DevTwitter | توییت برنامه نویسی

🔥 دسترسی سریع به ChatGPT و Claude با بهترین قیمت 💡 ⏱️ تحویل و راه‌اندازی فوری زیر ۵ ساعت! ⚡️ 🛒 وب‌سایت: 🌐 Rahboom.com 👨‍💻 خرید از ادمین: 👤 @rahboom1

ابزار M3E Canvas یه ابزار رایگان و Open Source که داخل مرورگر صفحه‌های Material 3 رو می‌سازی، به هم وصلشون می‌کنی، Flow رو تست می‌کنی و آخرش خودش یه Prompt آماده می‌ده که می‌تونی مستقیم بدی به Claude Code، Codex، Gemini CLI یا Cursor تا برات پیاده‌ کنی GitHub: https://github.com/lnkiai/m3e-canvas @DevTwitter | <خانم_زاده/>

با یه پارادوکسی مواجه هستیم که خیلی مهمه درست درکش کنیم. وقتی در مورد کارایی که با ایجنت‌ها می‌کنم پست می‌ذارم، یه سوال رایج اینه که setup و فریمورک و trickهایی که به کار می‌بری چیه. معمولا جواب نمی‌دم چون سخته توضیح بدم که برای خیلی از کارها واقعا چیز خاصی ندارم... یا دوستان لطف دارن و می‌گن دوره و ورکشاپ برگزار کن. ولی به نظرم setup و trick اون چیزی نیست که فرق اصلی رو می‌سازه. حالا تو توییتر dax و DHH این چند روز یه حرفی زدن که خیلی باهاش موافقم: دیگه لازم نیست برای کار با AI یه setup پیچیده و عجیب بچینی. مدل‌ها خودشون خیلی خوب شدن. تا چند ماه پیش خودم رو خیلی درگیر setupهای پیچیده می‌کردم. کلی skill، کلی MCP، فایل‌های rule چند صفحه‌ای و غیره... علت اصلیش این بود که مدل‌های اون موقع ضعیف بودن، یا بهتره بگم حواس‌پرت بودن... مثلا یادش می‌رفت چی گفتیم، یه چیزی می‌نوشتیم که یادش بمونه. یا به یه سری چیزای بدیهی دقت نمی‌کرد و باید rule سفت و سخت براش می‌نوشتی که درست کار کنه. الان مدل‌ها هنوز بی‌نقص نیستن، ولی این مشکلا رو خیلی کمتر دارن و بیشتر اون setupها دیگه لازم نیست. ولی یه چیزی هست که به نظرم همچنان مهمه. مدل هر چقدر هم باهوش باشه، پروژه شما رو نمی‌شناسه. نمی‌دونه چرا فلان کار رو تو تیمتون این‌طوری انجام می‌دید، یا اون قانون عجیب بیزینسی که شفاهیه و هیچ‌جا داکیومنت نشده از کجا اومده. این چیزا رو باید یه جا براش بنویسید. این دیگه «جبران ضعف مدل» نیست، اطلاعاتیه که هیچ‌جای دیگه پیداش نمی‌کنه. در واقع بزرگ‌ترین ضعف بیزینس‌ها الان «حجم خیلی زیاد contextهای شفاهیه» که هیچ‌جا نوشته نشده جز ناخودآگاه آدم‌ها، و تا این حل نشه ایجنت‌ها بهره‌وری کافی نخواهند داشت. برای همین مهم‌ترین کاری که معمولا می‌کنم اینه که نیازمندی رو کامل و شفاف کنم، هم از نظر بیزینسی هم فنی. نکته مهم دیگه deterministic validationهاست. یعنی تست‌هایی که سیستماتیک قوانین بیزینس رو چک می‌کنن. ایجنت الان خیلی سریع کد می‌نویسه، و دقیقا برای همین باید بتونی سریع و مطمئن چک کنی درست نوشته یا نه. هر چی ایجنت سریع‌تر بشه، تست مهم‌تر می‌شه. یه نکته مهم دیگه هم اینه که درک عمیق مسائل high level مهندسی نرم‌افزار، که اگه از ابعاد مختلف جمعشون کنی خیلی زیادن، همچنان تو کیفیت خروجی ایجنت‌ها تعیین‌کننده‌ست. ابزار ساده‌تر شده، ولی هنوز باید بدونی داری چی می‌سازی. پس از نظر من بالا بردن دانش مهندسی نرم‌افزار خیلی مهمه. چیزی که لازم نیست، micromanage کردن ایجنت‌هاست. این به معنی رها کردن کار نیست، ولی دخالت بیش از حد و وسواسی عملا سرعت ایجنت رو ازش می‌گیره. حالا پارادوکس کجاست؟ اینجا که اگه بخوایم ایجنت بهترین عملکردش رو داشته باشه، بهتره ما مثل کسی رفتار کنیم که هیچی از مهندسی نرم‌افزار نمی‌دونه. این‌طوری بدون ترس و وسواس، ماکزیمم پتانسیل ایجنت رو به کار می‌گیریم. اما برای اینکه چیزی که ایجنت می‌سازه واقعا درست باشه و اصطلاحا slop نباشه، باید خودت دید فنی و محصولی درستی داشته باشی. و وقتی دید فنی و محصولی داری، همه‌ش می‌خوای تو کار ایجنت دخالت کنی و کم‌کم می‌ری سمت وسواس و micromanage کردن. به نظرم باکیفیت‌ترین محصولات نرم‌افزاری رو الان مهندس‌هایی می‌سازن که این پارادوکس رو تو نقطه تعادلش نگه دارن. یعنی تصمیم‌های مهم مهندسی رو تو نقاط حیاتی life cycle توسعه خودشون بگیرن، و بقیه پروسه رو بسپرن به ایجنت‌ها. https://x.com/dhh/status/2107823432205484040 @DevTwitter | <Hossein Nazari/>

