Az URLPattern: routing reguláris kifejezés-labirintus nélkül
A URLPattern API-val a böngésző natívan tud URL-eket komponensenként illeszteni és elnevezett paramétereket kiolvasni. Megmutatjuk, mikor tisztább a regexnél, és miért nem query parser.
A git rerere: nem kell kétszer megoldanod ugyanazt a merge-konfliktust
A git rerere megjegyzi, hogyan oldottál fel egy merge- vagy rebase-konfliktust, és legközelebb, ha ugyanaz a hunk jön elő, automatikusan visszaadja a megoldást. 2006 óta ott van minden git telepítésben, csak alapból ki van kapcsolva.
Vary: a fejléc, ami megmondja a CDN-nek, mikor nem ugyanaz a válasz
A Vary nem a cache lejáratát, hanem a cache-kulcsot módosítja. Megmutatjuk, miért kell az Accept-Language mellé, és miért hibás a Vary: Cookie.
A polyfill.io feltörése után is kevesen használják: Subresource Integrity CDN-ekhez
Amikor 2024-ben feltörték a polyfill.io CDN-t, több mint 100 000 oldal futtatott rosszindulatú kódot – anélkül, hogy egyetlen saját sort is módosítottak volna. A Subresource Integrity attribútum pont ez ellen véd egy egyszerű hash-ellenőrzéssel, mégis kevesen kapcsolják be.
WebTransport: amikor a legfrissebb adat többet ér, mint a biztos kézbesítés
A WebTransport egy kapcsolatban ad megbízható streameket és elveszhető datagramokat. Megmutatjuk, mikor jó ez valós idejű webalkalmazásban, miért kell saját üzenetkeretezés, és miért nem csak egy gyorsabb WebSocket.
Az innerHTML mostantól típusellenőrzött lehet: a Trusted Types API bekerült minden nagy böngészőbe
A CSP a forrásokat szűri, de nem véd a saját kódod innerHTML-hívásai ellen. A Trusted Types API típust ad a stringeknek a DOM veszélyes pontjain – és 2026-ra a Firefox és a Safari is felzárkózott, így most már mindhárom nagy böngészőmotor kikényszeríti.
A vissza gomb gyorsaságának rejtett ellensége: így töröd el a bfcache-t
A böngésző bfcache-e teljes oldalt állíthat vissza a vissza gombnál. Az unload, az élő kapcsolatok és az elavult állapot mégis könnyen elrontja ezt.
content-visibility: auto – amit a felhasználó nem lát, azt a böngésző meg sem rajzolja le
A content-visibility CSS tulajdonság auto értéke feltételesen kapcsolja ki a renderelést az off-screen tartalmakon. Megnézzük, hogyan működik a contain-intrinsic-size, a contentvisibilityautostatechange esemény, és mikor éri meg használni.
Az emoji nem egy karakter: szöveglimitek Intl.Segmenterrel
A JavaScript length értéke UTF-16-kódegységeket számlál, ezért egy emoji vagy kombinált ékezet több helyet foglalhat, mint amennyinek látszik. Az Intl.Segmenter grafémaklaszterekre bontja a szöveget: így a felhasználónak ígért karakterszámot lehet mérni és biztonságosan levágni.
A keepAliveTimeout csapdája: miért 502-zik időnként a Node szerver a load balancer mögött
A Node.js HTTP szerverének keepAliveTimeout alapértéke nyolc éve öt másodperc – jóval rövidebb, mint a legtöbb load balancer vagy proxy idle timeoutja. Ez okozza a klasszikus, szórványos 502-es hibákat alacsony forgalom mellett. A Node.js most végre 65 másodpercre emeli az alapértéket (v26-tól), de addig kézzel kell beállítani.
A z-index nem old meg mindent: Popover API és a böngésző top layer rétege
Lebegő menük és panelek esetén a z-index gyakran a rossz eszköz. A Popover API a böngésző top layer rétegét használja, de nem váltja ki a tudatos fókusz- és pozíciókezelést.
A using deklaráció garantálja az erőforrás-felszabadítást – Node 22-n viszont csak félig igaz ez
A using és await using végre garantálja, hogy egy erőforrás felszabadítása lefusson – hiba, korai return esetén is. Node 24-en tökéletesen működik, Node 22 flag-elt verziója viszont némán elnyeli a dispose-hibákat.
A Response.clone() memóriacsapdája: ha az egyik olvasó lemarad
A Response.clone() nem teljes másolatot készít: a lassan fogyó streamág korlátlan memóriapuffert építhet. Mikor veszélyes ez, és hogyan kerüld el?
UUIDv7: az elsődleges kulcs, ami nem lő szét minden indexet
A random UUIDv4 primary key évek óta ismert teljesítményprobléma B-fa indexeknél. Az RFC 9562-es UUIDv7 időrendi sorrendbe teszi az azonosítókat, Node.js 26.1-től és PostgreSQL 18-tól natívan is elérhető — nézzük meg, hogyan működik, és mibe kerül.
Web Locks API: így ne fusson kétszer ugyanaz a háttérmunka két böngészőfülben
Így akadályozhatod meg, hogy több böngészőfül egyszerre végezze ugyanazt a háttérmunkát a Web Locks API-val.
A BuildKit cache mount begyorsítja a Docker npm installt – a legtöbb CI-futtatón mégsem marad meg belőle semmi
A RUN --mount=type=cache kiveszi az npm letöltési cache-ét a Docker rétegek alól, így egy lockfile-változás sem dobja el a már letöltött csomagokat. Csak épp a legtöbb hosted CI-futtatón minden build friss gépen indul – ott ez a trükk önmagában nem sokat ér.
Az ETag nem csak cache-re való: védd az API-t If-Match-csel a felülírásoktól
Az ETag és az If-Match nemcsak cache-validátor: egy 412-es válasszal megfoghatják, hogy két párhuzamos API-mentés csendben felülírja egymást.
A height: auto sosem volt animálható – a CSS calc-size() ezt oldja meg
A calc-size() és az interpolate-size végre natív CSS-megoldást ad az auto magasságra animáláshoz, JavaScript-hack nélkül – de egyelőre csak Chromium-alapú böngészőkben.
A CSP ne domaineket bízzon meg: nonce és strict-dynamic az XSS ellen
A nonce-alapú, strict-dynamic CSP nem hostlistákat, hanem az induló, valóban megbízható JavaScriptet jelöli ki. Így vezesd be úgy, hogy a cache és a régebbi kliensek se legyenek vakfoltok.
A git worktree megosztja a hookjaidat – amit a párhuzamos branch-checkout valójában jelent
A git worktree gyors és helytakarékos módja a párhuzamos branch-munkának, de nem ad külön .git-et: a hookok, a config és a stash is közösek maradnak. Megnézzük, mit jelent ez a gyakorlatban – és mikor jobb helyette a git clone --shared.