A tankönyv szerint a === az első eltérő bájtnál kilép, és a válaszidőből bájtonként kitalálható a titok. Megmértem a V8-on: a tartalomról 1–2 nanoszekundum szivárog, a hosszról sokkal több – a timingSafeEqual mégis kötelező.
2019-ben 27 percre megállt a fél internet egy .*.*=.* miatt. Megmértem, mit művel a katasztrofális backtracking Node alatt, és kipróbáltam a V8 kísérleti lineáris regexmotorját, ami 6,2 másodpercből 0,01 ms-ot csinál – csak épp ki van kapcsolva.
Bekapcsolod a trust proxy-t, mert proxy mögött vagy — és ezzel a req.ip-t a kliens X-Forwarded-For fejlécére bízod. Miért a true a legrosszabb beállítás, mit válassz helyette, és hogyan kerülhető meg vele az egész rate limited.
Az Access-Control-Max-Age hasznos, de a CORS preflightot nem a szokásos HTTP cache kezeli. Ez megmagyarázza, miért maradnak meg az OPTIONS kérések Vary és CDN mellett is.
A TLS 1.3 0-RTT gyorsíthatja a visszatérő látogató első kérését, de cserébe megismételhetővé teszi. Ezért önmagában az sem elég, ha csak GET kéréseket engedünk át.
A Partitioned cookie-attribútum külön állapotot ad minden beágyazó webhelynek. Chat- és térképwidgeteknél hasznos, központi SSO-sessionre viszont nem való.
Az ARG-ba vagy ENV-be tett API-token, npm-jelszó vagy AWS-kulcs nem tűnik el a buildel együtt: ott marad a docker history-ban, és publikus GitHub Actions build esetén a provenance attesztációban is. A BuildKit secret mount ezt oldja meg – hands-on kipróbálva, docker history-val és exportált réteggel is ellenőrizve.
A SharedArrayBuffer visszatért, de csak cross-origin isolated oldalakon fut. A COOP és a COEP fejléc pontosan ezt adja meg – cserébe elszakíthatja a window.opener kapcsolatot és blokkolhatja a be nem jelentkezett cross-origin erőforrásokat.
A --permission flag 2023 vége óta stabil a Node.js-ben, és tényleg megállítja a véletlen fájlrendszer-hozzáférést. De a node:sqlite simán megkerüli, és a hálózati tiltás (--allow-net) a jelenlegi LTS-eken egyszerűen nem létezik – csak a v25/v26-ban jelent meg, Active development státusszal.
Amikor 2024-ben feltörték a polyfill.io CDN-t, több mint 100 000 oldal futtatott rosszindulatú kódot – anélkül, hogy egyetlen saját sort is módosítottak volna. A Subresource Integrity attribútum pont ez ellen véd egy egyszerű hash-ellenőrzéssel, mégis kevesen kapcsolják be.
A CSP a forrásokat szűri, de nem véd a saját kódod innerHTML-hívásai ellen. A Trusted Types API típust ad a stringeknek a DOM veszélyes pontjain – és 2026-ra a Firefox és a Safari is felzárkózott, így most már mindhárom nagy böngészőmotor kikényszeríti.
A nonce-alapú, strict-dynamic CSP nem hostlistákat, hanem az induló, valóban megbízható JavaScriptet jelöli ki. Így vezesd be úgy, hogy a cache és a régebbi kliensek se legyenek vakfoltok.
A Fetch Metadata fejlécekből a szerver láthatja, milyen webes kontextusból érkezett a kérés. Megmutatjuk, hogyan építhető rá óvatos, Node-ban is tesztelhető kiegészítő CSRF-védelmi policy.