npm install scriptの脆弱性とオープンソースと信頼 - teppeis blog
先日アナウンスされた脆弱性とその周辺について、とりとめなく。 The npm Blog — Package install scripts vulnerability Vulnerability Note VU#319816 脆弱性の概要 VU#319816 によれば、今回問題になっているのはnpmの以下の性質を利用するとnpmパッケージでワーム（自己増殖力のあるマルウェア）を作れるというもの。 依存パッケージのバージョンをロックせず、semverにより範囲指定することが多い CLIで一度npmへloginすると、明示的にnpm logoutするまで認証が永続化される npm registry が中央集権型サーバーである 具体的な手法として、Chris Contoliniが PoC として pizza-party というリポジトリを公開している*1。以下のように動作する。 ワームが仕込まれ
vimrc, runtime の優先順位を理解して Windows と Linux で Vim の設定を共有する - teppeis blog
Vim の設定ファイルと言えば .vimrc ですが、これが Windows だとファイル名が異なって _vimrc とされています。 また、プラグインファイルを設置する runtime ディレクトリの名前も OS によって異なっています。 別々に管理するのは面倒なので、設定ファイルの優先度を調べながら、同じリポジトリを使用して一元管理する方法を探ります。 vimrc の共有 まず、vimrc にはシステム vimrc とユーザー vimrc の2種類があります。 システム vimrc → ユーザー vimrc の順で読み込まれ、重複する設定はユーザー vimrc で上書きされます。 システム vimrc に使用されるファイルは、基本的には $VIM/vimrc ですが、システムにより異なります。 正確にはコマンドラインで :version を実行すると使用しているシステムでの vimrc
HTML FormにPUT/DELTEは必要なのか、あるいはJSer界の分断 #桜JS - teppeis blog
先日、都内某所で開催された#桜JSに参加したので、個人の日記レベルの感想を書いてみる。 #桜JS - Togetterまとめ 桜JSでご飯を食べながらLT大会をした | Web scratch 細かいことはazuさんのまとめを見てもらうとして、個人的におもしろかったのがHTML FormのPUT/DELETEについての議論。 なぜ html の form は PUT / DELETE をサポートしないのか？ - Block Rockin’ Codes Jxckさんの経緯まとめを踏まえて、じゃあこれからHTML FormにPUT/DELETEを追加する必要あるの？っていう点で意見が割れた。 個人的には、この話を聞いたとき、確かに仕様としては欠けてる感じがするけど、いまさら実装されても自分はForm PUT/DELETE使うことはないだろうなと思っていた。理由は、FormでPUT/DELETE
Node.jsの開発を超速化するGitHub連携 三種の神器 - teppeis blog
Node.js Advent Calendar 2013 - Adventar 9日目です。 あまりネタを用意する時間がなかったので、GitHubにNode.jsのリポジトリを置いたりnpmにパッケージを公開したりしたときに便利な定番サービスを3つ紹介します。 Travis CI Coveralls David タイトルは釣りですが、特にTravisとCoverallsは一度体験すると離れられないぐらいほんとにlife changing。コードをpushしたらブランチのビルド結果をプルリクに表示してくれたり、カバレッジ結果をコメントで書き込んでくれるので、それを見ながらコーディングを進めていけます。これが無料なのは意味不明なぐらいの神です*1。 サンプルコードはこちらのプロジェクトで見てください。 Github: https://github.com/teppeis/fixclosure
3分で分かるAngularJSセキュリティ - teppeis blog
先日のng-mtg#4 AngularJS 勉強会でLTしようと思ったけど申し込みが間に合わなかったのでブログに書きます。 先月リリースされたAngularJS 1.2はセキュリティがんばってる的なことを聞いたので、セキュリティ周りの仕組みを調べてみました。 お題は以下です。 CSRF JSON CSP (Content Security Policy) Escaping CSRF ユニークなトークンをHTTPリクエストに載せてサーバーでチェックする対応が世の中では主流（最近はカスタムヘッダのチェックによる対策も） AngularJSでは、XSRF-TOKEN Cookieにトークンが載っていると、$httpを使ったHTTPリクエストのヘッダに自動的にX-XSRF-TOKENヘッダーが付く。 XSRF-TOKEN CookieはもちろんNot HttpOnlyで。 Angular界ではCS
Effective JavaScript勉強会 #1 - teppeis blog
社内でEffective JavaScriptの勉強会を始めました。 第1回の資料をslideshareに上げたので、シェアさせていただきます！（春なので意識高め） Effective JavaScript Ch.1 from teppeis スライドにも書いたけど、これまでだと類書で薄いのは『JavaScript: The Good Parts』っていうのがあったんだけど、ちょっとクセが強いというか、Douglas Crockford節が強すぎて、盲目的に全部真似するとちょっとアレな感じなので、安易に薦めにくい本でした。 参考: 『JavaScript:The Good Parts』にツッコミ (Kanasansoft Web Lab.) Effective JavaScriptはそれに比べるとマイルドで、「new使うな！」とか書いてないので安心できます。 あとGood Partsの方で
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