پس از مدت ها انتظار... بالاخره نسخهء Alpha 1 از نسل 6 فریمورک Bootstrap منتشر شد. کلن کوبیدن از نو ساختن! * نکته جالبی که در متن خبر دیدم، اعترافشون به استفاده از پیشوندها به سبک tailwind بود! - این نسل برای نمایش حداقل به امکانات کرومیوم 130 نیازمنده. - مولفه های محاوره ای ش از این نسل به بعد مبتنی بر TS توسعه داده خواهند شد. - این نسل از سازوکارهای LLM-Friendly مثل skill ها پشتیبانی میکنه. بر اساس مستنداتش: - تعدادی مولفه جدید داره... - نام تعدادی از مولفه های قدیمش تغییر داده شده... - بالاخره DatePicker و OTP Input بومی بهش اضافه کردن! * نحوه استفاده از CSS Class هاش تا حدودی تغییر کرده! - پوسته بصری ش شبیه نسل یک شده ولی بصورت تخت، نه 3 بُعدی... - افکت های گرافیکی ش خیلی بهتر شده... - انیمیشن و ترانزیشن بهش اضافه شده! خبر در بلاگ رسمی: https://blog.getbootstrap.com/2026/10/08/bootstrap-6-alpha/ فهرست تغییرات: هنوز ارائه نشده سایت رسمی: https://getbootstrap.com/ مستندات رسمی: https://getbootstrap.com/docs/6.0/getting-started/install/ پ.ن. * صرفا در رابطه با layout و grid. - معتقدم نسل برگ ریزونیه! @DevTwitter | <Arash Laylazi/>

