[EN] Jak jeden programista zepsuł 'internety' na 2 godziny

TL;DR firma KIK chciała na serwisie npm przejąć od programisty prawo do nazwy 'kik'. On się nie zgodził. Napisali do NPM, a tamci poszli na rękę korpo. Programista usunął swoje wszystkie pakiety w serwisie. Facebooki i inne przestały się kompilować. Nawet... programiści firmy KIK nie mogli pracować

[qrzychu]

Npm nie ma opcji zrobienia lokalnego serwera z kopiami paczek jak nuget?

[JemRekami]

@qrzychu ma. Ale mało kto to robi. Wystarczy Verdaccio.

[Sudo_exit]

Nie kumam tej funkcji. Z opisu wynika, że ma uzupełniać lewą część stringa ale jak patrze w kod to widzę, że dodaje chara podawanego jako argument albo spacje

[secret_passenger]

@Sudo_exit: język jak język, są lepsze, są gorsze. nie demonizowałbym specjalnie. na pewno boli mnie jedynie "używanie JS do wszystkiego" bo moim zdaniem najlepiej by było jakby JS nadal nie wychodził poza przeglądarkę. ale jest zbyt wiele osób, które umieją tylko JS, nie mają chęci uczyć się czegokolwiek innego i potem powstają projekty potwory

[majorponury]

@filipsworks: no dobra możesz napisać nawet w Brainfuck'u ale to jest bez sensu, WebAssembly nie służy do pisania całych interfejsów tylko do pojedynczych niskopoziomowych modułów. Nikt się nie będzie j---ł z C żeby wyświetlić dwie kolumny i formatkę ( ͡° ͜ʖ ͡°)

[celiberion]

"March 27, 2016"

[pinochet]

uwierz mi istnieje swiat poza javascriptem

[TomAss83]

Ale jak to jest przeciez te pakiety są ściągane generalnie raz "npm install xxx" a potem można w zależności od ustawień je upgradować itd. Przecież nie za każdym razem jak buduje się projekt wszystko jest dociagane z npm? Ktoś wyjaśni? - front end znam po łebkach.

[WaveCreator]

@TomAss83: Część firm może mieć tak skonfigurowane automatyczne deploye, że za każdym razem gdy zgrywasz nową wersję na prod, to wszystkie dependenciesy z package.json są od nowa instalowane.

[Stivo75]

Ataki socjotechniczne z wykorzystanie konia trojańskiego w postaci biblioteki dla Node - nie słyszeliście jeszcze o tym?
1) Tworzymy moduł który jest łakomym kaskiem, wrzucamy na githuba
2) Z modułu korzysta tysiące firm
3) Do modułu dodajemy wyjątki i kod aby przesyłać wrażliwe dane gdzie indziej i wrzucamy nową wersję
4) Nowo powstały start up nagle trafia na pierwszą stronę niebezpiecznika bo przesyła dane niezgodnie z polityką prywatności.

Zachciało wam się frameworkow

[5da4266d3de6dbaf425a2d4fc16225d0]

@Stivo75: Były prawdziwe ataki w takim stylu ale przygotowane trochę lepiej:

1. Nie piszesz modułu i czekasz aż zrobi się popularny. Zamiast tego szukasz popularnego modułu który nie jest juz rozwijany i zgłaszasz się do autora z pytaniem czy możesz przejąć maintenance, bo chciałbyś go dalej rozwijać.
3. Publikujesz minor version z backdoorami a następnie major version bez tychże. W ten sposób każdy kto ma ustawione, żeby automatycznie aktualizować wersje,

[5da4266d3de6dbaf425a2d4fc16225d0]

@Stivo75: https://medium.com/intrinsic/compromised-npm-package-event-stream-d47d08605502 ;)

[yorimo]

@cosivah966: Ehe, zarabiasz 2gr za ten slaby wpis bocie. Papa.

[paliwoda]

2gr

@yorimo: Dwagrosze?

[Patuptap]

JavaScript i NPM powinny już dawno umrzeć :/

[Dawidi]

@Patuptap: jest takie powiedzenie.

Są języki na które ludzie narzekają oraz takie których nikt nie używa.

[A.....i]

@balor link do duplikatu

[zarowka12]

@Acri: https://www.wykop.pl/link/3082619/jak-jeden-wkurzony-programista-zepsul-node-js-babel-i-tysiace-innych-projektow/

[S.....u]

@zarowka12: serio? Minely ponad 4 lata wiec znalezisko nie jest duplikatem.

Bylo oficjalnie potwierdzone kiedys ze duplikat liczy sie przez pol roku.

[PDCCH]

Szkoda zę w sumie mało konserwoprawaków ogólnie ogarnia jak działa Open Source i jak cały dzisiejszy świat jest oniego zależny. A przecież jakby tak bliżej się temu przyjrzeli, to od razu odkryliby kryjący sie w Open Source komunisi mkaskis
( ͡° ͜ʖ ͡°)