NOP::Nuances of Programming
前往频道在 Telegram
Любые вопросы по сотрудничеству: @ramilkr Если нужен токен: https://telega.in/c/nuancesprog NOP::Humor - https://t.me/nophumor NOP::Recruiter Удаленка- https://t.me/nopremote РКН: 4977653520
显示更多
网络:📈 Telegram 频道 NOP::Nuances of Programming 的分析概览
频道 NOP::Nuances of Programming (@nuancesprog) 俄语 语言赛道中的 是活跃参与者。目前社区聚集了 56 068 名订阅者，在 技术与应用 类别中位列第 2 354，并在 俄罗斯 地区排名第 10 798 位。
📊 受众指标与增长动态
自 невідомо 创建以来，项目保持高速增长，吸引了 56 068 名订阅者。
根据 30 十月, 2026 的最新数据，频道保持稳定运转。过去 30 天订阅人数变化为 -330，过去 24 小时变化为 -14，整体触达仍然可观。
- 认证状态： 未认证
- 互动率 (ER)： 平均受众互动率为 3.55%。内容发布后 24 小时内通常能获得 2.59% 的反应，占订阅者总量。
- 帖子覆盖： 每篇帖子平均可获得 1 991 次浏览，首日通常累积 1 452 次浏览。
- 互动与反馈： 受众积极参与，单帖平均反应数为 3。
- 主题关注点： 内容集中在 javascript, webdevelopment, backend, архитектура, вебинаре 等核心主题上。
📝 描述与内容策略
作者将该频道定位为表达主观观点的平台：
“Любые вопросы по сотрудничеству: @ramilkr
Если нужен токен:
https://telega.in/c/nuancesprog
NOP::Humor - https://t.me/nophumor
NOP::Recruiter Удаленка- https://t.me/nopremote
РКН: 4977653520”
凭借高频更新（最新数据采集于 31 十月, 2026），频道始终保持新鲜度与高覆盖。分析显示受众积极互动，使其成为 技术与应用 类别中的关键影响点。
56 068
订阅者
-1424 小时
-617 天
-33030 天
帖子存档
Почему после 6 лет я разочаровался в GraphQL
Автор шесть лет использовал GraphQL в проде и больше не рекомендует его большинству. Безопасность и производительность перевесили удобство запросов.
GraphQL увеличивает поверхность атаки: авторизацию надо проверять на каждом поле. Он отправил 128-байтный запрос без логина и получил 500 за 10 секунд.
Он советует ограничивать глубину и считать стоимость запросов. Но оценка сложности ошибается на циклических связях в данных.
🔗 Подробнее
@nuancesprog #Security
arm64e: как устроена подпись указателей PAC
Apple на arm64e подписывает указатели, которые может подменить атакующий.
Процессор проверяет подпись в момент перехода, а ключ недоступен через память.
Подпись хранится в неиспользуемых старших битах указателя.
На этом Mac под неё отведено 16 бит, а на A12 для ядра — 24.
Слабое место — указатели на функции в C: стандарт требует побайтового копирования.
Поэтому их подписывают одинаково, и любой годится вместо любого другого.
🔗 Подробнее
@nuancesprog #Security #C
Решение проблемы COUNT в Postgres
ParadeDB ускорила COUNT-запросы поиска в два раза. Пропускная способность выросла с 2645.8 до 5353.3 QPS.
Проверка видимости строк занимала 81% всех чтений страниц. Сегментная партиция по ctid сократила эти чтения с 1382 до 30.
Второй шаг — инвертировать карту DocId → ctid. Старый маппинг требовал n чтений ctid для n совпадений.
🔗 Подробнее
@nuancesprog #Data #Postgres
H.264 Is Magic
H.264 — стандарт видеокодека для интернет-видео, Blu-ray, телефонов, дронов и камер.
Несжатое видео 1080p при 60 кадрах в секунду занимает примерно 370 МБ/с.
Автор сравнил PNG-скриншот и H.264-видео одной и той же страницы.
Скриншот весит 1015 КБ, а пять секунд видео с 300 кадрами — 175 КБ.
H.264 сжимает с потерями: он выбрасывает малозаметные детали изображения.
У MacBook Pro пропадают отверстия решёток динамиков, а кадр весит 7% исходника.
🔗 Подробнее
@nuancesprog #Data
Слабое звено Azure: пять полных кросс-тенантных взломов
Исследователь Binary Security нашёл уязвимости в API Connections внутри Azure Logic Apps. Они дают полный доступ к чужому бэкенду и принесли исследователю 200 000 долларов.
ARM-запрос идёт в общий API Management с правами на все подключения. Поэтому чужой токен можно применить к Key Vault, Azure SQL или Jira.
Первый фикс закрыл path traversal, но не архитектурный доступ к чужим токенам. Минимизируй права токенов у своих Azure API Connections.
