npm install scriptの脆弱性とオープンソースと信頼 - teppeis blog
先日アナウンスされた脆弱性とその周辺について、とりとめなく。 The npm Blog — Package install scripts vulnerability Vulnerability Note VU#319816 脆弱性の概要 VU#319816 によれば、今回問題になっているのはnpmの以下の性質を利用するとnpmパッケージでワーム（自己増殖力のあるマルウェア）を作れるというもの。 依存パッケージのバージョンをロックせず、semverにより範囲指定することが多い CLIで一度npmへloginすると、明示的にnpm logoutするまで認証が永続化される npm registry が中央集権型サーバーである 具体的な手法として、Chris Contoliniが PoC として pizza-party というリポジトリを公開している*1。以下のように動作する。 ワームが仕込まれ
Closure Templatesのオートエスケープが最強すぎる件 - teppeis blog
rails3以降のWEBアプリケーションにありがちなXSS - hanagemanの日記ではない この記事を読んで、ちょうど最近使っているGoogle Closure Templatesがいい感じだったので紹介します。 コンテキストが異なる/重なるポイントでのエスケープ問題 最近のほとんどのテンプレートエンジンでは、変数埋め込みをデフォルトでHTMLエスケープしてくれます。が、元記事で指摘されているように、それでは正しくないケースがあります。HTML PCDATA以外のコンテキストで文字列を生成したり、複数のコンテキストが重なっている箇所です。 極端な例としてはこんな感じです。 <a href="{$x1}" onclick="alert('{$x2}')">{$x3}</a> <script> var x = '{$x4}'; var y = {$x5}; </script> <styl
入門 ClojureScript
本書は、ClojureScriptを使ったクライアントサイドプログラミングの基礎を概説する書籍です。プログラミング言語Clojureとほぼ同じ 文法から、Google Closure Libraryを用いて最適化されたJavaScriptへと変換できる、ClojureScriptの魅力を紹介します。開発環境のインストール、コンパイルの方法、基本的な文法、ライブラリの呼び出し方から、関数型プログラミングの手法など、限られた内容の中でClojureScriptの魅力をお伝えします。なお本書はEbookのみの販売となります。 まえがき 1章 はじめに――ClojureScriptを使う理由 ブラウザアプリケーションの隆盛 JavaScriptの隆盛 さらに良い言語を探して ClojureScriptの登場 2章 Hello, World Leiningen lein-cljsbuildを使う 3
Java8のlambda構文がどのようにクロージャーではないか - きしだのHatena
Java8にlambda構文が入りましたが、これはクロージャーではない、とされています。 では、どのように「クロージャーではない」のか、ちょっと見てみます。 まず、lambdaを返すメソッドを定義します。 public static Supplier<String> createMessenger(String name, String address){ return () -> { return String.format("私は%s、%sに住んでる", name, address); }; } 呼び出すと、こんな感じでSupplierを受け取ります。 Supplier<String> messenger = createMessenger("きしだ", "ふくおか"); このSupplierを実行すると、次のようになります。 System.out.println(messenger.
Closure Tools | Google for Developers
Stay organized with collections Save and categorize content based on your preferences. The Closure Compiler compiles JavaScript into compact, high-performance code. The compiler removes dead code and rewrites and minimizes what's left so that it downloads and runs quickly. It also checks syntax, variable references, and types, and warns about common JavaScript pitfalls. These checks and optimizati
開発者が語る、Google+で使ったJavaScriptテクニック
Google+チームに所属するエンジニアのMark Knichel氏が、Google+の高速性を実現するためにどのようなテクニックを使ったのかについて、Google+のページで解説しています。 (1) Mark Knichel - Google+ - Hi everyone! I’m an engineer on the Google+ infrastructure… 最新のWebサービスでどのようなJavaScriptのテクニックが使われているのかを垣間見ることができる説明になっていますので、見出しを中心に紹介しましょう。 1) We <3 Closure 私たちはClosureが大好きだ（<3は横向きのハートマーク） Closure（クロージャ）とは、オライリーの書籍「初めてのJavaScript」の解説を借りれば、関数の「入れ子（nesting）」です。（追記、このクロージャじゃなく
Closure Stylesheets で CSS を最適化する (1) - WebOS Goodies
WebOS Goodies へようこそ！ WebOS はインターネットの未来形。あらゆる Web サイトが繋がり、共有し、協力して創り上げる、ひとつの巨大な情報システムです。そこでは、あらゆる情報がネットワーク上に蓄積され、我々はいつでも、どこからでも、多彩なデバイスを使ってそれらにアクセスできます。 WebOS Goodies は、さまざまな情報提供やツール開発を通して、そんな世界の実現に少しでも貢献するべく活動していきます。 これまで Closure Library を使っていろいろと開発をしてきましたが、 CSS の扱いについてはいつも不満でした。 JavaScript コードについては Closure Compiler との組み合わせで極限まで最適化できるのに、 CSS についてはほとんどサポートがなく、仕方がないので自作の Rakefile と YUI Compressor を使
米Google、CSSを拡張する「Closure Stylesheets」を「Closure Tools」に追加 | OSDN Magazine
米Googleは11月11日、CSSで変数や関数を利用可能にする拡張ツール「Closure Stylesheets」を公開した。Google Codeのプロジェクトページよりjarファイルを入手できる。 Googleは2009年11月にHTMLやJavaScriptを最適化するツール「Closure Tools」をリリースしており、Closure Stylesheetsはこの1コンポーネントとなる。Closure Stylesheets用に記述されたCSSファイルはGoogleでは「Google Stylesheets」や「GSS」といった名称で呼ばれており、このGSSファイルをClosure StylesheetsでコンパイルしてCSSファイルを得る仕組み。 Closure ToolsはJavaScriptコードの最適化やサイズ縮小を行うツール「Closure Complier」やJav
Closure Compilerでconsole.logを消す
デバッグ用として開発コードにconsole.logを埋め込み、消し忘れたままコミット、IEでスクリプトエラーが発生して動かなくなりました なんて経験ありませんか？ 例えばClosure Compilerでリリースビルドから自動的にconsole.logを消してくれればそんなことなくなります。 まず前提知識として、Closure Compilerはコンパイル時の流れはこんな感じです。 Rhinoでパース Rhinoが生成したabstract syntax tree(AST)に対してエラーチェックや最適化 ASTに対する操作をpassと呼んでいて、自作のpassを追加できるオプションがあります。 こちらの本に詳細が載っています。 build.xmlとMyCommandLineRunner.javaは上記Closure本の丸パクリなので添付のソースを見てください。 まあこのConsoleRemo
Google Closure LibraryのユニットテストをPhantomJSから実行できるようにしてみた - Cheese Pie
結構前の話になりますが、test.jsという勉強会に参加してきました。 そこでt_wada氏のQunitテストをPhantomJSで実行してるやつを見て、とても刺激を受けたので、普段仕事で使ってるGoogle Closure LibraryのユニットテストをPhantomJSで実行できるTAPを作ってみました。 ソースはGithubに公開しています。 （PhantomJSは開発中のv1.2でないと動かないので注意 → 1.2が正式リリースされました！） Closure LibraryのユニットテストはHTMLに書いて実行する上に必要な情報はだいたいconsoleに出力されているので、PhantomJSとの相性がとてもよろしい感じです。 submoduleにClosure Libraryのリポジトリを指定してあるので、"git submodule update --init"して、依存関係の
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Join the Remember The Milk team: JavaScript Ninja