اوپن‌ای‌آی یه سیستم تبلیغاتی پیچیده داره که مستقیم داخل مکالمات ChatGPT آگهی تزریق می‌کنه. این آگهی‌ها بر اساس موضوع مکالمه هدف‌گذاری می‌شن و با یه زنجیره ردیابی چهارتکه‌ای، از لحظه‌ی نمایش تا خرید نهایی رو دنبال می‌کنن. یه SDK جاوااسکریپتی به اسم OAIQ هم روی سایت فروشنده اجرا می‌شه و اطلاعات بازدید کاربر رو به سرورهای اوپن‌ای‌آی گزارش می‌ده. در واقع اوپن‌ای‌آی نه‌تنها موقع نمایش آگهی، بلکه بعد از کلیک هم کاربر رو زیر نظر داره.

۲۵ هفته پیشbuchodi.com

در هجده ماه گذشته، تقریباً تمام حوادث بزرگ زنجیره تأمین نرم‌افزار متن‌باز ریشه‌شون به یه فایل YAML توی گیت‌هاب اکشنز برمی‌گرده. از ماینر ارز دیجیتال توی Ultralytics گرفته تا لیک شدن سیکرت‌های ۲۳ هزار ریپو در ماجرای tj-actions، همه‌شون از فیچرهایی سوءاستفاده کردن که دقیقاً طبق مستندات گیت‌هاب کار می‌کنن. مشکل اصلی اینه که گیت‌هاب اکشنز یه ابزار CI سازمانی بوده که هیچ‌وقت برای پول ریکوئست‌های ناشناس و فورک‌های عمومی بازطراحی نشده. این یعنی پیش‌فرض‌هاش برای دنیای متن‌باز خطرناکن.

Vercel اعلام کرده که یه حادثه‌ی امنیتی جدی داشته که از طریق یه ابزار هوش مصنوعی شخص ثالث به اسم Context.ai شروع شده. مهاجم از این طریق به حساب Google Workspace یه کارمند Vercel دسترسی پیدا کرده و از اونجا تونسته متغیرهای محیطی غیرحساس مشتریان رو بخونه و رمزگشایی کنه. Vercel با GitHub، Microsoft، npm و Socket تأیید کرده که هیچ پکیج npm‌ای دستکاری نشده. به کاربران توصیه می‌شه همین الان متغیرهای محیطی که «sensitive» علامت‌گذاری نشدن رو بچرخونن.

کدی که هوش مصنوعی تولید می‌کنه ممکنه همه تست‌ها رو پاس کنه ولی در پروداکشن فاجعه به بار بیاره. فاصله‌ی بین «کدی که اجرا می‌شه» و «کدی که لایق پروداکشنه» خیلی بیشتر از چیزیه که فکرش رو می‌کنیم. مشکل اینه که مدل‌های زبانی ذاتاً احتمالاتی هستن، نه قطعی — و این با نیاز نرم‌افزار به رفتار قطعی یه تناقض اساسی ایجاد می‌کنه. با درک نحوه‌ی کار این ابزارها و نوشتن پرامپت‌های دقیق‌تر می‌شه این شکاف رو به حداقل رسوند.

۲۶ هفته پیشfrontendmasters.com

تیم C# Dev Kit در VS Code برای نوشتن افزونه‌های native مربوط به Node.js، تا به حال از C++ و node-gyp استفاده می‌کرد که نصب Python قدیمی رو روی همه ماشین‌های توسعه‌دهنده الزامی می‌کرد. این تیم تصمیم گرفته با استفاده از C# و قابلیت Native AOT در دات‌نت، این وابستگی ناخوشایند رو حذف کنه. Native AOT می‌تونه shared library بسازه که دقیقاً همون چیزیه که Node.js برای بارگذاری افزونه‌های native نیاز داره. نتیجه یه پایپ‌لاین ساده‌تر، سریع‌تر و بدون نیاز به ابزارهای اضافه‌ست.

Aube یه پکیج منیجر جدید برای Node.js هست که ادعا می‌کنه ۹.۲ برابر سریع‌تر از pnpm و ۲.۷ برابر سریع‌تر از Bun کار می‌کنه. یه ویژگی جالبش اینه که نیازی به مایگریشن lockfile نداره و می‌تونه با yarn.lock، pnpm-lock.yaml و package-lock.json موجود کار کنه. به جای اینکه پکیج‌ها رو توی هر پروژه کپی کنه، یه استور سراسری داره و پروژه‌ها رو به اون لینک می‌کنه که مصرف دیسک رو تا ۹۰٪ نسبت به npm کاهش می‌ده. امنیت هم یه اولویت جدی توش هست و برای lifecycle script‌ها و پکیج‌های جدید سیاست‌های سخت‌گیرانه‌ای داره.

