NOP::Nuances of Programming
Open in Telegram
Любые вопросы по сотрудничеству: @ramilkr Если нужен токен: https://telega.in/c/nuancesprog NOP::Humor - https://t.me/nophumor NOP::Recruiter Удаленка- https://t.me/nopremote РКН: 4977653520
Show more
Network:📈 Analytical overview of Telegram channel NOP::Nuances of Programming
Channel NOP::Nuances of Programming (@nuancesprog) in the Russian language segment is an active participant. Currently, the community unites 56 068 subscribers, ranking 2 354 in the Technologies & Applications category and 10 798 in the Russia region.
📊 Audience metrics and dynamics
Since its creation on невідомо, the project has demonstrated rapid growth, gathering an audience of 56 068 subscribers.
According to the latest data from 30 October, 2026, the channel demonstrates stable activity. Although there has been a change in the number of participants by -330 over the last 30 days and by -14 over the last 24 hours, overall reach remains high.
- Verification status: Not verified
- Engagement rate (ER): The average audience engagement rate is 3.55%. Within the first 24 hours after publication, content typically collects 2.59% reactions from the total number of subscribers.
- Post reach: On average, each post receives 1 991 views. Within the first day, a publication typically gains 1 452 views.
- Reactions and interaction: The audience actively supports content: the average number of reactions per post is 3.
- Thematic interests: Content is focused on key topics such as javascript, webdevelopment, backend, архитектура, вебинаре.
📝 Description and content policy
The author describes the resource as a platform for expressing subjective opinions:
“Любые вопросы по сотрудничеству: @ramilkr
Если нужен токен:
https://telega.in/c/nuancesprog
NOP::Humor - https://t.me/nophumor
NOP::Recruiter Удаленка- https://t.me/nopremote
РКН: 4977653520”
Thanks to the high frequency of updates (latest data received on 31 October, 2026), the channel maintains relevance and a high level of publication reach. Analytics show that the audience actively interacts with content, making it an important point of influence in the Technologies & Applications category.
56 068
Subscribers
-1424 hours
-617 days
-33030 days
Posts Archive
Почему после 6 лет я разочаровался в GraphQL
Автор шесть лет использовал GraphQL в проде и больше не рекомендует его большинству. Безопасность и производительность перевесили удобство запросов.
GraphQL увеличивает поверхность атаки: авторизацию надо проверять на каждом поле. Он отправил 128-байтный запрос без логина и получил 500 за 10 секунд.
Он советует ограничивать глубину и считать стоимость запросов. Но оценка сложности ошибается на циклических связях в данных.
🔗 Подробнее
@nuancesprog #Security
arm64e: как устроена подпись указателей PAC
Apple на arm64e подписывает указатели, которые может подменить атакующий.
Процессор проверяет подпись в момент перехода, а ключ недоступен через память.
Подпись хранится в неиспользуемых старших битах указателя.
На этом Mac под неё отведено 16 бит, а на A12 для ядра — 24.
Слабое место — указатели на функции в C: стандарт требует побайтового копирования.
Поэтому их подписывают одинаково, и любой годится вместо любого другого.
🔗 Подробнее
@nuancesprog #Security #C
Решение проблемы COUNT в Postgres
ParadeDB ускорила COUNT-запросы поиска в два раза. Пропускная способность выросла с 2645.8 до 5353.3 QPS.
Проверка видимости строк занимала 81% всех чтений страниц. Сегментная партиция по ctid сократила эти чтения с 1382 до 30.
Второй шаг — инвертировать карту DocId → ctid. Старый маппинг требовал n чтений ctid для n совпадений.
🔗 Подробнее
@nuancesprog #Data #Postgres
H.264 Is Magic
H.264 — стандарт видеокодека для интернет-видео, Blu-ray, телефонов, дронов и камер.
Несжатое видео 1080p при 60 кадрах в секунду занимает примерно 370 МБ/с.
Автор сравнил PNG-скриншот и H.264-видео одной и той же страницы.
Скриншот весит 1015 КБ, а пять секунд видео с 300 кадрами — 175 КБ.
H.264 сжимает с потерями: он выбрасывает малозаметные детали изображения.
У MacBook Pro пропадают отверстия решёток динамиков, а кадр весит 7% исходника.
🔗 Подробнее
@nuancesprog #Data
Слабое звено Azure: пять полных кросс-тенантных взломов
Исследователь Binary Security нашёл уязвимости в API Connections внутри Azure Logic Apps. Они дают полный доступ к чужому бэкенду и принесли исследователю 200 000 долларов.
ARM-запрос идёт в общий API Management с правами на все подключения. Поэтому чужой токен можно применить к Key Vault, Azure SQL или Jira.
Первый фикс закрыл path traversal, но не архитектурный доступ к чужим токенам. Минимизируй права токенов у своих Azure API Connections.
