Frontend по-флотски 👨‍💻 | AI & Modern Dev

Что там у нас по уязвимостям во фронте? 👨‍💻 На фоне массовой суеты вокруг PHP, то невольно задумываешься, а как в твоём болоте дела. Поэтому собрал самые страшные уязвимости в популярных фреймворках за октябрь Angular: XSRF-токен мог уйти на чужой домен Angular и браузер по-разному разбирали некоторые URL. Фреймворк считал адрес внутренним и добавлял защитный заголовок, а браузер отправлял запрос на сторонний сервер. Для этого атакующий должен влиять на адрес запроса, меняющего данные, через HttpClient. Его сервер также должен разрешать такой запрос через CORS. Исправление есть в @angular/common 20.3.34 и 21.0.3. Ветка 22.x этой ошибкой не затронута. Nuxt: ссылка могла выполнить JavaScript Проблема касается приложений с pages: false, которые передают недоверенный URL в NuxtLink :to. Нажатие на специально подготовленную ссылку могло запустить JS в контексте сайта. Починили в Nuxt 4.6.0. Для Nuxt 3 исправления не будет: поддержка ветки уже закончилась. SvelteKit: чтение файлов и SSRF Здесь две отдельные проблемы. Первая — в vite preview на Windows. Если preview доступен посторонним по сети или через туннель, из него можно было прочитать файлы вне каталога сборки. Например, исходники или конфигурацию, доступные серверному процессу. Production-адаптеры, dev-сервер и preview на других ОС этой ошибкой не затронуты. Вторая — SSRF. В некоторых сценариях SvelteKit делает серверные запросы к самому приложению. Если их origin можно подменить через непроверенные заголовки, атакующий мог направить запрос на свой сервер, а оттуда — редиректом к внутреннему сервису. Возможность атаки зависит от адаптера и настроек сервера. Оба исправления вошли в SvelteKit 3.0.0. При переходе с 2.x потребуется проверить изменения для миграции. До обновления Windows preview лучше держать закрытым для посторонних. Что было яркого до октября? Vue SSR: XSS через имена атрибутов Ошибка в @vue/server-renderer позволяла внедрять дополнительные HTML-атрибуты при серверном рендеринге. Ключевое условие: приложение использует v-bind="object", причём атакующий контролирует имена свойств объекта. Например, атрибуты приходят из CMS или конструктора форм. Обычной передачи недоверенного значения в заранее известный атрибут для этого недостаточно. Затронуты: версии <3.5.42, а также 3.6.0-rc.0–rc.5. Исправлено: 3.5.42 / 3.6.0-rc.6 Nuxt: кеш отдавал SSR-данные другого пользователя При сочетании персонализированной SSR-страницы, routeRules с cache / swr / isr и извлечения payload данные первого пользователя могли попасть другому пользователю или неавторизованному посетителю Утекали данные, загруженные через useFetch / useAsyncData. При этом HTML страницы мог оставаться корректно защищённым Затронуты: Nuxt 4.4.0–4.5.0 Исправлено: 4.5.1. Nuxt 3 этой ошибкой не затронут Astro: RCE при оптимизации AVIF Уязвимость находилась в libheif, используемой стандартным обработчиком изображений на базе Sharp. Обработка специально подготовленного AVIF могла привести к выполнению кода. Условие: атакующий должен суметь передать недоверенное изображение на обработку Astro Затронут: astro <7.2.8 Исправлено: Astro 7.2.8, который требует Sharp 0.35.4

Начинают выдавать доступ к Gemini 4 Argo 😮 Скоро сможем глянуть эти топовые бенчмарки, хехе 😃 Модель можно попробовать через Gemini API и в приложении Gemini с подпиской Google AI Pro или Ultra Для подписчиков Ultra Argon также доступна в Antigravity 2.0 и Google AI Studio https://deepmind.google/models/gemini/ P.S. если нужна подписка на Gemini по дешевке, то пиши мне @qmzik