۲۶ هفته پیشaube.en.dev

پلتفرم Scratch سال‌هاست با آسیب‌پذیری‌های مرتبط با SVG دست‌وپنجه نرم می‌کنه. هر بار که یه باگ امنیتی پیدا و پچ می‌شه، یه راه دور زدن جدید کشف می‌شه؛ از اجرای اسکریپت با حروف بزرگ گرفته تا نشت اطلاعات از طریق CSS nesting. TurboWarp با محاصره‌کردن SVG داخل یه iframe ایزوله‌شده با CSP سختگیرانه، رویکرد بهتری داره. جالب‌ترین بخش اینه که Claude Opus مدل هوش مصنوعی، یه آسیب‌پذیری جدید رو پیدا کرد که هنوز پچ نشده.

گوگل با Prompt API امکان اجرای مدل Gemini Nano رو مستقیماً توی مرورگر کروم فراهم کرده؛ یعنی می‌شه بدون ارسال داده به سرور، از هوش مصنوعی استفاده کرد. این API به توسعه‌دهنده‌ها اجازه می‌ده برنامه‌هایی مثل جستجوی هوشمند، فیلتر محتوا، یا استخراج رویداد تقویم بسازن. پشتیبانی از ویندوز، مک و لینوکس فراهمه اما موبایل هنوز ساپورت نمی‌شه. برای اجرا به حداقل ۲۲ گیگابایت فضای خالی و سخت‌افزار مناسب نیاز دارید.

۲۶ هفته پیشdeveloper.chrome.com

SurveyJS یه مجموعه کتابخونه جاوااسکریپتیه که بهت اجازه می‌ده فرم و نظرسنجی رو مستقیماً توی اپ خودت بسازی و داده‌ها رو هم روی سرور خودت نگه داری. برخلاف سرویس‌های SaaS معروف، هیچ محدودیتی برای تعداد فرم، پاسخ، یا کاربر نداره. این ابزار برای فریم‌ورک‌های React، Angular، Vue 3 و Vanilla JS در دسترسه و لایسنس MIT داره. با یه بار خرید لایسنس، می‌تونی از تمام امکانات پیشرفته‌اش برای همیشه استفاده کنی.

۲۶ هفته پیشsurveyjs.io

زنووی یه پلتفرم آنالیتیکس هست که به جای شمردن بازدید، مستقیماً بهت می‌گه کدوم کانال بازاریابی مشتری پولی آورده. این ابزار مستقیم به دیتای Stripe وصل می‌شه و اتریبیوشن واقعی رو نشون می‌ده. با یه اسکریپت ساده راه‌اندازی می‌شه و جایگزین ابزارهایی مثل Google Analytics، Hotjar و Mixpanel می‌شه. پلن پایه از ۲۰ دلار در ماه شروع می‌شه.

ابزاری به اسم Vibe App Scanner اومده که مخصوصاً ضعف‌های امنیتی اپ‌هایی رو پیدا می‌کنه که با ابزارهای هوش مصنوعی مثل Lovable، Bolt، Cursor یا Replit ساخته شدن. طبق تحقیقات مستقل، فقط ۱۰.۵٪ از این اپ‌ها واقعاً امن هستن و بقیه با مشکلاتی مثل لو رفتن کلیدهای API، نبود سیاست‌های امنیتی پایگاه داده و آسیب‌پذیری‌های احراز هویت دست‌وپنجه نرم می‌کنن. کافیه آدرس اپت رو وارد کنی تا ظرف چند دقیقه گزارش کامل امنیتی بگیری.

لاراول داره یه استارتر کیت اختصاصی برای APIها آماده می‌کنه. وندل، یکی از اعضای تیم لاراول، تو لایو استریم تأیید کرد که روی این قابلیت کار می‌کنه و دو پول‌ریکوئست هم توی ریپوی Maestro باز شده. یکی از این PRها یه استارتر کیت API پایه با احراز هویت stateless می‌ده و دیگری پشتیبانی از Teams رو اضافه می‌کنه. تاریخ انتشار هنوز مشخص نیست، ولی پروژه جدیه و داره پیش میره.

۲۶ هفته پیشlaravel-news.com

FolderFort یه سرویس ذخیره‌سازی ابری با زیرساخت Backblaze B2 هست که با یه پرداخت یه‌باره، ۲ ترابایت فضا بهت می‌ده و دیگه خبری از اشتراک ماهانه نیست. سرعت آپلود بالا، رمزنگاری فایل‌ها، و قابلیت اشتراک‌گذاری نامحدود از مهم‌ترین ویژگی‌هاشه. این سرویس برای نگه‌داری فایل‌های حجیم مثل ویدیو، عکس و بک‌آپ‌های بزرگ عالیه، ولی برای بک‌آپ فایل‌های کوچیک و اسکریپت‌های خودکار گزینه‌ی مناسبی نیست.

