URL: https://www.opennet.dev/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 119844
[ Назад ]
Исходное сообщение
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено opennews , 22-Фев-20 10:26 
Сформированный при организации Linux Foundation фонд Core Infrastructure Initiative, в рамках которого ведущие корпорации объединили свои усилия в направлении обеспечения поддержки открытых проектов, задействованных в ключевых областях компьютерной индустрии, провёл второе исследование в рамках программы Census, нацеленной на выявление открытых проектов, нуждающихся в первоочередном аудите безопасности...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=52415

Содержание
Сообщения в этом обсуждении
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Здрасьте , 22-Фев-20 10:26 
Дерьмовый рейтинг. Берём однострочную (всё остальное там — бойлерплейт) библиотеку «isarray», смотрим четыре его issues.

Первый — спрашивают зачем нужна односточная библиотека, во втором обсуждают лицензию, в третьем хотят промисы в эту библиотеку (зачем?), в последнем советуют поправить тесты.

В итоге «проблемы» там яйца выеденного не стоит.

"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 22-Фев-20 10:56 
От души посмеялся над автором isarray и Linux FUNdation
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 22-Фев-20 12:18 
Fund-ation вообще-то.
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено InuYasha , 22-Фев-20 13:27 
или FFFFFFFUUUUUUUUU- NDA-tion :D (что в особенности касается работы с железками)
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 23-Фев-20 00:12 
Не, тут чуваки явно на FUND'ation расчитывают, иначе зачем бы они полезли ворошить такой ынтырпрайз :)
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 22-Фев-20 17:12 
Так сделай лучше. Давай посмотрим на твой?
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Анон Анонов , 22-Фев-20 22:09 
Если такой умный, то напиши по памяти полифил для Array.isArray.
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 23-Фев-20 00:13 
Блин, чувак, не хочу ничего сказать но даже голимые сишники в 196К строк умещают, сцуко, целый навороченный сервер с дохраналионом прибабахов в оном, а не какой-то там отдельный компонентик с няшечками.
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Чувак , 24-Фев-20 13:50 
Так че ты не пойдешь не исправишь интернет, раз такой умный
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 24-Фев-20 23:37 
> Так че ты не пойдешь не исправишь интернет, раз такой умный

Для этого сначала терминаторов надо заимплементить.

"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Чувак , 25-Фев-20 14:54 
Так пойди заимплементи, или только комменты писать умеешь?
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Анонимус2 , 22-Фев-20 10:38 
logback давно мёртв, нужно просто везде его выкинуть, что при правильном его применении не составит труда
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено abi , 22-Фев-20 12:20 
А можно поподробнее? logback-gelf-ом удобно в грейлог записывать.
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Анонимус2 , 04-Мрт-20 20:31 
> А можно поподробнее? logback-gelf-ом удобно в грейлог записывать.

Достаточно открыть их джиру и посчитать количество багов. Или посмотреть коммиты в репозиторий и релизы

"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 22-Фев-20 12:53 
Ого, а чё щас модно использовать?
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Анонимус2 , 04-Мрт-20 20:31 
> Ого, а чё щас модно использовать?

Log4j2 имеет паритет по фичам с logback но при этом поддерживается

"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 22-Фев-20 11:19 
Вот так посмотришь и задумаешься… Но я тоже так могу. Открыл рандомную портянку на баше, 2000 строк кода. Открыл вторую, 1000 строк. открыл 3 - 500… Осталось добавить тесты и документацию, и вот уже 300000 строк с 9999 проблем готово. И это практически чистый код без бойлерплейта.
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 22-Фев-20 11:26 
isArray прекрасен:
>var toString = {}.toString;
>
>module.exports = Array.isArray || function (arr) {
>  return toString.call(arr) == '[object Array]';
>};
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 22-Фев-20 11:52 
до введения Array.isArray проверка на ecmascript-овский Object#toString() была самым простым из надежных способов убедиться, что работаем именно с массивом. https://www.ecma-international.org/ecma-262/5.1/#sec-15.2.4.2
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 22-Фев-20 16:25 
Естественный способ - var instanceof Array - всегда работал надежно. Но в некоторых браузерах довольно медленно. В общем, toString - результат микрооптимизаций.