چند روز پیش مارگارت همیلتون از اين دنيا رفت. روحش در آرامش برای خیلی‌ها او یک زن ۹۰ ساله بود که چند دهه پیش در ناسا کار می‌کرد اما خوب است بدانيم این زن کدی را نوشت که وقتی کامپیوتر آپولو ۱۱ زیر فشار داشت از نفس می‌افتاد، فهمید کدام کار مهم‌تر است و کدام را باید کنار بگذارد. چند دقیقه مانده به فرود روی ماه، همین طرز فکر می‌توانست مرز بین فرود و شکست باشد، همیلتون فقط برای آپولو نرم‌افزار ننوشت، او کمک کرد چیزی شکل بگیرد که امروز اسمش را گذاشته‌ایم Software Engineering. نسلی مثل او، کامپیوتر را برای لایک و فالو و وایرال‌شدن نساخت و شاید تلخ‌ترین بخش ماجرا همین باشد: ما در دوره‌ای زندگی می‌کنیم که ارزش آدم‌ها را با تعداد فالوئر، بازدید و پولی که می‌سازند می‌سنجیم؛ نه با چیزی که به بشریت اضافه کرده‌اند. احترام به آدم‌هایی مثل او، احترام به خودِ فناوری است. Rest in peace, Margaret. @DevTwitter | <Abbas Mohammadi/>

خبر مهم برای وردپرسی‌ها؛ ورود رسمی MCP به WordPress وردپرس به‌تازگی پلاگین رسمی MCP Adapter را در مخزن WordPress.org منتشر کرده است. تعریف MCP یک استاندارد ارتباطی بین هوش مصنوعی و وردپرس است که در آینده به AI اجازه می‌دهد با سایت وردپرسی تعامل داشته باشد؛ مثل: - خواندن و ویرایش محتوا - ایجاد نوشته و صفحات - کار با اطلاعات محصولات -️ اجرای قابلیت‌های افزونه‌ها - انجام برخی کارهای مدیریتی با دستور هوش مصنوعی یعنی وردپرس در حال ایجاد زیرساختی است که هوش مصنوعی فقط محتوای سایت را نخواند، بلکه بتواند با قابلیت‌های خود وردپرس و افزونه‌ها تعامل و کار انجام دهد. نسخه رسمی MCP Adapter 0.7.0 در اکتبر ۲۰۲۶ وارد WordPress.org شده و هنوز در مرحله توسعه و آزمایشی قرار دارد. ️ فعلاً پیشنهاد نمی‌کنیم صرفاً به خاطر این خبر آن را روی سایت اصلی نصب کنید. این پلاگین بیشتر یک زیرساخت برای اتصال AI به وردپرس است و هنوز به معنی کنترل مستقیم سایت توسط ChatGPT نیست. اما مسیر آینده وردپرس کاملاً مشخص است: سایت‌هایی که می‌توانند با هوش مصنوعی تعامل واقعی داشته باشند = WordPress + AI @DevTwitter | <Abbas Bahadori Pour/>

آقا پشمام، به نظرم به این نوع پروژه ها دیگه شاید در آینده کنسول سازی کنسل بشه، علنا فایل اجرایی ps5 رو میدی بهش، بعد روی pc برات اجرا میکنه، جالب اینجاست که اصلا Emulator نیست https://github.com/boykopovar/AnyPS5 @DevTwitter | <HRY/>

یک skill برای Claude Code هست که هر وب‌سایتی رو با یک prompt به‌طور کامل clone می‌کنه. از MCP کروم استفاده می‌کنه تا font، رنگ و structure رو مستقیم از مرورگر استخراج کنه. رایگانه و صددرصد open-source. لینک ریپو: https://github.com/JCodesMore/ai-website-cloner-template @DevTwitter | <Yarad/>

📌 پنجشنبه شب دیپلوی نکنید. ساعت ۲۳:۴۷ پنجشنبه، یه git push origin main ساده، و کل جمعه‌تون می‌ره پای درست کردنش. اگه مجبورید، اول روی یه سرور ابری تستش کنید: چند دقیقه‌ای از پنل بسازیدش، کپی پروداکشن رو روش بیارید بالا و با خیال راحت تست کنید. کارتون که تموم شد، حذفش کنید؛ سرور ابری از لحظه‌ی ساخت تا لحظه‌ی حذف ساعتی حساب می‌شه و هزینه‌ش همون لحظه تموم می‌شه. ایران، هلند، آلمان، آمریکا؛ همه از یه پنل 🎁 ۱۰۰ هزار تومن اعتبار هدیه برای شروع جمعه‌تون رو نجات بدید 👇 https://my.webdade.com/link.php?id=7 https://my.webdade.com/link.php?id=7 📞 031-3740 🌐 webdade.com