🔗 Подробнее
@nuancesprog #Security
📬 Дайджест недели
Лучшее за неделю:
• Исходники GPU tensor unlock для RTX 4090 и 4070 Ti SUPER
• OpenAI выпустил php2shell-checker для проверки PHP2Shell
• Reylo: импорт .sql в TypeScript без кодогенерации
• Разработчик случайно раскрыл PHP RCE до эмбарго
• Старая CNN обошла новые LLM в диагностике рака кожи
• Sebastian Raschka выпустил видеокурс по reasoning-моделям
• Claude формально доказал безопасность 123 библиотек
Мимо ленты, но стоило внимания:
• EthanArbuckle/fairplay-decrypt — Offline FairPlay App Store IPA decryption with independent key derivation
• Chained PHP2Shell Exploit Roots 25 Servers, Including US Government Servers
• Tailscale SSH: Investigation and remediation update
• Code-execution flaw in UEFI firmware affects most servers on planet Earth
• Tailscale SSH: Investigation and remediation update
Наша сетка: 😄 юмор — @nophumor · 💼 удалёнка — @nopremote
@nuancesprog #Digest
Undo для Postgres: откат ровно тех строк, что испортили
Muhammad Aqeel представил pgVolvra — инструмент точного отката изменённых строк. Он возвращает только строки, которые задела ошибочная команда, и не трогает остальное.
Обычный откат в Postgres — это восстановление копии и ручная сверка, занимает часы. pgVolvra записывает изменения строк и работает на чистом SQL и PL/pgSQL без расширений.
Полезно сначала смотреть прошлое через
as_of и включить предупреждение о массовых изменениях. Ставится инструмент одним SQL-файлом, а откат требует confirm => true.
🔗 Подробнее
@nuancesprog #Tools #Postgres
Логи с инъекцией обманули открытые модели
Автор спрятал prompt injection в логе из 300 записей ASP.NET Core. Четыре открытые модели ответили «GHOST IN THE SHELL» вместо разбора инцидента.
Лог выглядел как обычный сбой payments-api с ретраями и circuit breaker. Если скармишь такие логи ИИ без проверки, вывод можно подменить.
Gemini 2.5 Flash-Lite, 3.5 Flash-Lite, Codex Luna и Sol инъекцию проигнорировали. Атаку пришлось дорабатывать четыре или пять раз.
🔗 Подробнее
@nuancesprog #AI
Microsoft Edge: full chain без порчи памяти
Orange Tsai собрал для Edge цепочку из пяти багов и двух функций Windows. За неё дали $175 000 и 17.5 баллов Master of Pwn.
Первая уязвимость — UXSS из-за навигации без привязки к вкладке. EdgeCAGuidanceNavigationThrottle запускает переход не из рендерера, а из браузерного процесса.
Если не указан source_contents, Chromium берёт текущую активную вкладку. Атакующий переключает вкладку за время задержки и выполняет скрипт на чужом сайте.
🔗 Подробнее
@nuancesprog #Security
26 400 живых учётных данных в 7,25 млн репозиториев Gitee
Исследователь Бен Зиммерман с командой Kingfisher из MongoDB просканировал 7 256 531 публичных репозиториев Gitee. Он нашёл 26 400 уникальных проверенных живых учётных данных.
Среди находок — действующий админ-доступ крупной корпоративной ИИ-платформы и тысячи живых ключей облачных провайдеров. На Gitee нет публичных партнёрств по сканированию секретов, как на GitHub.
Для обхода ограничений Gitee он собрал 1 704 759 имён пользователей и обходил страницы. Проверь свои публичные репозитории на секреты — история коммитов не прощает загрузок ключей.
🔗 Подробнее
@nuancesprog #Security #Git
Как масштабировать SIMD-код на любую ширину векторов
Статья рассказывает, как писать SIMD-код, который не привязан к конкретной ширине. Это позволяет одному исходнику работать на разных процессорах.
Обычно SIMD-код пишут под конкретный набор инструкций вроде AVX2. При переходе на более широкие регистры код приходится переписывать.
Стоит использовать обёртки и автовекторизацию вместо ручного указания ширины. Так код сам адаптируется под разные наборы инструкций.
🔗 Подробнее
@nuancesprog #Languages #C
Таблицы поиска на миллиард запросов в секунду
Даниэль Лемир разбирает быстрые таблицы поиска строк в C++.
Заявлена скорость в миллиард запросов в секунду.
Ключи известны при написании кода и не меняются.
unordered_map всё равно хеширует строку и обходит список.
Автор предлагает perfect hashing вместо unordered_map.
Детали реализации он показывает в статье.
