در ۲۹ آوریل ۲۰۲۶، چهار پکیج npm مرتبط با SAP با یک پیلود مخرب منتشر شدن که اطلاعات اعتباری توسعه‌دهندگان رو می‌دزدن. این پکیج‌ها شامل @cap-js/db-service، @cap-js/sqlite، @cap-js/postgres و mbt می‌شن که روی هم ماهانه بیش از یک میلیون بار نصب می‌شن. بدافزار با یه هوک preinstall اجرا می‌شه، توکن‌های GitHub، npm، AWS، Azure و GCP رو می‌دزده و حتی می‌تونه ریپوهای قربانی رو آلوده کنه. به نظر می‌رسه حساب‌های ناشران این پکیج‌ها هک شده باشن.

روزهایی که می‌شد راحت از یه مدل هوش مصنوعی به مدل دیگه‌ای سوئیچ کرد داره به پایان می‌رسه. یه نظرسنجی از ۵۴۲ مدیر ارشد آمریکایی نشون داده که نزدیک به ۹۰ درصدشون فکر می‌کردن می‌تونن در عرض چهار هفته فروشنده AI عوض کنن — اما واقعیت خیلی متفاوته. از طرف دیگه، فروشنده‌های بزرگ مثل OpenAI و Anthropic دارن قیمت‌هاشون رو به شکل چشمگیری بالا می‌برن و مدل‌های قیمت ثابت هم دارن از بین می‌رن. ترکیب قفل شدن به فروشنده و افزایش قیمت، بودجه‌های سازمانی رو به شدت تحت فشار قرار می‌ده.

۱۵ هفته پیشtheregister.com

اپلیکیشن‌های مدرن روی ده‌ها یا حتی صدها میکروسرویس سوارن، و همین معماری درِ تازه‌ای برای حمله باز می‌کنه. یه محقق امنیتی از تیم Synack Red Team سه بردار حمله واقعی رو که مستقیماً از الگوهای ارتباطی میکروسرویس‌ها ناشی می‌شن توضیح داده. از SSRF روی سرویس‌های داخلی PDF گرفته تا misconfiguration در scope توکن‌ها، همه اینا نشون می‌ده که تنها داشتن API gateway کافی نیست. اگه ارتباطات داخلی سرویس‌ها درست ایمن‌سازی نشه، یه باگ به‌ظاهر کوچیک می‌تونه به نشت داده‌های چند سرویس مختلف ختم بشه.

محققان Wiz یه آسیب‌پذیری بحرانی (CVE-2026-3854) توی زیرساخت داخلی گیت‌هاب پیدا کردن که هر کاربر احراز هویت‌شده می‌تونست با یه دستور ساده git push روی سرورهای بک‌اند گیت‌هاب کد دلخواه اجرا کنه. این باگ به میلیون‌ها ریپازیتوری عمومی و خصوصی دسترسی می‌داد. گیت‌هاب در GitHub.com ظرف ۶ ساعت مشکل رو برطرف کرد، اما ۸۸٪ از نمونه‌های GitHub Enterprise Server هنوز آسیب‌پذیرن و باید فوری آپدیت بشن. جالب اینکه این یکی از اولین باگ‌های بحرانی کشف‌شده در بایناری‌های سورس-بسته با کمک هوش مصنوعیه.

پلتفرم پیش‌بینی بازار Polymarket ادعاهای مربوط به نشت اطلاعات ۳۰۰ هزار رکوردی رو رد کرده و می‌گه این داده‌ها اصلاً خصوصی نبودن و از طریق APIهای عمومی و داده‌های آن‌چین در دسترس همه بودن. اما محققان امنیتی می‌گن مشکل اینجاست که اندپوینت‌های مستندنشده، کنترل‌های ضعیف pagination، و تنظیمات غلط CORS اجازه داده این حجم از داده به‌صورت خودکار استخراج بشه. پکیجی که روی یه فروم جرائم سایبری به اشتراک گذاشته شده شامل اسکریپت‌های خودکار، گزارش فنی، و اطلاعات کاربران مثل پروفایل، آدرس‌های کیف پول، و روابط

