цикл CCliModalLoop::BlockFn(), где видны вызовы:

- InitChannelIfNecessary - API поднимает RPC-канал: входящий вызов едет по LPC, а не «сообщением в окно»;

- API MsgWaitForMultipleObjectsEx - спим до срабатывания хэндла или прихода сообщения в очередь (!);

 - PeekRPCAndDDEMessage выгребает из очереди именно RPC- и DDE- сообщения.

Итого имеем: вызов приходит по LPC, но его доставка вплетена в очередь сообщений, и модальный цикл достаёт её, пока поток ждёт.

Я думал это дно, но тут снизу постучали.

Вызов PeekRPCAndDDEMessage через обертку CCliModalLoop::MyPeekMessage дергает PeekMessageW (PM_REMOVE) + DispatchMessageW, ровно те же два вызова, как в любом учебнике while (GetMessage()) DispatchMessage() любого GUI.

И где здесь засада, спросишь ты?

combase!PeekRPCAndDDEMessage - привет из 90-х

combase!PeekRPCAndDDEMessage - привет из 90-х

Этот цикл PeekMessage/DispatchMessage - ты привык считать «своим», родным: он организует обработку кликов, перерисовок, ввода. И это тот же цикл, которым COM доставляет входящие вызовы, а async - свои продолжения.

Одна очередь, один поток, одна пара вызовов на всех. И - две ловушки, обе из того, что цикл обработки сообщений общая.

Заблокируешь его вызовами .Result, .Wait(), lock, тяжёлым расчётом - и ты не просто «подвесил UI на секунду», ты остановил единственный механизм, которым к тебе придёт тот самый результат, которого ты ждёшь, ждёшь ответа по каналу, который сам же и заглушил.

Запустишь цикл обработки сообщений не там, где надо - Application.DoEvents(), модальный диалог, MessageBox, да хоть обычный await - и цикл посреди твоего кода вытащит из очереди следующее сообщение и продиспетчерит его. Твой обработчик войдёт повторно, пока первый ещё на стеке: клик поверх клика, таймер поверх обработчика, COM-callback поверх метода. И пошло, поехало…

Те же два вызова, которым учат на первом уроке по Win32, под капотом оказываются транспортом и COM, и async, там где-то окаменелом 30-летнем наследстве от OLE - в простой обработке оконных сообщений, которая на первый взгляд выглядит безобидной.

Что это значит на практике?

Вам не нужно «работать с COM», чтобы влететь в COM STA-дедлок. Если вы в UI-потоке .NET - вы уже на COM STA. А STA-поток обязан непрерывно обрабатывать очередь сообщений; стоит ему заблокироваться - обработка прекращается, и входящий вызов не доставляется.

Что делать?

Не парковать UI-поток на асинхронной операции или тяжелых вычислениях. Его единственная работа, которая не должна прерываться, крутить цикл сообщений. А как это сделать, решать уже вам.