🔗 Подробнее
@nuancesprog #Languages
Софт может ухудшаться, но раньше был ужасен
Джейк Войтко пишет, что софт раньше был ужасен. Синие экраны и крахи были нормой с 1990 года.
Windows занимала около 95% рынка, а драйверы были глючными. Пользователи до сих пор рефлекторно жмут
Ctrl+S из-за травмы.
Рост кода в 10 раз без снижения ошибок делает софт хуже. Не романтизируй прошлое: текущие баги не уникальны.
🔗 Подробнее
@nuancesprog #Opinion
Что решает SKIP LOCKED, а что остаётся вам
SKIP LOCKED позволяет брать следующую свободную строку, не дожидаясь заблокированных.
Postgres получил SKIP LOCKED в версии 9.5, MySQL — в 8.0.
SKIP LOCKED защищает только момент взятия задачи.
Упавший воркер оставляет задачу в статусе
running навсегда.
Нужны lease (время владения) и heartbeat, чтобы воркер не потерял задачу.
Fencing token решает, чей результат считать при двух владельцах.
🔗 Подробнее
@nuancesprog #Infrastructure #Postgres
Код пишется в Cursor, ревьюит Claude, деплой уходит на AWS. Осталось за все это заплатить
Российские карты не принимают многие зарубежные сервисы для разработчиков. Можно искать посредников, просить знакомых с иностранной картой, а можно оформить собственную.
Yello Card — виртуальная карта иностранного эмитента с пополнением рублями через СБП без комиссии и бесплатным обслуживанием.
С тарифом Ultima+ можно оплачивать:
✔️ GitHub Copilot, Cursor, JetBrains
✔️ Claude, ChatGPT и их API
✔️ AWS, Google Cloud, Vercel, Hetzner
Всего в списке поддерживаемых — более 375 сервисов, включая Figma и Notion.
Нужный сервис можно проверить на сайте ещё до выпуска карты.
Проверить, какие сервисы можно оплатить
CI зелёный. Может ли PR украсть секреты?
GitHub Actions запускает workflow по pull request. Тесты зелёные, но workflow может получить доступ к секретам и токену.
Опасны связки pull_request_target и workflow_run с выполнением кода из PR. Они работают в привилегированном контексте и могут отдать секреты чужому коду.
Дай workflow только нужные права и не подключай лишние секреты. Проверяй сторонние actions и не вставляй заголовок PR прямо в shell-скрипт.
🔗 Подробнее
@nuancesprog #Security #GitHub
Функции 'use server' в Next.js — публичные HTTP-эндпоинты
Каждая экспортированная функция с директивой
'use server' компилируется в публичный POST-эндпоинт. Её можно вызвать через curl или Postman, передав любой JSON.
Проверка в layout.tsx или page.tsx не защищает Server Action: перед вызовом layout.tsx не выполняется. middleware.ts тоже не спасёт как единственный рубеж безопасности.
Проверяй права прямо внутри каждой функции с 'use server' и не экспортируй лишнее. Не верь TypeScript: типы стираются, а в теле может прийти любой JSON.
🔗 Подробнее
@nuancesprog #Security #React
CRDT на время слияния: как работает Eg-walker
Joseph Gentle и Martin Kleppmann представили Eg-walker на EuroSys 2025. Классический OT (операционное преобразование) сливает реальную историю Git Makefile за час, Eg-walker — за 24 миллисекунды.
Обычные CRDT (бесконфликтные структуры данных) держат метаданные в памяти и требуют свыше 10x памяти OT. Eg-walker хранит историю правок и собирает CRDT только при конкуренции.
При обычной работе правки применяются к строке без метаданных. Временный CRDT нужен только для конкурентных событий, и его выбрасывают.
🔗 Подробнее
@nuancesprog #Tools
Экспериментальный JIT в CPython уберут
В 2024 году в Python 3.13 появился экспериментальный JIT-компилятор CPython. В июне совет приостановил работу над ним, а после отзыва PEP 836 JIT уберут.
PEP 744 о JIT был информационным и не давал формального согласия на доработку. Это оставляло неопределённость для разработчиков CPython, мейнтейнеров пакетов и пользователей.
Для рабочих проектов не закладывайся на JIT в ближайших версиях Python. Эксперименты с ним лучше держать вне основной ветки CPython.
🔗 Подробнее
@nuancesprog #Languages #Python
Microsoft анонсировала Type Server Protocol
Microsoft опубликовала спецификацию Type Server Protocol (TSP). Он расширяет Language Server Protocol и использует его структуры данных.
Для IDE и анализаторов это единый способ получать данные о типах. Сервер отдаёт вычисленные, объявленные и ожидаемые типы.
Протокол пока в 0.x: минорные версии могут ломать совместимость. Проверяй возвращаемую версию через typeServer/getSupportedProtocolVersion.
🔗 Подробнее
@nuancesprog #Tools #Python