🔗 Подробнее
@nuancesprog #Security
📬 Дайджест недели
Лучшее за неделю:
• Исходники GPU tensor unlock для RTX 4090 и 4070 Ti SUPER
• OpenAI выпустил php2shell-checker для проверки PHP2Shell
• Reylo: импорт .sql в TypeScript без кодогенерации
• Разработчик случайно раскрыл PHP RCE до эмбарго
• Старая CNN обошла новые LLM в диагностике рака кожи
• Sebastian Raschka выпустил видеокурс по reasoning-моделям
• Claude формально доказал безопасность 123 библиотек
Мимо ленты, но стоило внимания:
• EthanArbuckle/fairplay-decrypt — Offline FairPlay App Store IPA decryption with independent key derivation
• Chained PHP2Shell Exploit Roots 25 Servers, Including US Government Servers
• Tailscale SSH: Investigation and remediation update
• Code-execution flaw in UEFI firmware affects most servers on planet Earth
• Tailscale SSH: Investigation and remediation update
Наша сетка: 😄 юмор — @nophumor · 💼 удалёнка — @nopremote
@nuancesprog #Digest
Undo для Postgres: откат ровно тех строк, что испортили
Muhammad Aqeel представил pgVolvra — инструмент точного отката изменённых строк. Он возвращает только строки, которые задела ошибочная команда, и не трогает остальное.
Обычный откат в Postgres — это восстановление копии и ручная сверка, занимает часы. pgVolvra записывает изменения строк и работает на чистом SQL и PL/pgSQL без расширений.
Полезно сначала смотреть прошлое через
as_of и включить предупреждение о массовых изменениях. Ставится инструмент одним SQL-файлом, а откат требует confirm => true.
🔗 Подробнее
@nuancesprog #Tools #Postgres
Логи с инъекцией обманули открытые модели
Автор спрятал prompt injection в логе из 300 записей ASP.NET Core. Четыре открытые модели ответили «GHOST IN THE SHELL» вместо разбора инцидента.
Лог выглядел как обычный сбой payments-api с ретраями и circuit breaker. Если скармишь такие логи ИИ без проверки, вывод можно подменить.
Gemini 2.5 Flash-Lite, 3.5 Flash-Lite, Codex Luna и Sol инъекцию проигнорировали. Атаку пришлось дорабатывать четыре или пять раз.
🔗 Подробнее
@nuancesprog #AI
Microsoft Edge: full chain без порчи памяти
Orange Tsai собрал для Edge цепочку из пяти багов и двух функций Windows. За неё дали $175 000 и 17.5 баллов Master of Pwn.
Первая уязвимость — UXSS из-за навигации без привязки к вкладке. EdgeCAGuidanceNavigationThrottle запускает переход не из рендерера, а из браузерного процесса.
Если не указан source_contents, Chromium берёт текущую активную вкладку. Атакующий переключает вкладку за время задержки и выполняет скрипт на чужом сайте.
🔗 Подробнее
@nuancesprog #Security
26 400 живых учётных данных в 7,25 млн репозиториев Gitee
Исследователь Бен Зиммерман с командой Kingfisher из MongoDB просканировал 7 256 531 публичных репозиториев Gitee. Он нашёл 26 400 уникальных проверенных живых учётных данных.
Среди находок — действующий админ-доступ крупной корпоративной ИИ-платформы и тысячи живых ключей облачных провайдеров. На Gitee нет публичных партнёрств по сканированию секретов, как на GitHub.
Для обхода ограничений Gitee он собрал 1 704 759 имён пользователей и обходил страницы. Проверь свои публичные репозитории на секреты — история коммитов не прощает загрузок ключей.
🔗 Подробнее
@nuancesprog #Security #Git
Как масштабировать SIMD-код на любую ширину векторов
Статья рассказывает, как писать SIMD-код, который не привязан к конкретной ширине. Это позволяет одному исходнику работать на разных процессорах.
Обычно SIMD-код пишут под конкретный набор инструкций вроде AVX2. При переходе на более широкие регистры код приходится переписывать.
Стоит использовать обёртки и автовекторизацию вместо ручного указания ширины. Так код сам адаптируется под разные наборы инструкций.
🔗 Подробнее
@nuancesprog #Languages #C
Таблицы поиска на миллиард запросов в секунду
Даниэль Лемир разбирает быстрые таблицы поиска строк в C++.
Заявлена скорость в миллиард запросов в секунду.
Ключи известны при написании кода и не меняются.
unordered_map всё равно хеширует строку и обходит список.
Автор предлагает perfect hashing вместо unordered_map.
Детали реализации он показывает в статье.
