🐘 نسخه PHP 8.5.9 منتشر شد؛ یک آپدیت امنیتی و Bug Fix مهم

اگر با PHP کار می‌کنی، نسخه فعلی شاخه 8.5 در حال حاضر PHP 8.5.9 است.

این نسخه در سری Patch Releaseهای PHP قرار دارد و شامل اصلاحات امنیتی و رفع Bugهاست. نسخه‌های 8.2، 8.3، 8.4 و 8.5 نیز در ماه آگوست Patchهای جدید دریافت کرده‌اند.

🔎 PHP 8.5 چیست؟

نسخه اصلی جدید PHP است که قابلیت‌های جدید زبان را در اختیار توسعه‌دهندگان قرار می‌دهد و تا پایان سال 2027 پشتیبانی می‌شود.

🎯 اگر پروژه Production داری:

قبل از Update:

Backup
 ↓
Test
 ↓
Check Dependencies
 ↓
Update
 ↓
Monitor

❌ مستقیم روی Production آپدیت نکن.

💡قابلیت Patch Releaseها معمولاً برای دریافت اصلاحات امنیتی و Bug Fixها مهم‌اند؛ بنابراین «آپدیت نکردن چون Feature جدیدی ندارد» همیشه تصمیم درستی نیست.

@CodeVerse_dev

🔐 یک Plugin می‌تواند کل سایت را در معرض خطر قرار دهد

یکی از مشکلات امنیتی اخیر WordPress مربوط به Forminator Forms بوده است.

حالا Forminator چیست؟

یک Plugin برای ساخت فرم‌ها، نظرسنجی‌ها و فرم‌های تعاملی در WordPress است.

آسیب‌پذیری CVE-2026-15748 در نسخه‌های 1.56.1 و پایین‌تر گزارش شده و شدت آن CVSS 9.8 اعلام شده است.

در شرایط مشخص، مهاجم بدون احراز هویت می‌توانست فایل مخرب PHP آپلود کند و در نهایت کنترل سایت را به دست بگیرد. این آسیب‌پذیری صدها هزار نصب را در معرض خطر قرار داده است.

🎯 درس مهم برای WordPress Developerها:

امنیت فقط مربوط به WordPress Core نیست.

WordPress Core
      +
Plugins
      +
Themes
      +
Server
      =
Security Surface

💡 اگر سایت WordPress داری، Pluginهای نصب‌شده را هم مثل Core جدی بگیر و نسخه‌های آسیب‌پذیر را سریع Update کن.

@CodeVerse_dev

یه مدت فکر می‌کردم وقتی کدم کار می‌کنه، یعنی کارم رو درست انجام دادم.

ولی بعداً فهمیدم بین «کار کردن کد» و «خوب بودن کد» تفاوت خیلی زیادی وجود داره.

ممکنه یه کد کاملاً درست اجرا بشه، ولی:
🔸 نگهداریش سخت باشه
🔸 باگ‌گیریش زمان‌بر باشه
🔸 تغییر دادنش کل پروژه رو تحت تأثیر قرار بده

از یه جایی به بعد، موقع نوشتن کد فقط به این فکر نمی‌کنم که:

«چطوری اینو اجرا کنم؟»

بلکه از خودم می‌پرسم:

«اگه ۶ ماه دیگه بخوام تغییرش بدم، هنوز از این کد راضی هستم؟»

همین تغییر دیدگاه، کیفیت کدهام رو خیلی بهتر کرد.

📢 @CodeVerse_dev

🔐 یک اشتباه کوچک در API می‌تواند تبدیل به مشکل امنیتی بزرگ شود

فرض کنید API شما این درخواست را دریافت می‌کند:

GET /api/users/125/orders

اگر فقط بررسی کنید که User شماره 125 وجود دارد، کافی نیست.

سؤال مهم این است:

آیا کاربر فعلی اجازه مشاهده سفارش‌های User 125 را دارد؟

این همان جایی است که مفهوم Broken Object Level Authorization (BOLA) مطرح می‌شود.

شناسه را نمی‌توان به‌عنوان مجوز در نظر گرفت.

❌ user_id = 125
≠
✅ «کاربر فعلی اجازه دسترسی به User 125 را دارد»

در APIهای واقعی، Authentication فقط می‌گوید «تو کی هستی».

اینجاست که Authorization مشخص می‌کند:

«به چه چیزی اجازه دسترسی داری؟»

این دو را هیچ‌وقت یکی نگیرید.

@CodeVerse_dev

ترفند کاهش مصرف حافظه در حلقه‌های سنگین PHP

خیلی از دولوپرها وقتی با آرایه‌های بزرگ کار میکنن، از foreach استفاده میکنن و حافظه سرور رو به سرعت پر میکنن. اما یه راه هوشمندانه‌تر وجود داره.