Зачем понадобилось добавлять Array.isArray вместо оптимизации instanceof  - загадка.

"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Анон Анонов , 22-Фев-20 22:12 
если сравнивать instanceof массивов из разных фреймов, то получишь false.
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 23-Фев-20 02:50 
Что, простите? Какое отношение Dom модель с frame имеет к языку?
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Урри , 24-Фев-20 01:14 
Какой прекрасный язык. Какая прекрасная и продуманная архитектура. Какая лаконичность и читабельность!

Зачем? Почему? Как люди на этом работают? Зачем жрать этот кактус???
Вселенский мазохизм какой-то..

"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Чувак , 24-Фев-20 13:53 
Просто ты родился сильно поздно и не успел изобрести что то не похожее на кактус, но у тебя все еще есть шанс
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 24-Фев-20 14:16 
А что, в браузеры завезли другие кактусы?
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 28-Фев-20 14:09 
В баге про лицензию спрятана ссылка на статью, в которой говориться, что isinstance не работает, если массив получен из iframe.
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 22-Фев-20 12:05 
Вообще сам факт того, что семейство жабы критично в плане безопасности, довольно примечателен
С жаба-скриптом все понятно, это передний край, а вот то, что жаба критична, я не знал
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 22-Фев-20 12:12 
Да и чай Java тоже не особо безопасен. А сигареты Ява так и вовсе вызывают проблемы с онко-безопасностью. Все ява-семейство небезопасно короче.
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Michael Shigorin , 22-Фев-20 12:17 
Забыли, возможно, самое тяжёлое и опасное из всего семейства? :)
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Шнягорин , 22-Фев-20 12:22 
Мотоциклы Ява? Или остров?
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено имя , 22-Фев-20 13:44 
Belomorkanal programming language.
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 22-Фев-20 13:17 
какое?
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 22-Фев-20 13:18 
Все явы дырявые друшлаки. Любой нормальный человек это понимает.
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено nelson , 22-Фев-20 16:38 
>> Вообще сам факт того, что семейство жабы критично в плане безопасности, довольно примечателен

это ещё что. впереди длинная череда фэйлов в плане безопасности с участием поделок на якобы "безопасной" растишке.
безопасность - это вообще не про отсутствие адресной арифметики, сборщик мусора и gets, это про квалификацию разработчика

"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним84701 , 22-Фев-20 17:52 
> безопасность - это вообще не про отсутствие адресной арифметики, сборщик мусора и  gets, это про квалификацию разработчика

Это да! Настоящий разработчик сразу опкоды вбивает.
А неосиляторы придумали всякие
Address/Thread/Memory/UB/DataFlow/Leak Sanitizer-ы да варнинги в компиляторах, вместо того чтобы просто прокачать квалификацию до нужного уровня :(

"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 23-Фев-20 00:01 
> Настоящий разработчик сразу опкоды вбивает.

Приятно почувствовать себя настоящим разработчиком :]

"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Урри , 23-Фев-20 23:05 
Переход на крайности - явный признак отсутствия аргументов.
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Michael Shigorin , 22-Фев-20 12:16 
Тьфу ты, я уж было думал, речь про _библиотеки_, а тут опять какая-то инициатива инициативных дураков о таких же :-/

Как кого покусает "политкорректность", так вот такое и остаётся вместо дела.

"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 22-Фев-20 23:48 
Самое противное, что сторожилы срать хотят на все это и пишут на кошерном Си или Паскале
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 23-Фев-20 00:00 
Сторожилы должны сторожить. А прогать им ни к чему.
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено модный мальчик с подворотиками , 23-Фев-20 16:46 
Безобразие. Ну ничего, скоро появится одна новая интересная инициатива - объявлять весь код, написанный на небезопастных языках - небезопастным, и не выполнять, без установки специальной безопастной версии системы, пятнадцати нажатий ok, трех подтверждений паролем и потом - все равно не выполнять, ибо небезопастно же!