مدل EmbeddingGemma 2 یه مدل جدید Embedding از Google و بر پایه Gemma 4 هست که با مجوز Apache 2.0 منتشر شده. چیزی که این مدل رو از نسل قبلی جدا می‌کنه اینه که دیگه فقط با text و code کار نمی‌کنه و می‌تونه text، code، image، video و audio رو توی یه فضای برداری مشترک قرار بده. یعنی می‌شه انواع مختلف داده رو کنار هم مقایسه کرد و برای کارهایی مثل جستجوی معنایی و بازیابی اطلاعات ازش استفاده کرد. یکی از قابلیت‌های جالبش اینه که می‌تونه چند نوع داده رو همزمان پردازش کنه. مثلاً می‌شه یه متن رو همراه با یه تصویر یا حتی صدا و ویدئو به مدل داد و در نهایت یه embedding مشترک برای همه این اطلاعات گرفت. این ویژگی برای ساخت سیستم‌هایی مثل multimodal RAG خیلی کاربردیه. از طرف دیگه، معماری این مدل به شکل modular طراحی شده و لازم نیست همیشه کل مدل 740M پارامتر رو اجرا کنیم. برای مثال، یه نسخه 270M برای text و code وجود داره و با اضافه شدن بخش‌های مربوط به تصویر و صدا، نسخه‌های بزرگ‌تر ساخته می‌شن. این طراحی باعث شده مدل برای اجرای on-device و لوکال هم مناسب باشه. حتی نسخه کامل مالتی مودال، بعد از quantization، می‌تونه با حدود 567MB رم روی دستگاه‌هایی مثل Pixel اجرا بشه. از کانتکس ویندو 8k اون هم نباید چشم پوشی کرد. یه ویژگی مهم دیگه هم Matryoshka Representation Learning (MRL) هست. با این قابلیت می‌تونیم اندازه embedding رو از 768 تا 512، 256 یا 128 بعد کاهش بدیم و بر اساس نیازمون بین دقت، سرعت و فضای ذخیره‌سازی تعادل ایجاد کنیم. این موضوع توی پروژه‌های بزرگ Vector Search اهمیت زیادی داره و می‌تونه حجم مورد نیاز برای ذخیره‌سازی بردارها رو تا حدود 6 برابر کاهش بده. در نهایت، چیزی که EmbeddingGemma 2 رو واقعاً جالب می‌کنه اینه که از یه مدل عمدتاً متنی به یه مدل سبک و مالتی مودال تبدیل شده که می‌تونه انواع مختلف داده رو توی یه فضای مشترک قرار بده، به شکل modular اجرا بشه و حتی روی دستگاه‌های نسبتاً محدود هم قابل استفاده باشه. ترکیب این قابلیت‌ها باعث می‌شه برای ساخت سیستم‌های local search، multimodal RAG، Vector Database و AI agentها انتخاب خیلی خوبی باشه. https://huggingface.co/google/embeddinggemma-2 @DevTwitter | <Reza Jafari/>

بچه ها تو این شرایط اقتصادی که همه دنبال کار می‌گردن ، دوست من دکتر علی آقایی یه کار قابل تقدیر کردن🙏 ایشون دندون پزشک هستند و تصمیم گرفتن هرکسی میخواد دستیار دندون پزشک بشه رو، بهش #رایگان آموزش بدن♥️ ارزش این آموزش ها ۲ میلیون تومانه، ولی امروز به مدت 24 ساعت کل آموزش دستیار دندان پزشکی رو رایگان در اختیارتون میزارن🙏 یعنی هم بهتون آموزش میدن، هم براتون توی مطب ها و کلینیک‌های دندانپزشکی کار پیدا می‌کنند . فرقی هم نمیکنه از کدوم شهر باشید. ⚠️ بچه ها حواستون باشه فقط ۲۴ ساعت زمان دارید که از این فرصت بصورت #رایگان استفاده کنید 👈 پس همین الان وارد کانال تلگرام زیر بشید و ثبت نام کنید : https://t.me/+ebnVFtKx0cZkZWU8 . #دستیار_دندانپزشکی

