GNU social JP
  • FAQ
  • Login
GNU social JPは日本のGNU socialサーバーです。
Usage/ToS/admin/test/Pleroma FE
  • Public

    • Public
    • Network
    • Groups
    • Featured
    • Popular
    • People

Conversation

Notices

  1. Embed this notice
    sebsauvage (sebsauvage@framapiaf.org)'s status on Wednesday, 29-Jan-2025 23:21:48 JST sebsauvage sebsauvage

    Ma question : "Comment faire X dans le langage Y ?"

    Les réponses dans les années 2000 : "Alors voici du code écrit en X pour faire Y."

    La totalité des réponses à la même question en aujourd'hui : "Importez ce module Z sur ce repos TRUCMUCHE et c'est fini ! MAGIQUE 🧙🪄"

    MAIS C'EST PAS CE QUE J'AI DEMANDÉ.
    Je veux savoir COMMENT FAIRE, pas qu'on fasse à ma place.

    et (suite)

    In conversation about 3 months ago from framapiaf.org permalink

    Attachments


    • Haelwenn /элвэн/ :triskell: likes this.
    • Embed this notice
      sebsauvage (sebsauvage@framapiaf.org)'s status on Wednesday, 29-Jan-2025 23:31:02 JST sebsauvage sebsauvage
      in reply to

      et
      #opinion : Importer des modules externes au lieu de faire vous-même, c'est augmenter la vitesse à laquelle votre programme va cesser de fonctionner parce que vous dépendez d'un module qui - si ça se trouve - n'existera plus dans 2 ans, ou ne sera plus maintenu, ou dépendra d'un module qui n'existe plus ou hébergé sur un repos dont le site aura disparu.

      In conversation about 3 months ago permalink
      Haelwenn /элвэн/ :triskell: likes this.
    • Embed this notice
      Haelwenn /элвэн/ :triskell: (lanodan@queer.hacktivis.me)'s status on Wednesday, 29-Jan-2025 23:32:41 JST Haelwenn /элвэн/ :triskell: Haelwenn /элвэн/ :triskell:
      in reply to
      • DJ
      @dj @sebsauvage Ouais enfin y'a aussi le risque d'injection de malware.

      Par example: https://en.wikipedia.org/wiki/Peacenotwar avec node-ipc
      In conversation about 3 months ago permalink

      Attachments

      1. No result found on File_thumbnail lookup.
        Peacenotwar
        peacenotwar is a piece of malware, which has been characterized as protestware, created by Brandon Nozaki Miller. In March 2022, it was added as a dependency in an update for node-ipc, a common JavaScript dependency. Background Between 7 March and 8 March 2022, Brandon Nozaki Miller, the maintainer of the node-ipc package on the npm package registry, released two updates allegedly containing malicious code targeting systems in Russia and Belarus (CVE-2022-23812). This code recursively overwrites all files on the user's system drive with heart emojis. A week later, Miller added the peacenotwar module as a dependency to node-ipc. The function of peacenotwar was to create a text file titled WITH-LOVE-FROM-AMERICA.txt on the desktop of affected machines, containing a message in protest of the Russo-Ukrainian War; it also imports a dependency on a package (npm colors package) that would result in a Denial of Service (DoS) to any server using it. Impact Because node-ipc was a common software dependency...
    • Embed this notice
      DJ (dj@toot.aquilenet.fr)'s status on Wednesday, 29-Jan-2025 23:32:43 JST DJ DJ
      in reply to

      @sebsauvage
      Oui et encore là tu peux te dire que ça peut avoir été ajouté pour la blague et que le risque de soucis de maintenance est quasi nul vu la simplicité du code

      In conversation about 3 months ago permalink
    • Embed this notice
      sebsauvage (sebsauvage@framapiaf.org)'s status on Wednesday, 29-Jan-2025 23:32:44 JST sebsauvage sebsauvage
      in reply to
      • DJ

      @dj
      ça me rend dingue

      In conversation about 3 months ago permalink
    • Embed this notice
      DJ (dj@toot.aquilenet.fr)'s status on Wednesday, 29-Jan-2025 23:32:45 JST DJ DJ
      in reply to

