トロイの木馬化された「jQuery」がnpmやGitHubで拡散
海外のセキュリティ企業「Phylum」はトロイの木馬化された「jQuery」がnpmやGitHub、jsDelivr のCDNホストで拡散している事を指摘しました。 「jQuery」を悪用したサプライチェーン攻撃の概要 Phylumは 2024 年 5 月 26 日以来、トロイの木馬化された jQuery のバージョンを悪用する執拗なサプライ チェーン攻撃者を監視しており、最初に npm でこのjQuery を悪用する亜種を発見しました。 そこでは、1 か月にわたって数十のパッケージで侵害されたバージョンが公開されていました。 調査の結果、GitHubや、jsDelivr の CDN ホスト リソースでも、トロイの木馬化された jQuery のインスタンスを発見しました。 なお、今回解説されている内容は正規の「jQuery」へ今回のトロイの木馬が紛れ込んでいるのではなく、 悪意のあるユーザ
Webサービス公開前のチェックリスト
個人的に「Webサービスの公開前チェックリスト」を作っていたのですが、けっこう育ってきたので公開します。このリストは、過去に自分がミスしたときや、情報収集する中で「明日は我が身…」と思ったときなどに個人的にメモしてきたものをまとめた内容になります。 セキュリティ 認証に関わるCookieの属性 HttpOnly属性が設定されていること XSSの緩和策 SameSite属性がLaxもしくはStrictになっていること 主にCSRF対策のため。Laxの場合、GETリクエストで更新処理を行っているエンドポイントがないか合わせて確認 Secure属性が設定されていること HTTPS通信でのみCookieが送られるように Domain属性が適切に設定されていること サブドメインにもCookieが送られる設定の場合、他のサブドメインのサイトに脆弱性があるとそこからインシデントに繋がるリスクを理解してお
UUIDとULIDを理解していない方は見た方がいい記事
Auto increment（自動採番）型を採用したくない場合 Auto Incrementは、データベースにおいて自動的に一意の識別子を生成するメカニズムです。通常、数値型の列が対象となり、新しいレコードが挿入されるたびにその列の値が自動的にインクリメントされます。典型的なIDですかね。 ここでは一意性の確保の話や、データ移行やバックアップのデメリットには言及せず、セキュリティとプライバシーの懸念にフォーカスして考えます。 予測可能性 Auto Increment型のIDは連番であるため、次に生成されるIDが容易に予測可能です。これにより、攻撃者がシステムの内部構造を推測し、不正アクセスを試みるリスクが高まります。 情報漏洩のリスク 連番のIDはデータベースの挿入順序を反映しているため、公開されることで企業の活動パターンやデータ生成の頻度が漏洩する可能性があります。 例） 競合他社は、公
php-fpm リクエストサイクル - Shin x Blog
php-fpm がリクエストを処理しているサイクルをざっくりとまとめました。 php-fpm ワーカープロセスの生成 リクエストループ 1) リクエスト接続待ち listen_socket の生成 FastCGI リクエスト 2) リクエスト開始処理 実行PHPファイルパスの決定 スーパーグローバルへの格納 3) PHPファイル実行 4) リクエスト終了処理 PHP コード実行リソースの解放 max_requests チェック FastCGI クライアントとの通信 接続開始 リクエスト読み取り レスポンス書き込み 接続終了 さいごに php-fpm ワーカープロセスの生成 php-fpm は FastCGI リクエストを処理する SAPI 実装の一つです。いわば、PHP コードを実行する FastCGI サーバです。prefork 型となっており、nginx 等からの FastCGI リク
2024年9月放送決定！『Yuki Kajiura LIVE vol.#20〜日本語封印20th Special〜』｜インフォメーション｜TBSチャンネル - TBS
番組 2024年9月放送決定！『Yuki Kajiura LIVE vol.#20〜日本語封印20th Special〜』 2024年6月9日(日) 人気アニメ・ドラマの劇伴など話題の絶えない梶浦由記の20回目となる全国ツアー「Yuki Kajiura LIVE vol.#20〜日本語封印20th Special〜」を、全曲ノーカット版でテレビ初独占放送することが決定しました！ 今回のライブではツアータイトル通り、本編は英語や梶浦語と呼ばれる造語など、日本語以外の楽曲を中心に構成されています。Yuki Kajiura LIVEならではの世界観を、ぜひテレビでお楽しみください。TBSチャンネルでは2024年6月9日(日)神奈川県民ホールで開催された公演の模様をお届け！海外でも絶大な人気を誇る、梶浦サウンドの真骨頂をぜひお見逃しなく。 TBSチャンネル1にて9月放送です。 ※放送日時の詳細は後
二次裏が壊滅しそう
インターネット画像掲示板、ふたばちゃんねるの二次裏、所謂mayがガチで壊滅しそう。 端的に説明すると、ここ最近ツール使って荒らしまくってる奴(単独犯なのか複数犯なのかも分からない)がいて、それに嫌気が指した住人(としあきって言われる人達)がDiscordへの移住を始めた。 住人が減り始めて、自分を無視するのが気に食わないのか、ツールによる荒らしがエスカレートしていって、荒らしスレが乱立。 普通のスレが伸びてるように見えてもツールに荒らされてたりで、もうマトモなスレが圧倒的少数な世紀末状態。 どうしてこうなったかというと、4月頃にバニーガーデンというゲームが発売されて、それが二次裏でも話題になったんだけども、何が気に食わないのか分からないけど、「バニーガーデンスレ」ってだけでツールが探知して荒らすようになって、まずここでマトモにバニーガーデンの話をするのが不可能に。 ここで使われてるツールは
