боже

https://nodesecurity.io кокраз об этом

всегда смешно читать как народ на это попадается))

все правда верят в этот шуточный вброс?

Мне нраивтся особенно один комментарий

"Похоже, что все устанавливают модули так же, как читают эту статью"

вброс не вброс, но в каждой шутке есть доля шутки

все правда верят в этот шуточный вброс?

Один сверху поверил, кажется.

Или мне показалось?

мне кажется, уже проще открыть ИП, купить патент за 10 тыщ и еще 20 тыщ взносов заплатить и не ебать себе мозги

тем более с провозом пачек денег через таможню

все правда верят в этот шуточный вброс?

Ну вот взял и всё спалил =).

"Похоже, что все устанавливают модули так же, как читают эту статью"

Учитывая то, что там чуть ли не на каждой строчке намёки, а для самых невнимательных скриншот волшебный.

Кстати!

https://github.com/babel/babel/commit/033681af8941d9678961f985c13e500c3c70f337

А вот это видели?

> So glad we got that test in there

Лол

https://github.com/defunctzombie/node-yummy/issues/7

https://github.com/babel/babel/commit/033681af8941d9678961f985c13e500c3c70f337

откатили обратно уже https://github.com/jdan/babel/commit/7dabeb46f79810f706078f880ce007aa36bd4327

откатили обратно уже https://github.com/jdan/babel/commit/7dabeb46f79810f706078f880ce007aa36bd4327

Не смерджили же ещё, так что не откатили.

Это только в ветке partys-over-go-home

Его зареджектили.

откатили обратно уже https://github.com/jdan/babel/commit/7dabeb46f79810f706078f880ce007aa36bd4327

https://github.com/babel/babel/pull/3646#issuecomment-238727270

> Joke pull requests are not appreciated. @jdan Thank you for your contribution but we cannot accept this as its a semver major version change.

ахаха

Это. Вы fs: re-evaluating native module sources is not supported. If you are using the graceful-fs module, please update it to a more recent version. когда последний раз видели и из-за чего?

сейчас. в галпе

Куда донатить, чтобы пропало? :3

https://twitter.com/jdan/status/763040969730252800

я честно признаюсь - я поверил :)

я честно признаюсь - я поверил :)

Эммм. А во что конкретно?

Там ничего правдоподобного нет.

Про Hot pocket

лайкнуть в твиттере запросом без токена так нельзя, а ваша сессия в браузере

а эта штука с браузером и вашим аккаунтом твиттера вот вообще никак не связана

как она может лайкать?

Больше того, там даже пост отправляется пустой просто на адрес сообщения, никакого упоминания лайка там нет.

Я сначала поверил, потом поразмыслил, а сколько людей то на самом деле следит за изменениями в проекте. Такое не пропустят.

Я сначала поверил, потом поразмыслил, а сколько людей то на самом деле следит за изменениями в проекте. Такое не пропустят.

express привязывается либо к своим же кускам по сути (за тем же автором) либо к патч-версиям

вот как раз нет

с таким количеством зависимостей - можно что угодно пропустить

я думаю автор хотел донести мысль что реально мало кто изучает все dependency всех модулей и нет никаких гарантий что всегда все отлично. Что мешает в бинарный модуль положить backdoor и ждать когда кто-то сделает npm i -g от sudo.

Ничего сложно нет - запустить браузер на странице и воспользоваться к примеру Win32 API… хотя это кончно уже технически сложновато

причём при обновлении сторонних зависимостей мейнтейнер express реально смотрит на дифф.

да, но иногда и диффа-то нет

с таким количеством зависимостей - можно что угодно пропустить

там большая часть в express — свои же

в смысле диффа нет?

он делается командой diff

вмысле ты не обновляешь package.json

м?

просто вышла новая версия зависимости

Не понимаю.

я понял

просто вышла новая версия зависимости

Он привязан к патч-версиям сторонних зависимостей.

я так на проде словил себе проблем

когда обновилась какая то зависимость пакета, и жестко в package.json она не была прописана

да, но это не распространяется на транзитивные зависимости

и билд собрался криво

у зависимости зависимости стоит ^

жестко версия не была прописана

вышел патч с бэкдором

бум

да, но это не распространяется на транзитивные зависимости

шринкврап есть, но его использовать не круто в библиотеках. А так — надо посмотреть.

Ребят, еще раз привет. Вчера был разговор как без imagemagic (бинарных зависимостях) победить *.ico на ресайз. В целом, рецепт такой: canvas, fav, stream-to-buffer, lwip

не уверен что он вообще работает в пакетах

ERROR: S client not available

шринкврап есть, но его использовать не круто в библиотеках. А так — надо посмотреть.

я не уверен что все разработчики так поступают

я не уверен что все разработчики так поступают

мы фиксируем зависимости ( даже минорные ) - но проблема в том что из вас проверяет что изменилось в каждом пакете и в каждой зависимости пакета?

да, но это не распространяется на транзитивные зависимости

А ты уверен, что они там вообще есть?

не сомневаюсь

А ты проверь.

В смысле есть ли там сторонние зависимости со вложенными зависимостями.

мы фиксируем зависимости ( даже минорные ) - но проблема в том что из вас проверяет что изменилось в каждом пакете и в каждой зависимости пакета?

вот я про это и говорю. Я использовал htmlmin по моему, но тут него обновилась зависимость. Которая не была зафиксирована в htmlmin и прод при пересборке сломался

не сомневаюсь

А я сейчас проверю.

node_modules/send/package.json node_modules/serve-static/package.json node_modules/proxy-addr/package.json node_modules/express/package.json node_modules/type-is/package.json node_modules/debug/package.json node_modules/http-errors/package.json node_modules/accepts/package.json node_modules/mime-types/package.json node_modules/on-finished/package.json node_modules/finalhandler/package.json

Это список всех зависимостей с зависимостями.

не, это точно не все

npm 3й версии тоже не всегда в плоский список разворачивает пакеты

только если может

не, это точно не все

npm install express; find node_modules/ -name package.json | xargs grep dependencies | grep -v '{}' | sed s/':.*'//

могут быть вложенные и вложенные вложенных

могут быть вложенные и вложенные вложенных

Это они и есть.

Я всё учёл.

Там из всех рекурсивных зависимостей есть только одна, у которой другой автор и одновременно зависящая от чего-то.

Это debug

И она привязана к патч-версии одного пакета.

вышел патч с бэкдором

Так что нет, для express это невозможно.

это даже не все прямые зависимости)

Да, я выкинул те, у которых нет зависимостей.

Ты же только о вложенных говорил.

С прямыми тоже всё ок, это можно независимо проверить.

https://github.com/jshttp/mime-types/blob/master/package.json#L170

https://github.com/jshttp/mime-types/blob/master/package.json#L170

И?

Автор тот же.

ну это да

У express, mime-types, и mime-db

прямо сторонних совсем зависимостей не вижу

Есть, debug