体育应用变重了，背后的分析架构却更复杂

体育科技正被当作数据故事来推销。本月抵达新闻室的介绍涉及体育市场的 AI、球迷增长仪表盘和表现分析。这是营销层。工程层看起来不同，也更容易检查，因为大部分以开源、漏洞赏金报告或产品笔记的形式发布。

看看最显眼的消费者案例。Slate 在六月发表了一篇文章，认为 Apple 的 Sports 应用是公司多年来发布的最棒应用，恰恰因为它几乎什么都不做。这个名为 "Sports" 的应用没有新闻头条，没有流媒体指南，几乎没有广告。Slate 的评论员指出，它显示球队名称和标志、战绩、比赛时间和比分，外加一个积分榜页面。博彩赔率出现在记分牌上，但设置中的开关可以永久移除它们。

这就是整个产品。对从事体育数据的人来说，有趣的部分在于它为什么感觉很快：应用在设计上很窄，因此背后的数据管道永远不需要在同一个视图中协调数据源、编辑内容和视频库存。

记分牌是容易的部分

Slate 的作家将这种自定义描述为完美：你选择联赛和球队，它们出现在主页和侧边栏中，比分可以作为实时活动显示在锁屏上。覆盖范围远超世界杯，包括 MLS、NWSL 和大约 30 个其他足球联赛，以及男子和女子网球和 LPGA 巡回赛。点击一场比赛会打开基本的技术统计、排行榜或阵容。

该应用于 2024 年冬天宣布。Slate 引用了一位 Apple 高管当时阐述的前提：“我们创建 Apple Sports，是为了给体育迷他们想要的东西，一个提供极快比分和统计数据访问的应用。”没有代理框架，没有关于让球迷更接近现场的承诺。

这种克制中埋藏着一个有用的教训。大多数体育产品现在都承载着多年积累的功能。Slate 的评论员特别指出了美国职业棒球大联盟（MLB）的官方应用，它曾是一个宠儿，但现在用装饰性内容包围比分和视频，而 ESPN 的应用则在其比分部分上方推送其直播电视服务和名为 "Verts" 的类似 TikTok 的信息流。摩擦不是数据问题。它是伪装成数据问题的产品问题。

这正是管道变得有趣的地方，也是本月公开记录异常丰富的地方。

9 月 8 日，一家名为 Adaca 的软件咨询公司发布了 Adaca Analytics，这是一个自托管的仪表盘层，用于 Google Analytics 4 和 BigQuery，运行在 Cloudflare Workers 上。根据项目的 GitHub README，来自 GA4 Data API 或 BigQuery 导出的每日汇总落在运营商拥有的 D1 数据库中，而实时数据保留在 Google 上。仓库包含六个仪表盘和一个四步构建器用于自定义仪表盘。

细节比推销更重要。仪表盘中的每个数字都打开到一个带有自身趋势和细分的详情页面，预先计算以便在一次往返中加载。每个仪表盘只有一个过滤器，保存的细分，以及可以固定过滤器的只读共享链接。比较针对上一个时期、去年或任何窗口运行。设置需要创建一个对 GA4 属性具有 Viewer 访问权限的 Google 服务账号，下载其 JSON 密钥，然后部署到 Cloudflare，它会分叉仓库并配置 D1 和 KV。README 明确说明没有登录，并告诉运营商在部署前放置 Cloudflare Access 或内置的基本身份验证。该项目采用 MIT 许可证。

将其放在体育背景下阅读，问题的形状变得清晰。想要自己分析视图的俱乐部、联赛或广播商现在正在用商品部件组装它：一个 worker 运行时，一个小数据库，一个具有只读访问权限的服务账号，和一个 cron 作业。昂贵的部分不是查询引擎。它是访问模型和运营纪律。

当令牌检查缺失时

Tom's Hardware 在 9 月 28 日报道，一名使用 Faav 手柄的少年在微软内部 Titan 分析平台中发现了未认证端点。报告说他构建的一个名为 Antares 的机器人发现了一个返回要求 VPN 错误的端点 URL。Antares 随后枚举子域名，发现了一个位于 Azure 云主机上的子域名，以及一个列出四个路由的 Swagger/OpenAPI 文件。其中三个需要 Azure Active Directory 认证。一个不需要，它被命名为 /v2/Query。它接受原始 SQL。