Node.js 26 با چند تغییر مهم معرفی شده که مهم‌ترینشون فعال‌سازی پیش‌فرض Temporal API هست؛ یه جایگزین مدرن و قدرتمند برای Date قدیمی جاوااسکریپت. موتور V8 هم به نسخه ۱۴.۶ ارتقا پیدا کرده و Undici هم به نسخه ۸ رسیده. این نسخه فعلاً در وضعیت «Current» قرار داره و از اکتبر ۲۰۲۶ وارد مرحله LTS می‌شه.

۱۵ هفته پیشgithub.com

با پکیج WebPush از مجموعه Laravel Notification Channels می‌تونی مستقیماً از لاراول برای کاربرانت پوش نوتیفیکیشن بفرستی — حتی وقتی مرورگر باز نیست. نیازی به اپ نیتیو یا سرویس واسط شخص ثالث نداری؛ پکیج مستقیم با Push API مرورگر از طریق کلیدهای VAPID حرف می‌زنه. کروم، فایرفاکس، اج و سافاری همه پشتیبانی می‌شن. نوشتن نوتیفیکیشن هم دقیقاً مثل همیشه در لاراول‌ه، فقط یه کانال جدید اضافه می‌شه.

۱۵ هفته پیشlaravel-news.com

تیم تحقیقاتی Sysdig کشف کرد که یه آسیب‌پذیری SSRF در LMDeploy — ابزار سرویس‌دهی مدل‌های زبانی بزرگ — تنها ۱۲ ساعت و ۳۱ دقیقه بعد از انتشار عمومی advisory، مورد حمله قرار گرفت. مهاجم از endpoint بارگذاری تصویر در مدل‌های vision-language سوءاستفاده کرد تا شبکه‌ی داخلی سرور رو اسکن کنه. در طول یه جلسه‌ی ۸ دقیقه‌ای، سرویس‌هایی مثل AWS IMDS، Redis، MySQL و رابط‌های مدیریتی LMDeploy هدف قرار گرفتن. این حادثه نشون می‌ده که زیرساخت‌های هوش مصنوعی هم مثل هر سرویس دیگه‌ای در معرض تهدیدات جدی هستن.

Honker یه افزونه SQLite هست که امکانات NOTIFY/LISTEN شبیه به Postgres رو به SQLite اضافه می‌کنه. با این ابزار می‌شه صف کار، پاب‌ساب دائمی، و استریم رویدادها رو مستقیم توی همون فایل .db داشت، بدون نیاز به Redis، Celery یا هیچ برنامه واسطه‌ای. عملیات‌های بیزینسی و صف پیام‌ها توی یه تراکنش اتفاق می‌افتن، یعنی اگه rollback بشه، هر دو باهم برمی‌گردن. Honker از طریق یه افزونه قابل بارگذاری SQLite کار می‌کنه و برای Python، Node.js، Go، Ruby، Rust، Bun و Elixir باینینگ داره.

لاراول قبل از اینکه درخواست به کنترلر برسه، یه سری کار جالب روی پارامترهای مسیر انجام می‌ده. Route Binding یه قابلیت قدرتمنده که بخش‌های خام URL رو به مدل‌های Eloquent، Enum، یا مقادیر سفارشی تبدیل می‌کنه. این مقاله یه دایو عمیقه به این مکانیزم و نشون می‌ده که دقیقاً پشت صحنه چه اتفاقی می‌افته. اگه همیشه از Route Binding استفاده می‌کردی ولی نمی‌دونستی چطور کار می‌کنه، این مطلب برات جذابه.