      @sebsauvage

      "is-odd" 242 000 téléchargements chaque semaine

      https://www.npmjs.com/package/is-odd

      In conversation about 3 months ago permalink
    • Embed this notice
      Haelwenn /элвэн/ :triskell: (lanodan@queer.hacktivis.me)'s status on Thursday, 30-Jan-2025 00:05:31 JST Haelwenn /элвэн/ :triskell: Haelwenn /элвэн/ :triskell:
      in reply to
      • DJ
      • Fabien LOISON (FLOZz)
      @FLOZz @sebsauvage @dj leftpad pour le coup c'est surtout le coté manque total d'infra et npmjs.com qui est un très mauvais dépot (cpan et hex.pm par example tu supprime pas, tu marque comme obsolète et y'a moins de miroirs).
      In conversation about 3 months ago permalink

      Attachments

      1. Domain not in remote thumbnail source whitelist: static.npmjs.com
        npm
      2. Domain not in remote thumbnail source whitelist: hex.pm
        Hex
        A package manager for the Erlang ecosystem
    • Embed this notice
      Fabien LOISON (FLOZz) (flozz@mastodon.social)'s status on Thursday, 30-Jan-2025 00:05:32 JST Fabien LOISON (FLOZz) Fabien LOISON (FLOZz)
      in reply to
      • Haelwenn /элвэн/ :triskell:
      • DJ

      @sebsauvage @lanodan @dj

      Ça me rappelle l'affaire leftpad il y a quelques années... tout l’écosystème #NodeJS s'était retrouvé cassé par ce qu'un gars a supprimé son paquet dont le code tenait dans un tweet [oui à l'époque on tweetait encore :p]... 🤦

      https://en.wikipedia.org/wiki/Npm_left-pad_incident

      In conversation about 3 months ago permalink

      Attachments

      1. Domain not in remote thumbnail source whitelist: upload.wikimedia.org
        Npm left-pad incident
        On March 22, 2016, software engineer Azer Koçulu took down the left-pad package that he had published to npm (a JavaScript package manager). Koçulu deleted the package after a dispute with Kik Messenger, in which the company forcibly took control of the package name kik. As a result, thousands of software projects that used left-pad as a dependency, including the Babel transcompiler and the React web framework, were unable to be built or installed. This caused widespread disruption, as technology corporations small and large, including Facebook, PayPal, Netflix and Spotify, used left-pad in their software products. Several hours after the package was removed from npm, the company behind the platform, npm, Inc, manually restored the package. Later, npm disabled the ability to remove a package if more than 24 hours have elapsed since its publishing date and at least one other project depends on it. The incident drew widespread media attention and reactions from people in the software industry. The removal of left-pad has prompted discussion regarding the intentional self-sabotage of...
    • Embed this notice
      sebsauvage (sebsauvage@framapiaf.org)'s status on Thursday, 30-Jan-2025 00:05:33 JST sebsauvage sebsauvage
      in reply to
      • Haelwenn /элвэн/ :triskell:
      • DJ

      @lanodan @dj

      Ah oui, les risques de sécurité en plus.

      In conversation about 3 months ago permalink
    • Embed this notice
      Nico Berlo (nico@lepoulsdumonde.com)'s status on Thursday, 30-Jan-2025 01:09:59 JST Nico Berlo Nico Berlo
      in reply to

      @sebsauvage autre réponse que j’adooore : d’abord pourquoi tu veux faire X ? C’est une très mauvaise idée de faire X ! 😃

      In conversation about 3 months ago permalink
      Haelwenn /элвэн/ :triskell: likes this.
    • Embed this notice
      Haelwenn /элвэн/ :triskell: (lanodan@queer.hacktivis.me)'s status on Thursday, 30-Jan-2025 02:51:20 JST Haelwenn /элвэн/ :triskell: Haelwenn /элвэн/ :triskell:
      in reply to
      • Marcos Dione
      • TinyMarmot
      @sebsauvage @TinyMarmot @mdione Et en théorie ouais open-source y'a de la revue de code.
      Mais qui fait vraiment l'effort de justement vérifier le code des dépendances avant de les utiliser et ensuite de s'assurer que c'est maintenu ? Surtout quand c'est du npm, rust, … avec un nombre de dépendances à facilement 3~4 chiffres sans aucun intermédiaire style distro pour potentiellement faire une revue rapide.
      In conversation about 3 months ago permalink
    • Embed this notice
      sebsauvage (sebsauvage@framapiaf.org)'s status on Thursday, 30-Jan-2025 02:51:21 JST sebsauvage sebsauvage
      in reply to
      • Marcos Dione
      • TinyMarmot

