#node.js

Не успел написать про вирус в litellm, как очередная мощная supply chain attack: на этот раз взломали разработчика axios, одной из самых популярных nodejs библиотек, 100 миллионов скачиваний в неделю.

Зараженная версия библиотеки распространялась в течении 3 часов, начиная с 2026-03-30 23:59 UTC.

Если вы делали npm install этой ночью — проверьте тачку. И посмотрите логи CI/CD — если они отрабатывали в это окно и имели какие-либо секретные токены — их нужно срочно сротировать.

Подробное описание атаки тут.

От подобных атак можно защититься раз и навсегда: настройте свои системы управления пакетами так, чтобы они не скачивали библиотеки, обновленные в последние 72 часа. exclude-newer = "3 days” в uv или min-release-age=3 в npm — спросите у своей нейросети, и пусть другие будут бета-тестерами.

Я давно сюда не писал ничего о своей работе, потому что работы ОЧЕНЬ МНОГО. Мы с Федей пытались сделать её всю сами, перетрудились, приходится отказывать клиентам :(

Пора нанимать людей не только клиентам, но и к нам. В рамках исправления ошибки, публикую две вакансии:

🛠 Программист:
- думает о пользе бизнесу;
- пишет на python или node.js, а лучше — на обоих;
- пишет код, который можно развивать и поддерживать; не пишет код, который можно не писать, такой код — самый лучший;
- самостоятельный — выполняет обещания; если вдруг что-то идет не так — проактивно приходит с проблемой и с вариантами решения.

Проекты: технический перезапуск Сноба, бомбический онлайн-сервис от Upmarket (SaaS для публикации товаров на маркетплейсах) и несколько секретных стартапов. Одного опытного программиста мы возьмем в штат к себе, а не к клиенту — можно будет посмотреть на всю индустрию в целом, переходя от проекта к проекту. Подробное описание вакансии и инструкции — у Феди в канале.

💼 Аккаунт:
- ведет наших клиентов вместе со мной, Федей и нашими программистами;
- ничего не продалбывает (в отличие от меня).

Этого золотого специалиста мы возьмем к себе штат. Клиенты от стартапов и олигархов до федеральных сетей, в которых бывал каждый. Подробная вакансия и инструкции — вот тут.

Также обязуюсь впредь писать о клиентах и проектах. Послезавтра расскажу о безумном проекте про образование, для которого я недавно искал специалистов с опытом в видео. Получается бомба.

Через 15 минут, мой партнёр по бизнесу Федя будет поднимать docker swarm кластер для замечательного стартапа w1d1 в прямом эфире.

Вы можете посмотреть сами на Ютубе! Это лайв, заранее мы ничего не готовили, все будет как в жизни.

W1d1 - сервис для развития творчества. Отчасти игра, отчасти - соцсеть. Каждый день, в 10 утра, она присылает одно творческое задание всем участникам. Результат выполнения - фото или видео. Можно посмотреть, какие ответы присылают другие участники. Если у вас айфон - попробуйте сами, затягивает. Для Android запустят чуть позже.

Приложения кроссплатформенные, написаны на react native. Бэкенд тоже на жаваскрипте, nodejs. Там несколько сервисов, которые сейчас запускаются руками через docker start. Федя постарается 12-факторизовать бэкенд и настроить docker swarm, чтобы можно было меньше беспокоиться о падениях и упростить деплой. Для хранения конфигурации он применит ansible.

Надеюсь, у него получится! Приходите в ютуб поболеть, задать вопросы и дать советы, там собирается хороший чат.

P. S. Мы недавно писали подкаст с основателем w1d1 Лешей Ивановским. Рекомендую, если вдруг пропустили.

Полтора года назад мы сделали игру «футбольный менеджер».

Plug-n-play движка из этой механики сделать не получается — уж очень все игры разные, но минимальными ресурсами разработки получается делать вот такие крутые проекты:

https://meduza.io/games/perezhit-tyurmu-maloy-krovyu

Кстати, если вы умеете js (react, node, вот это всё) и не чураетесь верстки — можем сделать пару проектов вместе. Пишите мне на samat@meduza.io— перед новым годом очень много проектов.

Condé Nast рассказывает, как они сделали AMP для своих медиа.

Condé Nast владеет многими медиа (GQ, The New Yorker, Vanity Fair, Vogue, Wired, Ars Technica и другие), но использует для всех них общую админку Copilot (landing, UI toolkit). Фронтенды для всех этих медиа отдельные, но все построены на одной технической базе, на nodejs.

Мне было интереснее всего увидеть, что они хранят статьи в markdown. Причем, судя по дизайнам и наличию кнопки Preview около текстовых полей — в редакторе у них не WYSIWYG.

В самом AMP — никакой магии, отдельный сервис (тоже на node/react), который преобразует markdown в amp и отдает готовый html через SSR.

https://technology.condenast.com/story/the-why-and-how-of-google-amp-at-conde-nast