۱۵ هفته پیشfreek.dev

Observer و Event Listener هر دو برای «واکنش به اتفاقات» توی لاراول طراحی شدن، ولی هر کدوم جای مشخص خودشون رو دارن. Observer به چرخه‌ی حیات مدل‌های Eloquent گره خورده و بدون نیاز به فراخوانی دستی، رویدادهایی مثل created یا deleted رو مدیریت می‌کنه. Event Listener برای رویدادهای سطح بالاتر اپلیکیشن مثل ثبت‌نام کاربر یا ثبت سفارش به کار میاد و بهت اجازه می‌ده چند کار مختلف رو به‌صورت جداگانه و قابل تست انجام بدی. شناخت تفاوت این دو ابزار کمک می‌کنه کدت تمیزتر، مقیاس‌پذیرتر و قابل نگهداری‌تر بشه.

۱۵ هفته پیشbert.gent

فلر یه پلتفرم مانیتورینگ فول‌استک هست که مخصوص لاراول، PHP و جاوااسکریپت ساخته شده. با فلر می‌تونی خطاهای پروداکشن رو قبل از اینکه کاربرا باهاشون روبه‌رو بشن شناسایی و رفع کنی. علاوه بر ردیابی خطا، ابزارهای مانیتورینگ پرفورمنس هم داره که کمک می‌کنه کوئری‌های کند و ریکوئست‌های سنگین رو پیدا کنی. فلر با ابزارهایی مثل Slack، GitHub، Jira و Linear هم یکپارچه می‌شه و حتی از MCP Server برای اتصال به ابزارهای هوش مصنوعی پشتیبانی می‌کنه.

۱۵ هفته پیشflareapp.io

Oh Dear یه سرویس مانیتورینگ جامع برای وب‌سایت‌هاست که از آپتایم گرفته تا SSL، لینک‌های شکسته، پرفورمنس، DNS، دامنه، و حتی کرون‌جاب‌ها رو زیر نظر می‌گیره. وقتی مشکلی پیش میاد، از طریق ایمیل، SMS، Slack، Discord، PagerDuty و ده‌ها کانال دیگه بهت خبر می‌ده. این سرویس به تیم‌های فنی، توسعه‌دهنده‌ها و مارکترها کمک می‌کنه که قبل از کاربر از مشکلات سایتشون باخبر بشن.

Paddle از صورت‌حساب مبتنی بر مصرف پشتیبانی می‌کنه، ولی پیاده‌سازی درستش خیلی پیچیده‌تر از چیزیه که تبلیغاتش نشون می‌ده. نیکلا بووه، سازنده‌ی Phare، تجربه‌ی مهاجرت از Stripe به Paddle رو با تمام دردسرهاش به اشتراک گذاشته. مشکل اصلی اینه که Paddle نه Meter API داره، نه grace period برای فاکتور، نه جمع‌آوری خودکار مصرف. راه‌حل؟ ترکیب زیرکانه‌ای از zero-value subscription، one-time charge و یه سیستم دست‌ساز برای مدیریت دوره‌ی صدور فاکتور.

سرویس مانیتورینگ Oh Dear یه سری بهبود جدی به API خودش داده تا ایجنت‌های کدنویسی مثل Claude Code و Codex بتونن راحت‌تر باهاش کار کنن. حالا می‌شه تاریخچه‌ی اجرای چک‌ها رو گرفت، نتایج دو روز مختلف رو با هم مقایسه کرد و لینک مستقیم به داشبورد رو توی هر پاسخ API دید. علاوه بر این، مستندات سایت به‌صورت Markdown سرو می‌شه که حجم توکن مصرفی ایجنت‌ها رو تا ۹۶٪ کاهش می‌ده. این تغییرات باعث می‌شه ایجنت‌ها بدون نیاز به اطلاعات هاردکد شده، به‌تنهایی بتونن وضعیت سایت رو آنالیز کنن.