В принципе, в ведроиде уже так и сделали, но что-то пока недостаточно интенсивно внедряют в остальной мир.

"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Чувак , 24-Фев-20 13:55 
Кто обзывается тот так и называется
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 22-Фев-20 12:51 
>>Javascript
>>11 авторов, 11 незакрытых проблем
>>3 автора, 3 незакрытых проблемы

Тонко.

"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено InuYasha , 22-Фев-20 13:29 
Намёк на "Нет человека - нет проблемы?" )
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 23-Фев-20 00:40 
> Намёк на "Нет человека - нет проблемы?" )

Давно пора выдавать лицензию на охоту на вебмакак.

"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено пох. , 23-Фев-20 16:47 
на вредных животных можно охотиться без лицензий в любое время года.

Нужно вводить премию за сданные хвосты.

"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 22-Фев-20 13:12 
>isarray (317 строк кода, 3 автора, 3 коммитера, 4 незакрытых проблемы);

"Sorry, but I think that it doesn't make any sense, because it's ONE LINE OF CODE.
Why did you make it as NPM module?"

"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 22-Фев-20 13:19 
Потому что он лицензионный тролль, выпустил функцию, которая итак есть, а потом будет всех кто её использует терроризировать своей лицензией.
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 22-Фев-20 13:21 
В новых браузерах есть, а например в ie нету.
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Анон Анонов , 22-Фев-20 22:15 
Там MIT лицензия, ало
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено abi , 22-Фев-20 22:43 
Её смогли нарушить когда заинлайнили функцию в nodejs, посмотрите откуда растут ноги у одной незакрытой проблемы.
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 22-Фев-20 13:17 
Почему Линукс фаундейшн сама не выпустит единственно верные гнушные библиотеки на все случаи жизни? И сам не закроет все ишуи?
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено InuYasha , 22-Фев-20 13:36 
Нашёл в логах:
Caused by: Generic.foundation.OutOfMoneyError: Donation heap space
Out of money: Kill member 440 (java) score 0 or sacrifice project.
System halted.
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 22-Фев-20 19:11 
Это компания состоит из юристов, там программистов то и нет, так что сколько денег им не давай будут падать с ошибкой.
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Грусть , 22-Фев-20 15:19 
Они таки спутали Java и JavaScript?
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 22-Фев-20 19:12 
Юристы же.
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено InuYasha , 22-Фев-20 20:04 
Что, никого не смутило название "Census"?
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 25-Фев-20 04:24 
Мы такое видели, что нас уже ничем не смутить.
Чем тебе Цензус не нравится? Радуйся что не анус.
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено InuYasha , 25-Фев-20 16:05 
ну, анус хоть как-то но хотя бы пропускает :)
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 22-Фев-20 20:34 
> 196 тысяч строк кода,

Обречено умереть безопасТным...

"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Урри , 24-Фев-20 01:08 
Я вообще не понимаю для чего там 196 тысяч(!!!) строк. Да в 196'000 строк можно вместить 200 разных асинков для 200 разных языков.

[added]
Фух, сам асинк занимает всего 5'000 строк. Не знаю как эти балбесы считали...
асинк: https://github.com/caolan/async/blob/master/dist/async.js

"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Онаним , 22-Фев-20 23:15 
Помнити лифпат!
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено borbacuca , 23-Фев-20 10:14 
и эти пингвины смеются над виндой
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 25-Фев-20 10:26 
Где вы там пингвинов увидели? Всё обезьянья вебня.
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 23-Фев-20 12:02 
где библиотеки php?
"Рейтинг библиотек, требующих особой проверки безопасности"
Отправлено Аноним , 24-Фев-20 06:22 
достаточно просто сказать: библиотеки php.