یکی اومده یه نقشهٔ راه کامل برای مهندس هوش مصنوعی شدن رو اوپن‌سورس کرده. «ستاد مرکزی مهندس هوش مصنوعی» از پایه‌ها شروع می‌کنه و می‌رسه به مدل‌های زبانی بزرگ، RAG، فاین‌تیون، صدا زدن ابزار، و گردش‌کارهای ایجنتی؛ همه تو یه برنامهٔ آموزشی مرتب. ریپو: https://github.com/hemansnation/AI-Engineer-Headquarters @DevTwitter | <Yarad/>

فتوکرافت یه ادیتور جدید و متن‌بازه، شبیه فتوشاپ، که با زبان راست نوشته شده. فایل‌های واقعی PSD رو باز می‌کنه و روی مک، ویندوز، لینوکس و وب کار می‌کنه. از ۱۳۵ فایل تست PSD، ۱۳۴ تاشون بعد از ذخیره دوباره دقیقاً همون بودن خود پروژه می‌گه کارشون تمیز و مستقل بوده و فقط از مشخصات عمومی ساخته شده اریک اس. ریموند می‌گه این نشون می‌ده نرم‌افزارهای بدون سورس کد باز تموم شده ریپو: https://github.com/storytold/photocraft @DevTwitter | <Yarad/>

دوره جامع پایتون: مقدماتی تا پیشرفته 🗓شروع دوره: 18 مهر 🎁 تخفیف ویژه برای دانشجویان، فرصتی بی‌نظیر برای شما! 🔥 آموزشی که شما را به برنامه‌نویس حرفه‌ای تبدیل می‌کند و در بازار کار به شما رقابت‌پذیری بیشتری می‌دهد. همچنین برای اپلای‌های شغلی و تحصیلی شما را برتر می‌کند و به راه‌اندازی استارت‌آپ‌های شگفت‌انگیز کمک می‌کند. ⏰ 140 ساعت آموزش مجازی، با بیش از 25 پروژه و مینی‌پروژه برای تسلط کامل! 🌟 سرفصل‌های دوره شامل: 💻 تسلط بر کدنویسی پایتون 💻 علوم داده با پایتون 💻 محاسبات علمی با پایتون 💻 یادگیری ماشین با پایتون 💻 طراحی بازی و اپلیکیشن با پایتون 💻 ساخت بلاک‌چین و ارز دیجیتال با پایتون 💻 هک و امنیت با پایتون 💻 طراحی سایت با پایتون 🎁 همراه با هدایای ویژه، از جمله پکیج کسب درآمد از پایتون! همین حالا شروع کنید و بهترین نسخه خود را با ما کشف کنید! 💥🚀🔥 🌟 به دوستان خود نیز اطلاع دهید تا این فرصت را از دست ندهند! 🌟 👨‍🏫برگزارکننده: شرکت آتی پژوهش امیرکبیر @kargah2018 👩‍🎓جهت ثبت نام و کسب اطلاعات بیشتر @apa_admin12

چند وقته رو یه پروژه فان کار میکردم، مفسر سی شارپ برای میکروکنترلر ها هست همچین چیزی قبلا هست، مثل نانو فریمورک و حتی میکرو پایتون اما این ۳ برابر سریعتر از میکروپایتون هست و قابلیت های بیشتری داره پروژه خیلی حرفه ای شده دوست داشتید یه نگاه بندازید https://github.com/amir1387aht/MicroCS @DevTwitter | <Another/>