      @TinyMarmot @mdione
      Alors oui, je ne vais pas m'amuser à réimplémenter libpng, ni même du csv (c'est piégeux) et encore moins de la crypto.
      Mais appliquer le D.R.Y. de manière jusqauboutiste pour en arriver à des libs du genre "is-even", c'est stupide.
      Et même si tu trouves une bonne lib qui fait bien son boulot, tu deviens dépendant de sa durée de vie, de sa sécurité et de la durée et vie et de la sécurité de *toutes* ses dépendances. Il faut aussi y penser.

      In conversation about 3 months ago permalink
    • Embed this notice
      TinyMarmot (tinymarmot@maly.io)'s status on Thursday, 30-Jan-2025 02:51:29 JST TinyMarmot TinyMarmot
      in reply to
      • Marcos Dione

      @mdione @sebsauvage ce n'est pas le principe de l'Open Source ? D'importer des librairies de la communauté qui vont pouvoir être fixés / testés sur le plus grand nombre et nous permettre de développer plus rapidement et de manière plus sûr car plusieurs personnes plus doués que nous vont lire le code et le maintenir ? ( Hors cas du is-odd ). Je privilégie souvent des librairies open source au lieu de réinventé la roue, surtout quand il existe des librairies qui le font et sont souvent utilisés.

      In conversation about 3 months ago permalink
    • Embed this notice
      Marcos Dione (mdione@en.osm.town)'s status on Thursday, 30-Jan-2025 02:51:30 JST Marcos Dione Marcos Dione
      in reply to

      @sebsauvage mais on se repose au dessus des externalités tout le temps. Si ce n'est pas la stdlib ou l'interpreter du language, c'est l'OS, la libc ou autre libraries basse (expat, pcre, ssl, etc). C'est toujours un balance entre vitesse d'implementation et mantenir notre propre code.

      In conversation about 3 months ago permalink
    • Embed this notice
      sebsauvage (sebsauvage@framapiaf.org)'s status on Thursday, 30-Jan-2025 02:54:01 JST sebsauvage sebsauvage
      in reply to
      • Marcos Dione
      • Eldeberen ⏚
      • TinyMarmot

      @Eldeberen @mdione @TinyMarmot
      Au boulot certaines de nos applis dépendent de frameworks abandonnés et pour lesquels ont ne trouve même plus de formations.
      Super 😕

      In conversation about 3 months ago permalink
      Haelwenn /элвэн/ :triskell: likes this.
    • Embed this notice
      Eldeberen ⏚ (eldeberen@social.middleearth.fr)'s status on Thursday, 30-Jan-2025 02:54:03 JST Eldeberen ⏚ Eldeberen ⏚
      in reply to
      • Marcos Dione
      • TinyMarmot
      @sebsauvage Par chez nous la maitrise des dépendances c’est un énorme sujet de sécu. Rarement intégré par nos devs.

      Autant passer par des bibliothèques a rendu très rare un paquet de failles (injections SQL par exemple), autant ça a ouvert la voie à beaucoup d’autres problèmes 😕

      @TinyMarmot @mdione
      In conversation about 3 months ago permalink

Feeds

  • Activity Streams
  • RSS 2.0
  • Atom
  • Help
  • About
  • FAQ
  • TOS
  • Privacy
  • Source
  • Version
  • Contact

GNU social JP is a social network, courtesy of GNU social JP管理人. It runs on GNU social, version 2.0.2-dev, available under the GNU Affero General Public License.

Creative Commons Attribution 3.0 All GNU social JP content and data are available under the Creative Commons Attribution 3.0 license.