Bun 1.4.3 представил bun check: проверка TS типов в разы быстрее чем у tsc Bun интегрировал собственную реализацию TypeScript type checker, основанную на typescript-go По результатам бенчмарков команды Bun: — В 3–6.4 раза быстрее TypeScript 7.0.2. — В 2.2–4.9 раза меньше памяти. — Проходит все 51 210 проверок из набора conformance tests TypeScript 7.0.2. — Поддерживает проверку типов перед запуском, тестированием и сборкой. https://bun.com/blog/bun-v1.4.3

Вышел Next.js 16.4 — Cache Components теперь официально рекомендуются для всех Next.js-приложений — Появился ensureStatic, как защита от случайного SSR — Prefetch стал намного гибче — Next.js серьёзно интегрируется с AI coding agents — Появился Agent Feedback — Turbopack стал легче и быстрее — Next.js 16.4 поставляется с React 19.3 — Экспериментальный Rust React Compiler заметно ускорили — Bundle Analyzer прокачали и добавили AI-оптимизатор Перевод полной статьи 👇 https://habr.com/ru/articles/1091748/

СКИДЫВАЙ МЕМЫ, ОТ КОТОРЫХ ТЕБЯ РАЗНОСИТ Хочется размотаться в щи, господа P.S. если рилсики, шортики или тиктоки, то не ссылками, пожалуйста 🪞

Команда Codex радует: фича vs ресет ⚡️ Обещают каждый день выпускать что-то заметно полезное для Codex, либо давать Full Reset лимитов 🥳 В этом спринте должны перевыполнить план 🫡 #ai #codex

You Should Know: новый встроенный плагин для код ревью в Claude Code 😐 Тяжко читать портянки кода после того как агент закончил большую задачу (иногда этого и не делаем, хехе) Плагин You Should Know поможет тебе заметить то, что ты мог упустить Как работает? Пока агент занят длинной задачей, второй агент наблюдает за происходящим. Когда находит что-то заслуживающее внимания, выводит заметку прямо над строкой ввода, таким образом можно адекватно понято что происходит по сути. Это, конечно, не замена код ревью, но сильно расширяет твой мозговой контекст для дальнейшей проверки Плагин появился в Claude Code 2.1.287 и по умолчанию выключен. Включается командой внутри сессии:

/plugin enable cc-plugin-you-should-know@builtin

Воскресенье — лучший день для теста подобной фичи 🙂

CSS свойство frame-sizing 🙂 Теперь больше не надо костылить или перекидывать высоту встроенного контента iframe через postMessage(), а просто пишем:

.embed {
  width: 100%;
  frame-sizing: content-height;
}

Единственное условие, но по мне так очень странное:

Встроенный документ также должен подтвердить свое согласие, добавив элемент <meta name="responsive-embedded-sizing"> в свой <head> 😐

https://developer.chrome.com/blog/responsive-iframes?hl=ru #css

Gemini 4 Argon: Google пытается участвовать в гонке 🤝

На DeepSWE v1.1, который оценивает выполнение длительных задач по разработке, Argon набрала 77,9%. Для сравнения: у GPT-6 Astra результат составляет 74,1%, у Claude Opus 5.5 составляет 74,2%, у Fable 5.1 составляет 67,4%. Модель также опережает конкурентов в тестах автоматизации бизнес-процессов, финансовых и юридических задач, работы с длинным контекстом и понимания видео.

Большой плюс в том, что Argo использует токенов сильно меньше чем конкуренты: $2 / $10 за миллион токенов (вход / выход) Нам, работягам, выдадут доступ к модели чуть позже Подробности в оф. анонсе 👇 https://blog.google/innovation-and-ai/models-and-research/gemini-models/gemini-4-argon/