۱۵ هفته پیشohdear.app

وقتی ایجنت‌های کدنویسی هوش مصنوعی وارد پروژه می‌شن، بزرگ‌ترین نگرانی دیگه کیفیت کد نیست — بلکه بهم‌ریختگی تاریخچه‌ی گیته. گیت‌باتلر با ارائه‌ی یه ورک‌فلوی ساختارمند، این مشکل رو حل می‌کنه. این ابزار به ایجنت‌ها اجازه می‌ده بدون خراب کردن برنچ‌ها کار کنن و بازبینی و رول‌بک رو برای توسعه‌دهنده ساده نگه می‌داره. مرزبندی واضح وظایف و امکان مرور امن تغییرات، ستون اصلی این رویکرده.

۱۵ هفته پیشblog.gitbutler.com

یه توسعه‌دهنده به سقف ۲۰۰۰ دقیقه رایگان GitHub Actions رسیده بود و به جای پرداخت هزینه بیشتر، Mac Mini M4 خونگیش رو به یه سرور CI تبدیل کرده. با راه‌اندازی ۴ تا self-hosted runner موازی زیر یه یوزر macOS اختصاصی، جاب‌ها تا ۴.۸ برابر سریع‌تر اجرا می‌شن و محدودیت دقیقه‌ای هم وجود نداره. وابستگی‌ها بین ران‌ها روی دیسک می‌مونن و نیازی به نصب مجدد نیست که خودش یه مزیت بزرگه. این روش برای سولو دولوپرهایی که روی ریپوهای خصوصی کار می‌کنن ایده‌آله، ولی برای تیم‌ها توصیه نمی‌شه.

Route Binding یکی از قابلیت‌های لاراوله که خیلی راحت ازش استفاده می‌کنیم، ولی کمتر پیش میاد بدونیم دقیقاً پشت صحنه چی می‌گذره. وقتی یه مسیر مثل /users/{user} تعریف می‌کنی و User $user رو در کنترلر type-hint می‌زنی، لاراول به‌صورت خودکار مدل رو برات می‌آره. این اتفاق نه توی کنترلر، بلکه خیلی زودتر و در لایه‌ی میان‌افزار SubstituteBindings رخ میده. این مقاله کل مسیر از URI خام تا تحویل مدل به کنترلر رو مرحله‌به‌مرحله توضیح میده و نشون میده explicit binding و implicit binding هر کدوم چه مسیری رو طی

۱۵ هفته پیشwendelladriel.com

Spatie در ۳۰ مارس ابزار جدیدی به اسم Scotty معرفی کرد که جایگزینی برای Laravel Envoy محسوب می‌شه. Scotty به جای فرمت Blade از سینتکس خالص bash استفاده می‌کنه و خروجی ترمینال به‌مراتب بهتری داره. اگه روی سرورهای شخصی مثل DigitalOcean یا Hetzner دیپلوی می‌کنی، این ابزار یه ارتقای واقعی محسوب می‌شه. Scotty امکاناتی مثل جدول خلاصه‌ی زمان‌بندی، pause/resume حین دیپلوی، دستور doctor برای بررسی پیش‌از-دیپلوی، و حالت --pretend رو هم داره.

LLMها ابزارهای قدرتمندیه، اما ابزار هستن — نه جایگزین تخصص انسانی. نویسندگان این مقاله معتقدن که نحوه‌ی استفاده از AI کیفیت خروجی رو تعیین می‌کنه، نه خودِ AI. توسعه‌دهنده‌هایی که دانش و تجربه‌ی واقعی دارن، از LLMها به عنوان اهرم تقویت می‌کنن؛ اما اون‌هایی که بدون پایه به AI تکیه می‌کنن، فقط روی قله‌ی کوه دانکینگ-کروگر وایمیسن. سوال اصلی اینه که ابزارها نه‌فقط به ما خدمت می‌کنن، بلکه ما رو هم شکل می‌دن.

۱۵ هفته پیشtighten.com