зачем за собой тягать свалку непонятно чего для простой задачи

А какая задача?

для простой задачи - уменьшить ее размер с 5000 строк кода до 10-15

по моему вполне адекватно

я решил сделать вебхук для бота

я тебе гарантирую что на голых сокетах ты сделаешь обработку SSL _неправильно_ - даю 146%

в телеграмме

дык, оно не заработает если будет неправильно

или будет silently insecure да

если не заработает - считай повезло

в каком месте оно будет insecure?

ну ты когда сервер будешь от троянов вычищать - расскажи где был прорыв, пока мы не знаем

(утрированно)

дык, я не буду ничего запускать из того что получу в ответе

или как ты себе это видишь?

короче, я буду пользоваться тем что я неуловимый джо

кому оно будет нужно

шанс того что в бусте найдется уязвимость больше он же популярнее

шанс того что в бусте найдется уязвимость больше он же популярнее

в голос

ну смотри, чем больше знаний о цели тем проще

это даёт некие вектора для атаки

что ты будешь делать с чёрным ящиком и получишь ты от этого выгоду?

я не спорю что может быть там всё нормес, но 0day никто не отменял

я тебе гарантирую что на голых сокетах ты сделаешь обработку SSL _неправильно_ - даю 146%

А если заюзать отдельную, маленьку либу, которой не понадобится зачем-то boost::spiriti::qi, которая просто и понятно соберется в один артефакт — .lib файл, то ты по прежнему даёшь такую гарантию?

А если заюзать отдельную, маленьку либу, которой не понадобится зачем-то boost::spiriti::qi, которая просто и понятно соберется в один артефакт — .lib файл, то ты по прежнему даёшь такую гарантию?

я говорил про собственноручную имплементацию, в отдельной маленькой либе все зависит от автора, ее распространнености, количестве прод деплоев и качества тестов

(все эти показатели в случае собственноручно написанного кода явно равны нулю)

с эпсилоном в районе статистической погрешности

(все эти показатели в случае собственноручно написанного кода явно равны нулю)

Это ошибочная генерализация.

что ты будешь делать с чёрным ящиком и получишь ты от этого выгоду?

Есть более десяти инструментов для автоматического поиска уязвимостей. Они тестируют на типичные ошибки: неправильное экранирование, неправильная обработка \r\n, переполнения буферов, sql-inject, XSS и триллионы другого барахла

*yawn*

знать каким тулкитом человек пользуется просто ненужно - велосипедники лепят типовые ошибки, на них типовые атаки

ну допустим. можно ведь затолкнуть адресса телеграмма в белый список

а всех остальных просто отключать

ещё на уровне сокетов

что исключит большую половину всего описанного

не, если ты хочешь практиковаться в том как делать не надо - флаг тебе в руки

да дело хозяйское. Хотите с сокетами на низком уровне работать - ССЗБ

Если это критический сервис, то ничего плохого даже в raw-сокетах нет.

Для общих задач про SSL соглашусь, свою либу писать не стоит.

Однако, надо всегда держать в голове, что сторонняя либа точно так же != абсолютной безопасности.

Набивший оскомину пример heartbleed.

Опенсоурс, покрытый тестами и «просмотренный» глазами многих программистов.

никто в это говно никогда не смотрел на самом деле

Но совет в целом воздерживаться от собственных реализаций — я не разделяю ну ваще никак.

Опенсоурс, покрытый тестами и «просмотренный» глазами многих программистов.

вы верно уверены что напишете лучше?

вы верно уверены что напишете лучше?

да они уже

вы верно уверены что напишете лучше?

В том, что касается SSL — я уверен, что напишу хуже.

В том что касается других областей, в которых у меня компетенция выше среднего — уверен, что напишу лучше.

Обязательно С++ ?

Я к примеру писал свою реализацию NN для fpga. Открытые либы оказались хуже.

Да.

и задонатил куда-то в открытую либу или зажал?

открытые либы не становятся лучше САМИ ПО СЕБЕ

Что значит «зажал»?

это значит не задонатил

Там смесь на специальном диалекте HLS C и на верилоге.

это значит не задонатил

Я не имею права это донатить, всё очень просто.

Это интеллектуальная собственность, сердце системы управления беспилотниками, которые я делаю.

Это интеллектуальная собственность, сердце системы управления беспилотниками, которые я делаю.

В какой стране пилиш их?

Вспомнил еще пример. Я писал плагин для protobuf компилятора, который генерирует весь необходимы код для полноценного RPC-сервиса и RPC-клиента, которые при этом являются transport-agnostic.

В какой стране пилиш их?

РФ же.

РФ же.

А беспелотник крупный?

А беспелотник крупный?

Для воды. Не воздушный.

Для воды. Не воздушный.

Подводный или на поверхности?

Вспомнил еще пример. Я писал плагин для protobuf компилятора, который генерирует весь необходимы код для полноценного RPC-сервиса и RPC-клиента, которые при этом являются transport-agnostic.

На тот момент я не видел ни одной нормальной опен-соурс либы, которая бы давала возможность делать свой RPC поверх протобуфа, и которая бы не делала чего-то еще.

Подводный или на поверхности?

На поверхности.

Чот я упустил этот кусок.

Когда-то давно об этом рассказывал. В общем беспилотники для воды. По сути делаем модульную платформу, на которую можно повесить хоть автомат, хоть эхолокатор, хоть оборудование для забора проб. Мы, соответственно делаем всё что движется + навигация, в т.ч. автономная без связи с оператором.

На тот момент я не видел ни одной нормальной опен-соурс либы, которая бы давала возможность делать свой RPC поверх протобуфа, и которая бы не делала чего-то еще.

куча отличных разработок, которые мне примерно до лампочки - я их никогда не увижу

Не распарсил.

Кстати, кто пользуется Boost.Exception или чем-то подобным, для добавления информации к исключениям? Тут в стандарт предлагают принять http://www.open-std.org/jtc1/sc22/wg21/docs/papers/2017/p0640r0.pdf Кто что думает?

Кстати, кто пользуется Boost.Exception или чем-то подобным, для добавления информации к исключениям? Тут в стандарт предлагают принять http://www.open-std.org/jtc1/sc22/wg21/docs/papers/2017/p0640r0.pdf Кто что думает?

в целом ок идея

Ребят, а сюда код можно кидать, на ревью чтоли ?

ну т.е код на github

а сюда ссылку

Кстати, кто пользуется Boost.Exception или чем-то подобным, для добавления информации к исключениям? Тут в стандарт предлагают принять http://www.open-std.org/jtc1/sc22/wg21/docs/papers/2017/p0640r0.pdf Кто что думает?

Я строго за.

Ребят, а сюда код можно кидать, на ревью чтоли ?

А чо и нет?

Я кидаю)

Правда я крут и кидаю в супапро.

Я строго за.

Я бы хотел добавить этот функционал сразу к throw и std::exception + позволить пользователям это отключать через командную строку компилятора (не дебажная сборка - отключаил, дебажная - включил, хочешь инфу в релизе - по прежнему включил) + надо дать возможность сделать неотключаемую инфу (что-то типа throw with info std::logic_error("Oops!"); только с менее убогим синтаксисом)

было бы круто