Bashで$(cat foo.txt)していませんか？$(< foo.txt)しよう - Lambdaカクテル
以下の文書はBashを使う前提の話。 Bashにはコマンド置換(Command substitution)というのがある。$(another-command)のように、$()でコマンドを括る記法だ。これを利用すると、括弧で括られたコマンドが実行され、その標準出力が文字列として取り出され、$()全体を置き換える。シェルスクリプトでは非常によく見る技術だ。 この$()でファイルの内容を読み出すというのを最近見た。このような用法は非常によく見る。 foo-command $(cat params.txt) しかし、より良い書き方があるのでこれを提唱したい。$(< params.txt)と書くことで全く同等のことができる。しかも速いのでこちらのほうが完全に上位互換となる。 foo-command $(< params.txt) この方法はBashのドキュメントのコマンド置換のコーナーにちゃんと書か
JavaScriptの識別子に中黒が使えるようになった: Days on the Moon
JavaScriptの識別子（変数名、関数名、プロパティ名など）の2文字目以降に中黒「・」（U+30FB KATAKANA MIDDLE DOT）が使えるようになりました。以下のコードはChrome 124では構文エラーになりますが、Chrome 125では問題なく実行できます。 const シン・ゴジラ = 2016; JavaScriptの識別子 中黒が使えるようになったのは、JavaScript（ECMAScript）の仕様が変わったからではありません。変わったのはUnicodeの仕様のほうです。Unicode 15.1.0（2023年9月）においてOther_ID_Continueプロパティ（を持つ文字の集まり）に中黒が追加されました。 そもそもJavaScriptの識別子に使える文字は、Unicodeを参照して定義されています。ECMAScript 2023（2023年6月）では
use 文は PHP ファイルを読み込まない - Shin x Blog
PHP の use 文では、クラス名や関数名、定数、名前空間などのエイリアスを設定できます。 <?php use App\Foo; use App\Bar as ABar; $foo = new Foo(); $bar = new ABar(); https://www.php.net/manual/ja/language.namespaces.importing.php この use 文は指定したシンボルにエイリアスを設定する、言い方を変えると名前空間をインポートするもので、オートロードでクラス定義 PHP ファイルを読み込むものではありません。*1 例えば、上記コードの場合、use 文の時点で App\Foo や App\Bar に対するオートロードは動作しません。 この動きを確認してみます。 use 文のみを実行 use 文でオートロードが動作するかは下記のようなコードで簡単に確かめ
「パスキー」のユーザー体験を最適化させるデザインガイドライン、FIDOアライアンスが公開
パスワードレスなユーザー認証を実現する業界標準である「パスキー」を策定するFIDOアライアンスは、パスキーのユーザー体験を最適化させるためのデザインガイドラインの公開を発表しました。 パスキーは、従来のパスワードによるユーザー認証よりも強力で安全な認証方式とされており、普及が期待されていますが、多くのユーザーが慣れ親しんできたパスワード方式と比べると、サインアップやサインインの方法が分かりにくいという課題が指摘されていました。 FIDOアライアンスによるデザインガイドラインの公開は、こうした状況を改善するものとして期待されます。 パスキーのデザインガイドラインの内容 デザインガイドラインは主に以下の要素から構成されています。 UXの原則（UX princeples） コンテンツの原則（Content principles） デザインパターン（スキーマ、サンプルビデオ、AndroidとiOS
無料で商用にも使える日本の郵便番号APIをリリースしました
jp-postal-code-api https://github.com/ttskch/jp-postal-code-api 日本の郵便番号から住所のデータを取得できるWeb APIです。 GitHub Pagesを使用して静的なJSONファイルとして配信している ため、可用性が高いのが特徴です。また、オープンソースなのでクライアントワークでも安心してご使用いただけます。もしリポジトリの永続性や GitHub Pagesの利用制限 が心配な場合は、ご自由にフォークしてご利用ください。 日本郵便によって公開されているデータ を元に住所データのJSONファイルを生成して配信しています。JSONファイルには日本語表記・カナ表記・英語表記の住所データが含まれています。ただし、以下の注意事項があります。 大口事業所個別番号の住所データは以下のように出力されます（元データ の内容がそうであるため）
Overview - Hurl, the Exceptional language
Hurl, the Exceptional language Hurl is a language created for one purpose: to explore a language based around exception handling as the only control flow. It was sparked from conversations between Nicole Tietz-Sokolskaya and friends from Recurse Center whose identities will be withheld for their dignity. This site contains documentation around how to use Hurl. It also provides some examples and gu