根据报告，Faav 使用 Wayback Machine 找到了 2023 年版本的登录页面，其中包含一个 Apache Superset 配置文件，描述了数据库架构，包括 56 个表定义。端点因缺少 JWT 而拒绝了他的查询，所以他让 Antares 对它运行了 10 天没有成功。然后他注意到服务器的响应暗示令牌的数字签名没有被检查，展示了一个声称管理员访问权限的令牌，并被放行了。单个 SHOW DATABASES 返回了 25000 条员工数据记录，外加组织记录、仪表盘和图表。

进一步挖掘，他发现了一个用于 Bing 分析的数据源。统计各表的行数，Tom's Hardware 报道，他总共计算了可访问的 17 万亿条记录。他向微软的漏洞赏金项目报告了该问题，并获得了 5000 美元。在他的博客文章中他写道：“AI 和人类直觉在这里复合了。Antares 做了十天我不必做的工作 [...] 它的坚持，加上一个人的直觉，使得这一发现成为可能。”

这里有两件事值得分开。第一是漏洞本身：一个接受原始 SQL 且不验证令牌签名的端点。第二是发现方法。暴力子域名枚举是自动化的。签名检查缺失，因此伪造的管理员声明将有效的洞察，不是。

Starburst 在 9 月 11 日发表了一篇分析，从架构角度框架化了同样的张力。文章介绍了向企业 AI 代理提供数据的两种方式：提取数据并移交，或让代理直接访问数据库并让它自己编写查询。第一个选项，作者标记为“选项 0”，很快变得昂贵，因为按处理数据项收费的代理不能交付 TB 级数据。作者称它在非常规情况下不切实际。

第二个选项让数据库引擎做它优化的事情，同时代理发送连续或并行请求。它还指出一个真实的风险：代理可能比人类用户更具要求，并在细化焦点时用推测性查询淹没数据库。文章中的杂货店例子很好地说明了为什么这个问题很难。询问鸡蛋促销是否盈利需要一个系统的交易数据，另一个系统的忠诚度和人口统计数据，以及关于篮子构成和重复访问的后续问题链。

这与体育分析问题具有相同的形状。票务、流媒体、商品、应用遥测和场馆数据位于不同的系统中，重要的查询跨越所有系统。Starburst 的文章认为现代数据库系统越来越能够处理代理工作负载，但在 TB 级结构化数据上，代理在很长一段时间内无法匹配长期调优的数据库引擎的优化。

安静的工具才是值得关注的

远离企业层级，两个较小的项目展示了工具走向何方。Plainoldanalytics，9 月 13 日发布在 Hacker News 上，是一个用于 Go 应用的自托管分析中间件。其 README 描述其精神类似于 Umami、Plausible 或 PostHog，但嵌入在应用本身中。核心包是存储无关的，因此导入它从不拉入后端；运营商选择一个存储包，如 DuckDB 或内存存储，或自己实现接口。流量大约每秒刷新到磁盘一次，中间件记录路径参数，除非路由被包装以记录字面路径。存在用于 gin 和 chi 的适配器。

DataZen，8 月 29 日发布，走向另一个方向：一个用于跨数据库工作的本地优先桌面客户端。其网站列出 PostgreSQL、MySQL、SQLite 和 Redis 为内置，可选驱动用于 MongoDB、ClickHouse、DuckDB 和 SQL Server。它提供自然语言 SQL、一键错误诊断、EXPLAIN 可视化、YAML 工作流和一个内置 MCP 服务器，将查询、架构检查和工作流作为工具暴露给 Claude Desktop、Cursor 和 Cline 等代理。网站声明凭据使用 AES-256-GCM 加密并存储在操作系统钥匙串中，只有架构和查询上下文被发送到 AI 提供商，并且完整源码在 GPLv3 下可用。它还指出不需要账号，也不运营云数据库服务。

将这四个放在一起，一个模式浮现出来，市场预测往往将其扁平化。面向消费者的层正在围绕激进简单性整合，正如 Apple 的 Sports 应用所示。下面的层正在碎片化为小的、可审计的、自托管的组件，运营商可以检查和控制。而安全记录，正如微软案例所示，取决于一个组织是否购买了分析平台，不如取决于它是否检查了令牌上的签名。

这些都不显示在市场规模图表中。它们会在部署出错的那一刻显示出来。