Node.js 16.0.0 (diskuse)

[Max]

Co jsem se setkal s vývojáři a produkty nad Node.js, tak projekt vyžadoval nainstalování závislostí, což reálně znamenalo nainstalovat stovky js a u nemálo z nich bylo, že jsou neudržované a že trpí potencionálními bezpečnostními problémy.
Zajímalo by mě, co si o tom kdo myslí a jaký je reálný stav? Já neměl čas to nějak zkoumat, proto se ptám. Je to bezpečné, nebo je tam spousta neověřených zdrojů a spoustu bezpečnostních problémů by default?
Zdar Max

[Petr Kernel]

Samotné Node.js je poměrně dobrý software (nebo spíš ten V8 engine, na kterém to běží), ale problém je v tom ekosystému knihoven a mentalitě JavaScriptových/webových vývojářů. To jsou nekonečné hromady hoven, lidi, kteří si navzájem serou do huby a ještě si nad tím honí, pak se v tom vyválejí a napíšou na Twitter, jak je to bezva a jaký nejnovější framework či knihovno z koho vypadl. PHP oproti tomu byla procházka růžovou zahradou a seriózní softwarové inženýrství.

Takže Node.js za mne klidně ano, ale s tím, že budeš používat minimum knihoven a většinu si toho napíšeš sám (což ve skutečnosti není vůbec špatný přístup).

[j]

Jenze to ses pak u toho, proc bys to mel psat zrovna v javascriptu (coz je snad nejdementnejsi platforma vubec) kdyz si to mas napsat stejne vsechno od nuly.

Ono je to totiz cely prave na tom, ze natahas ty jakoze hotovy knihovny a jen to flusancem slepis, zalozeny.

---

Dete s tim guuglem dopice!

[vojta]

99% kodu z npmjs se pouziva pouze jako vyvojarske nastroje a tak toho co pak zustava v aplikaci a jde ven neni mnoho a bezne se to audituje. Treba ted delam na projektu kde node_modules maji kolem 400MB ale do apky se bundluje jen 60KB knihovna na grafy (vcelku popularni, udrzovana a sam ji jednou za cas projdu jestli tam neni bordel). Ty zbyle moduly jsou build tooly, ruzne transpillery, testovaci frameworky, lintery, codecoverage tooly, profilery, sonary a pod.

Netvrdim ze v node svete nejdou delat prasarny ale ja je proste nedelam a za apku dam ruku do ohne Pro paranoiky staci mit build servery za DMZ a i kdyby tan nejaky zaskodnicky kod byl tak ven nic nevynese. To same plati pro perlacky cpan, pythonacky pip ci rubyjacky gem. Nijak se nelisi od javascriptackeho node.

[Margzen]

Kterýkoliv z těch 400MB modulů ale může během `npm build` do výsledného webpacku injektovat škodlivý kód. Dokonce ani nemusí přímo, stačí tam vložit loader, který ten payload stáhne až po spuštění aplikace u klienta. Že máte v 60KB blobu minifikovaného JS o pár set B víc si nevšimnete.

To same plati pro perlacky cpan, pythonacky pip ci rubyjacky gem. Nijak se nelisi od javascriptackeho node.

Naprostý souhlas. Rozmohlo se to jako mor...

[vojta]

V stage nic minifikovaneho nemam minimalne proto abych kontroloval treeshaking webpacku a jestli kolegove nedoprasili enums. Lazyload na scripty nepouzivam, neni duvod, vzhledem k celkove velikosti. Tvuj priklad stejne moc sanci nema vzhledem k nastaveni dnesnich browseru vuci xss.

Ale jo, jestli projekt bastli amater co nema sajnu o buildu nebo zaludnostech js ci webariny obecne tak muze zadelat na maler. To je ale mozne pri jakekoli technogii. Proste u linuxaku to jakysi folklor ze ceckari jsou mistri sveta a javascriptaci hipstersti zmetci. Pravdou je ze zneuzita chyba v linuxu jde do milionovych strat, kdezto chyba v node je tak akorat bulvarni anekdota s minimalnim dopadem.

[_]

Pravdou je ze zneuzita chyba v linuxu jde do milionovych strat, kdezto chyba v node je tak akorat bulvarni anekdota s minimalnim dopadem.

Máš pravdu nodejs a vývojáři kteří v něm dělají mají minimální dopad.

[billgates]

Máš pravdu nodejs a vývojáři kteří v něm dělají mají minimální dopad.

Vdaka bohu za to.

[OldFrog {Ondra Nemecek}]

Specialita JS světa je ale překotný vývoj - ty „stacky“ mají jepičí život a tak je celé to prostředí dost nastabilní. Určitě se to dá použít i rozumně, ale mě to celé odradilo, přišlo mi to dost napřesruku.