letsCode Channel

Честно ворую обновления из рабочих чатов)

Касательно уязвимости нулевого дня Spring4Shell.
Вышел официальный пост от команды Spring Team с пояснениями.
Ваше приложение уязвимо, если:
- Вы используете JDK 9 или новее;
- Вы используете Apache Tomcat как контейнер-сервлетов;
- Вы собираете приложение как классический WAR (а не уже привычный jar, как в Spring Boot)
- Вы используете spring-webmvc или spring-webflux завимиость;
- Вы используете Spring Framework версий с 5.3.0 по 5.3.17, с 5.2.0 по 5.2.19 или более старые версии.
В посте приведены примеры Java-конфигураций, чтобы гарантированно избежать эксплуатации уязвимости. Либо вы можете обновиться до последних версий зависимостей, которые вышли сегодня.
https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement
https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement
https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement

В качестве временной меры для защиты рекомендуется использовать в коде чёрный список недопустимых параметров запроса:

   import org.springframework.core.Ordered;
   import org.springframework.core.annotation.Order;
   import org.springframework.web.bind.WebDataBinder;
   import org.springframework.web.bind.annotation.ControllerAdvice;
   import org.springframework.web.bind.annotation.InitBinder;

   @ControllerAdvice
   @Order(10000)
   public class BinderControllerAdvice {
      @InitBinder
      public void setAllowedFields(WebDataBinder dataBinder) {

          String[] denylist = new String[]{"class.", "Class.", ".class.", ".Class."};

          dataBinder.setDisallowedFields(denylist);
      }
   }

зацепляет любой проект, использующий аннотацию @RequestMapping с использованием значений в виде name=value (т.е значения форм, передаваемым в теле запроса не в виде xml/json и любые параметры, передаваемые в URL)

Там спринг попячили.
https://github.com/craig/SpringCore0day

С небольшим опозданием начинаю стрим. И вас приглашаю.
https://youtu.be/_OhKvoCJ124

Продолжение сериала "делаем игры, как нам кажется, они могут быть сделаны" уже на канале letsCode.
https://youtu.be/mwrcEVvUCS8

Хорошие новости
Уважаемые персонажи из нашего чата @cub_uanic, @taras_th и @Heizenberg_S сделали великолепный канал с вопросами по java и вот этому вашему программированию. Всячески одобряю и поддерживаю движение. Сам уже подписался
Подключайтесь
https://t.me/letcodequiz

Для викторин пояснение правильного ответа будет видно тем, кто ответил неверно

Для не-викторин пояснение даётся на следующий день

Переголосовать нельзя, так что старайтесь не промахиваться

В комментах пожалуйста не спойлерить, дайте и другим возможность поработать головой и научиться чему-то новому 😏

Апдейты, новые вопросы, викторины и пазлеры принимаюццо 😏

Четверговый стрим. Самое время флудить ни о чём
https://youtu.be/EJTsiO9n_TM

Обещал сегодня продолжение - вот оно. В этом видео на экране сразу 3 игрока отображаются. Уже онлайн, но пока что без взаимодействия.
https://youtu.be/3-bOaVC0HuA

Неделя богата странными новостями. Приглашаю обсудить их все. И еще немного
https://youtu.be/nzcOzXfxUc0

Это Андрей. Я пришёл сюда распространять лучи добра. И принёс ссылку на самый добрый стрим из доступных в текущий момент. Вот она https://youtu.be/4bIkKCYQe2Q

Всем привет
Закрутился на этой неделе. Видос не успеваю сделать даже до пятницы, сорян

Сегодня у свежебритого чела из тырнета настроение кидаться говёхами в корпорации. Приглашаю хейтить всех и вся. Сегодня можно
https://youtu.be/cl5UWynvL4E

Продолжаем подготовку перед отчаянным весельем: переносим стейт игры на сервер. До онлайн мочилова осталось не так уж и много действий.
https://youtu.be/6d1QlfNEzW0

🎄 С наступающим всех Старым Новым годом! 🎄
Поступаю, как последний хипстер: поздравлю вас в прямом эфире на настоящий Новый год, а не как все. Еще и бухать буду 😋
Добро пожаловать на прямую трансляцию 🎄
https://youtu.be/X36Y8vJ1HgI

Отновогодились, теперь можно и поработать. И видосы посмотреть. Третья серия эпопеи "пилим игрулю в браузере". Еще пока не про настоящий геймплей, но оно и понятно: игры это достаточно сложные приложения, требующие множества работ. В общем, смотрим
https://youtu.be/kW2JDOOLFvA

Всем привет
Новый год. Гости. Разъезды...
Видос сделать не успеваю, да и стрим отменяется. Встретимся на следующей неделе 🤗

Попытка номер два
Проходим на предновогодний стрим)
https://youtu.be/RghpRY5dUs4

Предновогодняя суета. Чего не хватает? Правильно! Нового видоса, где рандомный кодер пилит многопользовательскую игру на Java. Spring, ошибки и прочая дичь прилагается. Приятного просмотра ❤️
https://youtu.be/DQ3E04FBPzo

Еще раз драсти.
Слишком много про джаву говорят в ключе банков и всяких "больших нагрузок". А я продолжу не мейнстримовое движение и продолжну творить на джаве всякую дичь.
Пытаюсь сделать вэб игру (т.е html игру) в браузере с помощью libGDX
https://youtu.be/uwt0Cp9fi4g