Вышли Claude Opus 5.5 и Sonnet 5.5: быстрее и экономнее 😐 🧠 Opus 5.5 — для сложных задач, крупных миграций и аудита кода. Вышел 22 сентября. По данным Anthropic, на большинстве задач достигает уровня Fable 5.1, генерирует ответы более чем на 30% быстрее Opus 5, а выполнение типичных задач обходится на 40% дешевле. Антропик ⚡️ Sonnet 5.5 — для повседневной разработки, исправления багов и быстрых итераций. Вышел 28 сентября. Генерация ускорилась более чем на 30% относительно Sonnet 5. Цена токенов не изменилась, но благодаря меньшему расходу стоимость задачи снизилась до 30% в тестах Anthropic. Антропик 💻 В кодинге Sonnet заметно подтянулся: на CursorBench 4.0, основанном на реальных задачах из Cursor, результат вырос с 34,1% до 55,5%. У Opus 5.5 — 57,8%. Но близкие баллы не означают равенства на всех задачах 💰 API за миллион токенов, вход / выход: Opus 5.5 — $4 / $20. Sonnet 5.5 — $2 / $10 #ai #claude

⚡️ JavaScript, архитектура и ИИ: о чем будут говорить на юбилейной HolyJS 2026 Autumn 📆 23-24 октября в Санкт-Петербурге и онлайн пройдет юбилейная HolyJS 2026 Autumn — IT-конференция для всех, кто использует JavaScript-технологии для фронтенда и бэкенда.  В этом году в программе остается все, за что любят HolyJS: JavaScript, браузер, React, архитектура, производительность и инструменты. Но все это теперь существует в мире, где ИИ становится частью разработки — от написания кода до проектирования и работы с production. Поэтому в программе есть и фундаментальный JS-инжиниринг, и практические кейсы с ИИ, и доклады, после которых можно сразу что-то попробовать в работе. А еще — воркшопы, где про новые подходы можно не только послушать, но и «потрогать» их руками. Полное расписание и подробности смотрите в карточках и на сайте. 🌟По промокоду frontendpasta персональные билеты дешевле Купить билет Реклама. ООО «Джуг Ру Груп». ИНН 7801341446

🤖 AI для фронтенд-разработчика: собираем инструменты на Podlodka Frontend Crew AI-инструменты уже используют все, но порой в обсуждении с LLM возникает ощущение, что голова полна ответов, но их всё ещё недостаточно, чтобы разрешить вполне себе прикладные вопросы. Эксперты Podlodka Frontend Crew собрали онлайн-конференцию «Фронтенд с AI», чтобы вместе с практиками из индустрии увидеть, как работает AI в разных аспектах фронтенд-разработки, а главное — сразу начать использовать новые подходы в реальной жизни. 💬 Какие темы ждут участников сезона с 5 по 9 октября: 🔴 AI Coding и подготовка репозитория к работе с AI 🔴 Spec Kit для разработки интерфейсов 🔴 Агентная разработка в закрытом контуре 🔴 WebMCP как дополнительный harness 🔴 AI-дизайн и его место в процессе разработки. Полная программа — уже на сайте! Формат: пять дней живых Zoom-сессий по утрам и вечерам, закрытое Telegram-комьюнити и много общения со спикерами. Если хочется не просто читать про AI-тренды, а получить концентрированную порцию знаний именно про AI для фронтенда, присоединяйтесь к сезону. Вы поймёте, как встроить новые инструменты и подходы в свою работу и найдёте множество единомышленников. 👉 Билеты на сезон А по промокоду PASTA получите скидку 🎁

Встречаем GPT‑6 Sol ☀️ и Luna 🌕 Официальный анонс на русском, постарался быстренько сделать https://habr.com/ru/articles/1085502/

🔴AI кодинг интервью с разработчиком из международного FinTech в четверг в 19:00 ДА! Вайбкодинг реально начали проверять на интервью, поэтому мы нашли собеседующего, который проводит AI-секцию в международном финтехе, чтобы вы увидели что на ней спрашивают и как к ней подготовиться. Как это будет: 📂 Александр Дмитриев, разработчик из известного международного финтеха, ex-VK, ex-Ozon проведет вайбкодинг секцию разработчику-добровольцу; 📂 Александр будет задавать реальные вопросы с секций, которые проводил сам и комментировать ответы; 📂 В конце можно будет задать любой вопрос Александру. Это бесплатно. Эфир проходит в рамках менторской программы от ШОРТКАТ для разработчиков, которые хотят сменить работу, повысить свой грейд, ЗП и прокачать скиллы. Переходи в нашего бота, чтобы получить ссылку на эфир → @shortcut_front_bot Реклама. О рекламодателе.