30代おっさんのダイエット術
この5年くらいで80kg超から55kg以下まで減量して維持できているので、心がけたことの一覧を書いていこうと思う。 自炊それまでは母の作ってくれる食事と昼食は外食で賄っていたので、とりあえず全て自分で作ろうという話になった。 野菜多め自分は沢山食べてしまう人間なので、人より多く食べるという点を曲げる気はなく、じゃあ何を食べていいのかと考えた時、第一候補に挙がったのは野菜だった。 イモ類は別にして、大抵の野菜はカロリーを気にする必要がないので、手当たり次第に野菜を常備して人の3倍くらい野菜を食べる生活が始まった。 なお食費は2倍くらいに膨らんだ。 脂質少なめタンパク質、炭水化物、脂質の中で最も不要なのは脂質だと判断した。 揚げ物は基本的に断ち、スーパーで買う肉もなるたけ脂身の少ない赤身を選ぶようになった。 料理に使う油もできるだけ上質なものを摂りたかったので、オリーブ油と米油を主軸に料理する
Docker Compose で php-fpm が発行するシステムコールを見る - Shin x Blog
php-fpm の挙動を確認するために発行されるシステムコールを簡単に確認できる Docker Compose 環境を作りました。 github.com システムコール strace-php-fpm strace オプション php-fpm が発行するシステムコール例 ini ファイルの探索 nginx からの FastCGI リクエスト PHP ファイルの読み込み さいごに 参考 システムコール システムコールは、php-fpm のようなユーザプログラムが、ファイル操作やネットワーク通信、プロセス制御のようなカーネルが提供する機能を利用する仕組みです。PHP コードは PHP（ここでは php-fpm）で実行する必要があるので、php-fpm が発行するシステムコールを確認することで php-fpm や PHP コードがどのように動作しているかを知る手掛かりになります。 システムコールを
【PHP8.4】ついにPHPにプロパティフックが導入される - Qiita
class HOGE{ public string $tel{ set{ if(!ctype_digit($value)){ throw new ValueError("電話番号は数値のみ"); } if(strlen($value) < 10){ throw new ValueError("電話番号は10文字以上"); } $this->tel = $value; } get{ return '電話番号は' . $this->tel; } } } $hoge = new HOGE(); $hoge->tel = '123456789012'; // OK $hoge->tel = 'abcdefghijkl'; // Uncaught ValueError: 電話番号は数値のみ $hoge->tel = '123'; // Uncaught ValueError: 電話番号は10文字以上
builderscon 2024 トークの募集を開始しました！！ - builderscon::blog
みなさんこんにちは！nasa9084です！ builderscon 2024に向けて準備を進めているのですが、本日は二つほど発表があります！！ 会場！ 会場の許可証がでましたので、会場を公表します！！ builderscon 2024の会場は・・・ 埼玉会館の3C会議室です！ 100名しか入れない部屋なので2019年と比べるとかなり小さめの会にはなりますが・・・その分濃い会ができるんじゃないかと思っています！ トークの募集を開始しました！ そしてこちらが本題、builderscon 2024のトークの募集を開始しました！！！！ fortee.jp 締切は今月末までです。builderscon 2024を盛り上げるトークの応募をお待ちしています！ 過去にどんなトークがあったかはbuildersconのYoutubeチャンネルで見ることができます。 いくつかピックアップすると、以下のような発表
Javaで最低限おさえておいてほしいクラス・インタフェース35 - 2024年版 - きしだのHatena
ま、このくらい知っておいてもらわないと&とりあえずこんだけ知ってればだいたいの処理が書けるクラス・インタフェースをまとめてみました。2024年版。 詳しく知りたい人は「プロになるJava」を！ java.lang.Class java.lang.Exception <- new java.lang.Integer java.lang.Object <- new java.lang.Runnable java.lang.String java.lang.System java.lang.Thread java.nio.file.Files <- new java.nio.file.Path <- new java.io.InputStream java.io.InputStreamReader java.io.BufferedReader java.io.OutputStream java.
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
吉祥寺のランチ情報をまとめました - kichijojipm’s blog
「目標管理は（技術者には）クソ」という意見に「本当にこれ」から「目標管理という言葉が間違っている」までさまざまな意見が集まる
迷惑メールは「meiwaku@dekyo.or.jp」に転送しちゃうといいぞ！／「不在だったので荷物を持ち帰りました」みたいなフィッシングSMSも受け付け中【やじうまの杜】
