Недовольный мидл

Иногда TypeScript ощущается как Prolog, который случайно встроили в JS.

Мы пишем что-то вроде:

T extends Array<infer U> ? U : never

...и дальше пытаемся понять, во что именно это превратится.


Наткнулся на прикольный инструмент, который помогает разобраться, как TypeScript вычисляет такие типы. Очень приятно пробежаться по базовым примерам, посмотреть визуализации и разложить по полочкам какое-нибудь более хитрое преобразование типов 👍

В последнее время активно изучаю тему метрик. Какие подходы используют при выборе системы показателей, как они считаются, как применяются на практике и в чём их реальная польза. Информации много, она разного уровня и часто противоречивая. Поэтому для себя собрал несколько базовых тезисов, от которых можно отталкиваться почти в любой ситуации — независимо от того, что именно вы пытаетесь измерить.

1) Метрика имеет смысл только в контексте цели. Если непонятно, какую проблему мы хотим решить или какое изменение увидеть, то любая цифра будет выглядеть случайной. Сначала цель — потом показатель, а не наоборот.

2) Значение метрики само по себе ничего не меняет. Важно не то, что мы что-то посчитали, а то, какие решения за этим следуют. Если рост или падение показателя не приводит к пересмотру приоритетов, гипотез или действий, это не инструмент управления, а просто наблюдение.

3) Любая метрика влияет на поведение. Люди начинают оптимизировать именно то, что измеряется. Поэтому важно понимать, какие побочные эффекты она может создать и не приведёт ли улучшение цифры к ухудшению реального результата.

Deno сделали отличный лонгрид про историю JavaScript — от "язык за 10 дней для браузера" до экосистемы, в которой мы живём сейчас: npm, bundlers, фреймворки, серверный JS и вечный спор "а надо ли было так".

Читая статью ловил себя на мысли о том, что многие проблемы, с которыми мы сейчас сталкиваемся — это не результаты ошибок проектирования, а следы решений, принятых очень давно, в сжатые сроки и совершенно в другом контексте.

Первый рабочий день начался с того, что я минут 15 пытался вспомнить пароль от своей учётки... 😵

Иногда открываю changes, смотрю на код и думаю: "Ну как вообще можно было так криво сделать?"

...а потом всё-таки нажимаю "Create merge request".

Готовлюсь к переоценке... 🤟

Видели новогодний подарок от React?

Критическая уязвимость в React Server Components с CVSS 10.0 — максимальной оценкой, выше которой просто нет. Оказалось, что в RSC можно подменить Flight payload так, что сервер начнёт исполнять произвольный JavaScript-код. То есть обычный запрос от клиента превращается в удалённое выполнение кода на сервере. Классический RCE, только теперь в одной из крайне хайповых фич современного фронтенда.

Проблему уже пофиксили — патч усиливает валидацию входящих payload-ов и жёстче проверяет сериализованную структуру. Но ситуация всё равно показательная: в то самое «рендерим безопасно на сервере» и «архитектурное переосмысление» незаметно закралась уязвимость уровня «в фундаменте дома забыли бетон».

Приятно осознавать, что фронтенд дорос до таких серьёзных и взрослых уязвимостей. Можно уже не спорить про useEffect — у нас теперь есть вещи поважнее...

Ссылки:
https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components
https://github.com/ejpir/CVE-2025-55182-research/blob/main/TECHNICAL-ANALYSIS.md

Тяжёлый был спринт. Пора отдыхать... 😵‍💫

На этой неделе провёл первое занятие в OTUS. Поговорили про локализацию Angular-приложений и что делать, чтобы она была менее болезненной.

Прошло довольно продуктивно - многие ребята уже сталкивались с мультиязычными приложениями, активно участвовали, предлагали идеи и задавали вопросы. Можно даже сказать, что я доволен. Ого... 😃

Меня всё больше удивляет, что умение формулировать запросы и пользоваться нейросетями сейчас преподносится как какой-то полноценный и очень важный скилл разработчика. Есть куча инструментов, которые мы постоянно используем, и они гораздо сложнее в освоении.

Я просто не могу представить разработчика, который не разберётся, как пользоваться каким-нибудь cursor-ом за пару часов дней. Да, возможно, в отдельных задачах "бывалый вайбкодер" сможет извлечь из агента больше пользы, но как будто профит, особенно в сравнении с другими навыками, кажется слегка переоценённым.

P.S. Но гайд по Cursor давайте всё-таки посмотрим... 😅

Почти две недели ничего не постил — был в отпуске. А между тем, новости есть...

Я буду преподавать на курсе по Angular в OTUS. 🤩

На самом деле давно задумывался, что стоит вернуться к преподаванию — очень полезная активность, в том числе с точки зрения собственного развития. Когда начинаешь объяснять что-то другим, сам понимаешь многое иначе.

Уже прошёл вступительный курс и провёл демо-занятие, осталось закончить формальные процедуры — и скоро начну учить...

Учимся на своих ошибках…

В npm пересматривают процессы публикации пакетов с точки зрения безопасности:

0) обязательная 2FA-аутентификации (на самом деле её включили сразу после серии атак);
1) появились новые granular tokens с ограниченным временем жизни и гибкой настройкой прав;
2) все legacy-токены будут отозваны в течение ближайших пяти недель;
3) 2FA постепенно переезжает с TOTP (Google Authenticator, 1Password и прочие генераторы кодов) на подписи и WebAuthn.


P.S. Обещаю, это мой последний пост про supply chain атаки...

P.P.S ...на этой неделе