NestJS ужасен?

Если что, это не мнение редакции. Так считает пользователь Reddit и при этом он приводит довольно резонные аргументы:

🔘 Множество переусложнённых решений — например, собственная система внедрения зависимостей, которая мешает новичкам и AI‑инструментам, хотя стандарт ES уже предлагает необходимые механизмы.
🔘 Кодовая база излишне сложна без необходимости, а ревью PR занимает больше времени, чем их написание, из-за скрытых побочных эффектов.
🔘 Много дублирующих и самодельных решений: например, NestJS использует внутренний шаблонизатор, сильно похожий на EJS, но написанный с нуля.
🔘 Проблемы с безопасностью: команда медленно реагирует на найденные уязвимости, принимая исправления спустя месяцы, несмотря на готовые PR с демонстрацией проблемы и решения.
🔘 Масса ненужных зависимостей — зачем NestJS включает webpack в продакшн-сборку?!
🔘 Плохая совместимость с экосистемой.

А вы как считаете? Согласны с этими тезисами? Пишите в комментарии, что думаете.

#обсуждение #nestjs

Кликджекинг без JavaScript — это возможно

Researcher Lyra Rebane открыла уязвимость, которая ломает классические защиты: атаку можно провести чистым CSS и SVG, обходя Content Security Policy и X-Frame-Options.

В чём суть:
🔘 SVG фильтры (feBlend, feComposite) работают как полноценные логические вентили;
🔘 можно перехватить пиксели со скрытых iframes, не используя JS;
🔘 защита от XSS есть, но от CSS-атак ещё нет.

Proof-of-concept: атака на Google Docs — украдены текст документа через фальшивую кнопку «Generate Document».

Google выплатила $3133.70 за bug report. Уязвимость всё ещё не пофиксена и затрагивает Chrome, Firefox и другие браузеры.

Полный разбор читайте по ссылке:
https://www.theregister.com/2025/12/05/css_svg_clickjacking/

#безопасность

pyreqwest — новый HTTP-клиент на Rust для Python. GIL-free, HTTP/2 из коробки, sync и async с одинаковым API. Автор — тот же разработчик, который открыл issue #3215 в httpx о 10x просадке производительности при конкурентных запросах.
​
Зачем переходить с httpx
httpx/httpcore имеют давние проблемы с connection pooling — при 20 конкурентных запросах httpx в 10+ раз медленнее aiohttp. Эти баги висят годами. pyreqwest решает их на уровне архитектуры, потому что connection pool реализован на Rust.
​
➡️ Если httpx работает — можно не трогать. Но в высоконагруженных системах он станет бутылочным горлышком.

Фичи
🔘HTTP/1.1 и HTTP/2 (у aiohttp нет HTTP/2)
🔘Автодекомпрессия: zstd, gzip, brotli, deflate
🔘TLS через rustls
🔘Connection pooling, стриминг, multipart
🔘Куки, прокси, редиректы, таймауты
🔘Полные type hints, zero Python-зависимостей
🔘Встроенный мок для тестов + подключение к ASGI напрямую

Быстрый старт:

# uv add pyreqwest

from pyreqwest.client import ClientBuilder, SyncClientBuilder

async def example_async():
    async with ClientBuilder().error_for_status(True).build() as client:
        response = await client.get("https://httpbun.com/get").query({"q": "val"}).build().send()
        print(await response.json())        

def example_sync():
    with SyncClientBuilder().error_for_status(True).build() as client:
        print(client.get("https://httpbun.com/get").query({"q": "val"}).build().send().json())

​
📎 Код на GitHub

@zen_of_python

Let's Encrypt теперь выдаёт SSL-сертификаты на голые IP-адреса — домен не нужен

Фича официально запущена и открыта для всех. Раньше для HTTPS на IP приходилось либо платить (от $40/год), либо мириться с self-signed и предупреждениями браузера.​

Нюансы и ограничения
🔘Сертификат живёт только ~6 дней — политика безопасности, IP могут менять владельцев​
🔘Нужен ACME-клиент с поддержкой shortlived profile (Certbot, acme.sh, Caddy — уже умеют)​
🔘DNS-challenge не работает — только HTTP-01 или TLS-ALPN-01​
🔘Автопродление обязательно — иначе протухнет за неделю

Кому пригодится
Хоумлабы, NAS, IoT-девайсы, камеры — всё, что торчит наружу по IP без домена. Тестовые и staging-окружения, эфемерные облачные сервисы. Для продакшена с нормальным доменом смысла мало — 90-дневные сертификаты удобнее.​

➡️ Также важно, что Let's Encrypt переходит на новую иерархию корневых сертификатов «Generation Y» и начнёт сокращать срок действия всех сертификатов: 64 дня в 2027-м, 45 дней в 2028-м.​

@prog_tools

Самые просматриваемые доклады по React, Next.js, Vue, Nuxt и Vite в 2025 году

Когда вы пересмотрите все новогодние фильмы, советуем обратить внимание на доклады по фронтенду и фулстеку, которые стали самыми просматриваемыми в 2025 году. Вы найдёте их по ссылке.

Версия короткого must-watch списка для ленивых:

🔘 Modern React Patterns: Concurrent Rendering, Actions & What’s Next
🔘React Query Exposed by Its Maintainer
🔘TanStack is Your New Favorite Framework
🔘 Hands On: How To Migrate To Next.js 16 and “Use Cache”
🔘 Vite Beyond a Build Tool