این ریپو توی یکی دو روزی که معرفی شده بالای ۱۵کا استار گرفته!! شعارش اینکه هر اپی رو میتونی مهندسی معکوس کنی با ایجنت! mcp مختص خودشو داره http://github.com/morluto/rea @DevTwitter | <Meisam/>

یک آپدیت جدید برای nextjs-progress بعد از انتشار nextjs-progress، در حین استفاده و توسعه بیشتر پکیج متوجه شدم که برای بعضی از پروژه‌ها، فقط داشتن Link و useRouter اختصاصی کافی نیست. به‌خصوص در پروژه‌هایی که از routing سفارشی یا کتابخانه‌هایی مثل next-intl استفاده می‌کنند، نیاز به راهی بود که قابلیت progress را به router و Link موجود اضافه کنیم. در نسخه جدید، چند قابلیت مهم به پکیج اضافه کردم: - پشتیبانی از basePath - پشتیبانی از مسیرهای دارای locale با i18nPath - اضافه شدن createRouter() برای custom routerها - اضافه شدن createLink() برای custom Linkها - اضافه شدن nextjs-progress/navigation - بهبود تشخیص navigation و مقایسه مسیرها - پشتیبانی بهتر از navigation در پروژه‌هایی با routing سفارشی یکی از قسمت‌هایی که بیشتر روی آن کار کردم، امکان استفاده از createRouter() و createLink() در کنار next-intl است؛ بدون اینکه نیاز باشد ساختار routing پروژه تغییر کند. برای نمونه می‌توان progress را به router و Link موجود اضافه کرد: const useRouter = createRouter(useNextIntlRouter); const Link = createLink(NextIntlLink); هدفم این بوده که nextjs-progress در پروژه‌های مختلف، مخصوصاً پروژه‌های واقعی‌تر و پیچیده‌تر Next.js، انعطاف‌پذیرتر باشد. اگر با Next.js کار می‌کنید، خوشحال می‌شوم نگاهی به پروژه بیندازید و اگر تجربه‌ای با آن داشتید، فیدبکتان را با من به اشتراک بگذارید. GitHub: https://github.com/thehadikarimi/nextjs-progress npm: https://www.npmjs.com/package/nextjs-progress @DevTwitter | <Hadi Karimi/>

✳ دوره جامع آمادگی آزمون آیلتس نمره‌ مورد نظرتان را مطمئن بگیرید🎯 ✅ با کسی همراه شوید که خودش نمره‌ی 9 آیلتس آکادمیک دارد و 10 سال است داوطلبان را قدم‌به‌قدم به هدفشان می‌رساند. با تکنیک‌های واقعی، تمرین هدفمند و پوشش کامل چهار مهارت تا روز آزمون با تسلط و اطمینان کامل وارد جلسه شوید. 🚀 ✳ برای اطلاعات بیشتر و مشاوره رایگان قبل از ثبت نام عدد  3  را به آیدی زیر بفرستید 👇👇👇👇 @easyielts9sup @easyielts9sup 🟣 صفحه اینستاگرام ایزی آیلتس: https://www.instagram.com/easyielts9