Вышел React 19.3 🤝 Есть несколько новых фич, идём читать 🚶‍♂️ https://habr.com/ru/articles/1084612/ P.S. знаю, что вышел в начале месяца, но подумал, что лучше поздно, чем совсем никак 😐

«I bet on China»: почему бывший топ Google делает ставку на китайские модели 🇨🇳

Хочу поделиться интересным тейком из доклада, который мне откликнулся, и я по-другому взглянул на китайские модели

Главный тезис Он делит мир на две модели: западную (Claude, Gemini и прочие) и китайские передовые модели. И прямо говорит, что американцы проиграют, причём повторяет это и на выступлениях в США Причина №1: электроэнергия Продавая токены, вы по сути продаёте электричество и инфраструктуру, а США не построили инфраструктуру, которая позволяла бы получать эту энергию так же дёшево, как в Китае. Ключевое преимущество Китая — возобновляемая энергетика: их модели выходят чуть позже американских, но обходятся заметно дешевле. При этом масштаб, по его словам, уже перестал быть фактором №1 Причина №2: разные стратегии — «большое» против «узкого» США мыслит категориями всего большого: построим огромную платформу, огромную инфраструктуру, и она обслужит весь мир. Китай в эту игру не играет, хотя мог бы: вместо более крупной инфраструктуры он выпускает более умные модели — на локальных устройствах и в открытом коде. Смысл в том, что США говорит «мы победим в этой игре», а Китай отвечает, что игры нет, так как эти вещи почти бесплатны и очень легко разворачиваются на конечных устройствах Интересный факт Китай несколько месяцев назад объявил о попытке запретить компаниям увольнять людей ради замены их на ИИ, тогда как в США вышел худший отчёт по занятости за последнее время. Американская логика: увольняй, повышай производительность, плати налоги, а государство как-нибудь поддержит уволенных и это выглядит как сломанная система. Китайская: зачем государству им платить, платите вы — дайте людям ИИ-инструменты и сделайте их продуктивнее. Разница не в ИИ, который есть у обеих сторон, а в мышлении. Он считает, что глобальный Юг здесь преуспеет больше Запада Запись можно глянуть тут👇 https://www.youtube.com/watch?v=whwxxB0iI34

🔴 Тестовый собес на Frontend-разработчика со старшим разработчиком ex. Сбер в этот четверг!  [+ разбор 50 сложных вопросов в подарок ] 17 сентября (в этот четверг!) в 19:00 по мск приходи онлайн, чтобы посмотреть на настоящее интервью на Middle Frontend-разработчика! Собеседование проведёт Даниил Дмитриев - старший разработчик в R-Vision, ex. Сбер, Как это будет: 📂 Даниил задаст разработчику вопросы и задачи, которые могут спросить на реальном собесе 📂 После каждого ответа респондента ты услышишь подробный комментарий от ментора и поймёшь, чего на самом деле ожидает собеседующий на интервью 📂 В конце сможешь задать любой вопрос Даниилу и получить на него развёрнутый ответ Эфир проходит в рамках менторской программы от ШОРТКАТ для Frontend-разработчиков, которые хотят повысить свой грейд, ЗП и прокачать скиллы И ты можешь посмотреть его бесплатно 🔥 Только завтра, в прямом эфире! 🎁 Подарок для всех, кто зарегается на веб — файл с ОТВЕТАМИ НА 50 СЛОЖНЫХ ВОПРОСОВ с Frontend-собеседований 🔥 Переходи в бот, чтобы попасть на эфир и забрать подарок 👉 @shortcut_front_bot Реклама. О рекламодателе.