🔗 Подробнее
@nuancesprog #Languages
Софт может ухудшаться, но раньше был ужасен
Джейк Войтко пишет, что софт раньше был ужасен. Синие экраны и крахи были нормой с 1990 года.
Windows занимала около 95% рынка, а драйверы были глючными. Пользователи до сих пор рефлекторно жмут
Ctrl+S из-за травмы.
Рост кода в 10 раз без снижения ошибок делает софт хуже. Не романтизируй прошлое: текущие баги не уникальны.
🔗 Подробнее
@nuancesprog #Opinion
Что решает SKIP LOCKED, а что остаётся вам
SKIP LOCKED позволяет брать следующую свободную строку, не дожидаясь заблокированных.
Postgres получил SKIP LOCKED в версии 9.5, MySQL — в 8.0.
SKIP LOCKED защищает только момент взятия задачи.
Упавший воркер оставляет задачу в статусе
running навсегда.
Нужны lease (время владения) и heartbeat, чтобы воркер не потерял задачу.
Fencing token решает, чей результат считать при двух владельцах.
🔗 Подробнее
@nuancesprog #Infrastructure #Postgres
Код пишется в Cursor, ревьюит Claude, деплой уходит на AWS. Осталось за все это заплатить
Российские карты не принимают многие зарубежные сервисы для разработчиков. Можно искать посредников, просить знакомых с иностранной картой, а можно оформить собственную.
Yello Card — виртуальная карта иностранного эмитента с пополнением рублями через СБП без комиссии и бесплатным обслуживанием.
С тарифом Ultima+ можно оплачивать:
✔️ GitHub Copilot, Cursor, JetBrains
✔️ Claude, ChatGPT и их API
✔️ AWS, Google Cloud, Vercel, Hetzner
Всего в списке поддерживаемых — более 375 сервисов, включая Figma и Notion.
Нужный сервис можно проверить на сайте ещё до выпуска карты.
Проверить, какие сервисы можно оплатить
CI зелёный. Может ли PR украсть секреты?
GitHub Actions запускает workflow по pull request. Тесты зелёные, но workflow может получить доступ к секретам и токену.
Опасны связки pull_request_target и workflow_run с выполнением кода из PR. Они работают в привилегированном контексте и могут отдать секреты чужому коду.
Дай workflow только нужные права и не подключай лишние секреты. Проверяй сторонние actions и не вставляй заголовок PR прямо в shell-скрипт.
🔗 Подробнее
@nuancesprog #Security #GitHub
Функции 'use server' в Next.js — публичные HTTP-эндпоинты
Каждая экспортированная функция с директивой
'use server' компилируется в публичный POST-эндпоинт. Её можно вызвать через curl или Postman, передав любой JSON.
Проверка в layout.tsx или page.tsx не защищает Server Action: перед вызовом layout.tsx не выполняется. middleware.ts тоже не спасёт как единственный рубеж безопасности.
Проверяй права прямо внутри каждой функции с 'use server' и не экспортируй лишнее. Не верь TypeScript: типы стираются, а в теле может прийти любой JSON.
🔗 Подробнее
@nuancesprog #Security #React
CRDT на время слияния: как работает Eg-walker
Joseph Gentle и Martin Kleppmann представили Eg-walker на EuroSys 2025. Классический OT (операционное преобразование) сливает реальную историю Git Makefile за час, Eg-walker — за 24 миллисекунды.
Обычные CRDT (бесконфликтные структуры данных) держат метаданные в памяти и требуют свыше 10x памяти OT. Eg-walker хранит историю правок и собирает CRDT только при конкуренции.
При обычной работе правки применяются к строке без метаданных. Временный CRDT нужен только для конкурентных событий, и его выбрасывают.
🔗 Подробнее
@nuancesprog #Tools
Экспериментальный JIT в CPython уберут
В 2024 году в Python 3.13 появился экспериментальный JIT-компилятор CPython. В июне совет приостановил работу над ним, а после отзыва PEP 836 JIT уберут.
PEP 744 о JIT был информационным и не давал формального согласия на доработку. Это оставляло неопределённость для разработчиков CPython, мейнтейнеров пакетов и пользователей.
Для рабочих проектов не закладывайся на JIT в ближайших версиях Python. Эксперименты с ним лучше держать вне основной ветки CPython.
🔗 Подробнее
@nuancesprog #Languages #Python
Microsoft анонсировала Type Server Protocol
Microsoft опубликовала спецификацию Type Server Protocol (TSP). Он расширяет Language Server Protocol и использует его структуры данных.
Для IDE и анализаторов это единый способ получать данные о типах. Сервер отдаёт вычисленные, объявленные и ожидаемые типы.
Протокол пока в 0.x: минорные версии могут ломать совместимость. Проверяй возвращаемую версию через typeServer/getSupportedProtocolVersion.
🔗 Подробнее
@nuancesprog #Tools #Python