چند روز پیش مقاله‌ای درباره «AI-Native Software Engineering» می‌خوندم که یک نکته‌اش برام خیلی جالب بود: اینکه LLM دیگه کل Architecture نیست؛ فقط یکی از اجزای اونه. مقاله از چیزهایی مثل Context Engineering، Agent Orchestration، Tool/MCP Architecture، Sandboxed Execution و Verification صحبت می‌کنه. اما وقتی این بحث را می‌برم سمت Enterprise و مخصوصاً On-Prem، یک سؤال دیگه برام پررنگ‌تر می‌شه: اینکه Agent دقیقاً اجازه داره چه کاری انجام بده؟ در محیط واقعی ممکنه مشتری: - به LLMهای Cloud دسترسی نداشته باشد - داده‌هاش نباید از شبکه خارج بشه - اینترنت و سرویس‌های خارجی محدود باشه - ما تو ایران هستیم و با محدودیت‌های تحریم مواجه باشه - و مهم‌تر از همه، Agent قرار باشه روی سیستم واقعی مشتری Action انجام بده. تو این شرایط، اینکه یک LLM رو داخل شبکه بیاریم، به‌تنهایی مسئله رو حل نمی‌کنه. باید بدونیم: این Agent با چه Identity ای کار می‌کنه؟ چه Permissionهایی داره؟ به چه داده‌ای دسترسی داره؟ چه Capabilityهایی در اختیارشه؟ کدوم Actionها نیاز به Approval دارن؟ و چطور می‌تونیم بعداً Audit کنیم که چه تصمیمی گرفته و چرا؟ برام این زنجیره داره تبدیل به یکی از بخش‌های اصلی معماری Agent می‌شه: Identity → Permission → Capability → Approval → Audit یک API معمولاً می‌گه: Do X اما Agent می‌گه: I decided to do X. و این دو از نظر معماری خیلی با هم فرق دارن. به نظرم یکی از تغییرات مهم معماری با ورود Agentها این نیست که Agent جای Service را می‌گیره. تغییر مهم‌تر اینه که: یک Decision Boundary تبدیل به یک Architectural Concern می‌شه. در Enterprise، قبل از اینکه بپرسیم: «کدوم LLM رو انتخاب کنیم؟» شاید باید بپرسیم: این «Agent رو تا کجا وارد سیستم کنیم و مرز اختیارش کجاست؟» مقاله‌ای که این بحث رو ازش شروع کردم: AI-Native Software Engineering: Architecture Patterns for Context, Agents and Developer Tools اگر شما هم درگیر معماری AI در محیط‌های Enterprise یا On-Prem هستید، به نظرم این بخش از بحث، خیلی مهم‌تر از انتخاب صرف Model هستش. پ.ن: لینک مقاله: https://www.linkedin.com/pulse/ai-native-software-engineering-architecture-patterns-context-r-e6hoc/ @DevTwitter | <Mehdi Halvaei/>

چیزیکه تا الان من متوجه شدم خیلی از برنامه نویسای frontend فرق بین کوکی معمولی با HttpOnly یا Secure رو نمیدونن یا کلا فکر می کنن HttpOnly همون Secure cookie هستش... ببینید زمانیکه شما کوکی رو میسازید میتونید چندتا فلگ براش ست کنید, که 2 تا از اونها HttpOnly و Secure هستش. وقتی شما HttpOnly رو از سمت سرور ست کنید, دیگه با جاوااسکریپت نمیتونید بهش دسترسی داشته باشید. در عوض مرورگر میاد تو هدر ریکوئست هایی که میزنید مقدار کوکی رو میفرسته و کار تمام هستش. این HttpOnly دقیقا میاد جلوی XSS و سرقت رفتن مقادیری مثل jwt-token رو میگیره. حالا Secure کوکی یعنی شما باید روی HTTPS این کوکی رو بسازید و به سرور بفرستید و اگر مثلا وب سایت روی HTTP باز بشه کوکی خوانده و ارسال نمیشه! این رو درنظر داشته باشید که Secure کوکی میتونه با JavaScript ساخته و خوانده بشه ولی HttpOnly فقط روی سرور ساخته میشه. و در آخر اینکه HttpOnly و Secure میتونن هر دو فعال باشن یا یکیشون فعال بشه و با هم تداخل ندارن حالا بیایم یکم عمیق تر به موضوع نگاه کنیم, اگر خواستیم تو React یا مثلا Angular این مقدار کوکی رو بگیریم و از اتفاق از نوع HttpOnly باشه باید چیکار کنیم؟ تو این شرایط معمولا تیم بک اند یک سرویس مخصوص Auth به شما میده که بهش ریکوئست میزنی ببینی کاربر Authenticated هستش و میتونه Protected Route و Component هارو ببینه یا نه؟ اینجوری میشه امنیت رو هم باهاش هندل کرد @DevTwitter | <Mohammad E/>