پکیج Laravel Idempotency ساخته Wendell Adriel یه میدلور HTTP برای لاراول هست که مشکل درخواست‌های تکراری رو حل می‌کنه. وقتی کلاینت یه درخواست POST، PUT یا PATCH رو با همون کلید و همون داده دوباره می‌فرسته، به‌جای اینکه دوباره لاجیک اجرا بشه، همون جواب قبلی از کش برمی‌گرده. این برای اندپوینت‌های حساس مثل پرداخت و ثبت سفارش خیلی ضروریه. پکیج از Redis و Memcached برای قفل اتمیک استفاده می‌کنه تا حتی درخواست‌های همزمان رو هم مدیریت کنه.

۲۶ هفته پیشlaravel-news.com

BigShield یه سرویس اعتبارسنجی ایمیل هست که با بیش از ۳۰ سیگنال تشخیص، جلوی ثبت‌نام‌های جعلی رو می‌گیره. طبق آمار، بیش از ۴۰٪ ترافیک اینترنت رباته و هر ثبت‌نام تقلبی می‌تونه بین ۵ تا ۱۰ دلار هزینه مستقیم روی سیستم‌های هوش مصنوعی و زیرساخت بذاره. این سرویس با یه API call ساده و در کمتر از ۱۰۰ میلی‌ثانیه کار می‌کنه و ایمیل‌های یک‌بار مصرف، دامنه‌های تازه‌ثبت‌شده، و الگوهای ربات رو شناسایی می‌کنه.

یه مجموعه بوک‌مارکلت رایگان برای تست دسترس‌پذیری وب وجود داره که کافیه یه‌بار اون‌ها رو به نوار ابزار مرورگرت اضافه کنی و هر وقت خواستی اجراشون کنی. این ابزارها بدون نیاز به نصب هیچ افزونه‌ای، مشکلات فوکوس، ساختار صفحه، نام‌گذاری عناصر و محتوای پنهان رو بهت نشون می‌دن. هر کدوم روی یه جنبه خاص از WCAG تمرکز دارن و برای توسعه‌دهنده‌ها و تسترهای دسترس‌پذیری خیلی کاربردیه.

۲۶ هفته پیشa11y-tools.com

وقتی داری با Web Components و Lit کار می‌کنی، یکی از بزرگ‌ترین دردسرها اینه که استایل‌ها بین Shadow Rootهای مختلف تکرار می‌شن و حافظه‌ی مرورگر رو بی‌جهت درگیر می‌کنن. Constructable Stylesheets یه راه‌حل بومی مرورگره که بهت اجازه می‌ده یه آبجکت CSSStyleSheet رو مستقیماً توی جاوااسکریپت بسازی و اون رو بین چندین Shadow Root به اشتراک بذاری. این یعنی استایل‌ها فقط یه بار پارس می‌شن و دیگه خبری از تگ‌های style تکراری نیست. نتیجه: کمتر سربار، بهتر پرفورمنس، کدتمیزتر.

۲۶ هفته پیشfrontendmasters.com

فریم‌ورک Fresh به نسخه ۲.۳ رسید و یه سری قابلیت مهم باهاش اومد. یکی از بزرگ‌ترین تغییرات اینه که وعده «صفر جاوااسکریپت به‌صورت پیش‌فرض» این بار واقعاً عملی شده و صفحه‌هایی که به island یا partials نیاز ندارن، دیگه هیچ JS‌ای لود نمی‌کنن. علاوه بر این، پشتیبانی بومی از WebSocket، View Transitions برای ناوبری نرم‌تر، و بهبودهای گسترده در یکپارچه‌سازی Vite هم به این نسخه اضافه شده. دو میدلور امنیتی جدید برای CSP nonce و فیلتر IP هم تحویل داده شدن.

۲۶ هفته پیشdeno.com

Clerk یه CLI جدید معرفی کرده که راه‌اندازی احراز هویت رو به سه دستور ساده تبدیل می‌کنه. دیگه نیازی نیست API key کپی‌پیست کنی یا از ترمینال بری بیرون. جالب‌تر اینکه این ابزار برای کار با AI Agent هم طراحی شده؛ یعنی می‌تونی به ایجنتت بگی auth رو ست کنه و اون همه چیز رو از اول تا آخر انجام می‌ده.

دیباگ کردن اپ‌های Next.js در محیط پروداکشن همیشه یه چالش جدیه؛ خطاهای هیدریشن، مشکلات سرور کامپوننت‌ها و گلوگاه‌های پرفورمنس معمولاً سرنخ واضحی به دست نمی‌دن. این ورکشاپ یاد می‌ده چطور لاگ‌های پربار و معنادار بنویسی که نه‌تنها بگن چی خراب شده، بلکه کِی، کجا و چرا هم مشخص کنن. بعدش وارد دنیای distributed tracing می‌شی و می‌بینی چطور لاگ‌ها و تریس‌ها رو با هم به Sentry وصل کنی تا دیگه بین ابزارهای مختلف سردرگم نشی.