SDD — актуальный подход к AI разработке 😐 Сейчас такое время, что большинство уже использует AI и команды всё меньше начинают контролировать то, что пишет агент и понимать что происходит в коде Это всё приводит к багам, кривому дизайну и генерации одних и тех же компонентов по несколько раз SDD (Spec Driven Development) предлагает нам подход, где мы чётко прописывает спецификацию как должно всё работать, выглядеть и переиспользоваться Не хочу углубляться в теорию, чтобы не раздувать этот пост, но покажу как ты можешь попробовать этот подход Самый популярный фреймворк для этого дела сейчас OpenSpec, покажу на его примере: 0. Важно. Необязательно начинать в новом проекте, документация прямо говорит, что спецификация может генериться задним числом по пути добавления новых фич или фикса багов в уже готовом проекте 1. Сделай openspec init. Это добавит тебе скиллы в проект для агентов и подготовит структуру спецификаций 2. Запусти скилл openspec explore. Этот этап можно частенько опускать если ты в голове понимаешь как решить проблему, но если хочешь устроить брейншторм с нейронкой по новому функционалу, то этот этап мастхэв 3. Далее скилл openspec propose. Опиши что требуется сделать, чем подробнее, тем лучше 4. Проверь сгенерированный пропоузал. ВНИМАТЕЛЬНО прочитай все .md файлы пропозала и предстоящие задачи для агента, в случае несостыковок вызови openspec update change скилл с описанием несостыковок 5. Запусти генерацию кода. Скилл openspec apply change запустит выполнение задач пропоузала и остановится в случае выполнения всех задач, либо при возникновении блокера 6. Сделай архивацию. После того как всё запланированное выполнилось, запусти скилл openspec archive, чтобы сохранить изменения спецификации и смёрджить с уже существующей Это, конечно, минимальный старт, далее ты со своей командой почувствуешь, что базовой спецификации не хватает, и придёшь к её кастомизации и мульти репам #ai

AI конференции в РФ 😐 В этом году Онтико отменила крупнейшую конфу по фронтенду в РФ, но появилось сразу несколько новых по AI 🙂 Прошедшая летом Agentic Dev Conf, которую я успешно пропустил, и наступающая AI Native Conf, которую планирую посетить в 20го октября Там будет 3 трека: 1. Агентный инжиниринг. Внедрение агентной разработки приводит к напряжению всех узлов производственной цепочки. Как расшивать узкие места на пути фичи — от постановки задачи до выкатки в продакшен и анализа работы системы 2. Агенты в продуктовой работе. После ускорения деливери узким местом становится продуктовая работа. Возможны агентизированные исследования, проработка идей, требований и гипотез, ускорение анализа обратной связи. 3. Бизнес и управление. Если весь цикл ускоряется, узким местом становится бизнес. Управленческой команде нужно быстро принимать решения — перестроить процессы, управление, стратегирование и целеполагание. По промокоду AIFLOT будет скидка 10% и участие в розыгрыше подписки Google AI Pro на год (лимиты х4, доступ к gemini 3 pro, создание видео и много ещё всякого) от моего канала. Скидка действует на личные билеты и при оплате работодателем 🤝 https://ainativeconf.ru/ P.S. при покупке до 10го сентября откроется доступ к прошедшим докладам Agentic Dev Conf этого года

Как сэкономить токены используя gpt-6 Astra 😐 В ~/.codex/config.toml пишите:

[features.context_management]
experimental_mode = true

Это включает экспериментальное управление контекстом в Codex, что существенно экономит вам лимиты В обычном режиме, когда контекст задачи разрастается и упирается в лимит окна, Codex в основном полагается на стандартный механизм compaction/сжатия контекста. С experimental_mode = true Astra получает более продвинутую схему: она может сохранять заметки между окнами контекста и искать более ранние сообщения и результаты tool calls внутри той же задачи. То есть длинная coding-сессия может переживать смену context window с меньшей потерей состояния Это особенно полезно для долгих задач вроде рефакторинга большого проекта, SDD/OpenSpec, многошаговой реализации фичи или работы, где Codex делает десятки/сотни tool calls Сейчас можно включить только таким образом, к концу месяца обещают добавить в базовый функционал модели