[inquis1t0r]

Jak ktoś szuka kolejnego powodu, żeby pohejtować #javascript to proszę ( ͡° ͜ʖ ͡°)
https://www.zdnet.com/article/hacking-20-high-profile-dev-accounts-could-compromise-half-of-the-npm-ecosystem/
#programowanie

[ciolkiev]

Fajny refeal

[vizori]

@inquis1t0r: Jakby tych powodów było zbyt mało xD

[passage]

@inquis1t0r:
Ale w ten sposób można hejtować pythona i każdy inny język ze zdalnym repozytorium libek :)

Najgorsza wpadka z npm była w 2016 roku:

[Mazowia]

@inquis1t0r: Nie jestem fanem javascript ale hejtowanie tego języka w kontekście npm'a jest krzywdzące. ( ͡° ͜ʖ ͡°)

[Hauleth]

@passage: niby tak, ale nie do końca. Problem w JSie jest taki, że biblioteka standardowa jest bardzo, ale to bardzo uboga, więc powstaje całe mnóstwo bibliotek, które to łatają (left-pad anyone?). Potem takie biblioteki lądują wirusowo w absurdalnie dużej ilości projektów, co powoduje takie a nie inne relacje. W innych językach, z bogatszą biblioteką standardową, taki problem występuje rzadziej, po prostu projekty nie mają tylu zależności.

[passage]

@Hauleth: JS nie ma biblioteki standardowej. Są natomiast coraz nowsze wersje ECMAScript, np problem left-pad został rozwiązany w ES8 (String.prototype.padStart).
Są natomiast świetne biblioteki typu lodash lub underscore, więc to co piszesz to tak nie bardzo zgadza się z rzeczywistoścą ;)
Od ES6 JavaScript jest świetny ;) niedoskonałości niestety zachowuje ze względu na wsteczną kompatybilność.

[Hauleth]

@passage: Z tym „świetny” to bym nie przesadzał. Jeśli porównamy z ES5 to tak, jak z czymkolwiek innym, to jest źle jak było. Ale ten post OPa właśnie o tym mówi, że masz biblioteki jak lodash/underscore, które są zależnością praktycznie wszystkiego w NPM i jak tylko ktoś odrębnie ich lub kogokolwiek kto zarządza ich zależnościami to praktycznie wszystko leci.

[passage]

@Hauleth: dlatego warto sprawdzać co się instaluje. To nie wina JS tylko autorów libek.

[Hauleth]

@passage: to wina wielu rzeczy, w tym samego JSa.

[passage]

@Hauleth: nie, to nie wina JS, a to o czym piszesz, że ktoś zacznie dłubać przy bibliotekach wykorzystywanych przez tysiące innych libek zostało naprawione m.in. przez zamrażanie przez npm libek (nie można zmienić/usunąć raz dodanej wersji biblioteki) oraz po części przez wprowadzenie package-lock