✅ ترفند: استفاده از Generators به جای آرایه‌های کامل

function getLargeData() {
for ($i = 0; $i < 1000000; $i++) {
yield $i;
}
}

foreach (getLargeData() as $item) {
// پردازش هر آیتم به‌صورت جداگانه
}

مزایا:

· مصرف حافظه ثابت (فقط یک آیتم در هر لحظه)
· مناسب برای پردازش فایل‌های بزرگ CSV یا JSON
· کاهش ۹۰٪ مصرف حافظه در پروژه‌های حجیم

⚠️ نکته مهم: Generatorها رو نمیشه چندبار حلقه زد. اگر نیاز به چندبار پیمایش داری، باید دیتا رو در آرایه ذخیره کنی.

@CodeVerse_dev

معرفی CSS Container Queries در تمام مرورگرها

بعد از سالها انتظار، Container Queries بالاخره در تمام مرورگرهای مدرن پشتیبانی میشه. این یعنی دیگه برای طراحی ریسپانسیو فقط به Viewport وابسته نیستی!

✅ تفاوت با Media Queries:

· قابلیت Media Queries: بر اساس اندازه صفحه نمایش
· قابلیت Container Queries: بر اساس اندازه المان والد

✅ مثال کاربردی:

.card-container {
container-type: inline-size;
}

@container (min-width: 500px) {
.card {
display: flex;
flex-direction: row;
}
}

@container (max-width: 499px) {
.card {
display: flex;
flex-direction: column;
}
}

💡 این قابلیت برای طراحی کامپوننت‌های مستقل مثل کارت‌های محصول، ویجت‌ها و بخش‌های مختلف سایت فوق‌العاده هست. دیگه نیازی نیست کل سایت رو بر اساس اندازه صفحه تغییر بدی!

@CodeVerse_dev

ابزار حرفه‌ای مدیریت خطاها در جاوااسکریپت - معرفی Sentry

همه ما تجربه خطاهای عجیب در مرورگر کاربران رو داشتیم که توی محیط توسعه هیچوقت رخ نمیدن. Sentry این مشکل رو یه بار برای همیشه حل میکنه.


· نمایش دقیق خطا به همراه stack trace کامل
· پشتیبانی از Vue، React، Angular و حتی وردپرس

✅ نصب در پروژه جاوااسکریپت:

npm install @sentry/browser
import * as Sentry from '@sentry/browser';
Sentry.init({
dsn: 'YOUR_DSN_URL',
environment: 'production'
});

// ثبت دستی خطا
try {
// کد شما
} catch (error) {
Sentry.captureException(error);
}

💡 نسخه رایگان Sentry برای پروژه‌های کوچک و متوسط کاملاً کافیه. حتماً استفاده کن تا دیگه کاربرات بهت نگن "سایت خرابه" و خودت زودتر از همه متوجه خطا بشی!

@CodeVerse_dev

🧠 چندتا مفهوم JavaScript که شاید هنوز کامل جا نیفتاده باشن!

این مقاله سراغ مفاهیمی مثل Promise، Debounce و Throttle، Event Bubbling، Concurrency، Strict Mode و Prototype می‌ره؛ چیزهایی که شاید در ظاهر ساده باشن، ولی فهم درستشون توی پروژه‌های واقعی خیلی مهمه.

اگه با JavaScript کار می‌کنی، این یکی ارزش خوندن داره 👌

📎 Article

@CodeVerse_dev

ترفند امنیتی مخفی در وردپرس - تغییر جدول پیش‌فرض دیتابیس

یکی از اولین کارهایی که هکرها برای نفوذ به سایت انجام میدن، حمله به جدول wp_users هست. با یه تغییر ساده می‌تونی امنیت سایتت رو چند برابر کنی.

✅ ترفند: تغییر پیشوند جدول‌ها در حین نصب

در فایل wp-config.php، این خط رو تغییر بده:

$table_prefix = 'wp_';

به این:

$table_prefix = 'x7k9_';

یا هر پیشوند دلخواه دیگه‌ای که حداقل ۵ کاراکتر و شامل حروف و اعداد باشه.

⚠️ نکات مهم:

· این کار باید در حین نصب اولیه وردپرس انجام بشه
· اگر سایتت نصب شده، تغییر پیشوند کار سختی هست و نیاز به دقت بالا داره
· همراه با تغییر پیشوند، حتماً از رمزهای قوی و احراز هویت دو مرحله‌ای استفاده کن

💡 این ترفند ساده، ۹۰٪ حملات خودکار دیتابیس رو خنثی میکنه چون هکرها دنبال جدول‌های با پیشوند wp_ میگردن.

@CodeVerse_dev

خبر داغ - ارائه WebAssembly در PHP 8.5

یکی از هیجان‌انگیزترین قابلیت‌های PHP 8.5، پشتیبانی از WebAssembly هست. این یعنی می‌تونی کدهای C، Rust یا Go رو درون PHP اجرا کنی!

✅ حالا این WebAssembly چیه؟

ابزار WebAssembly یه زبان سطح پایین هست که تقریباً در تمام مرورگرها اجرا میشه و سرعتش نزدیک به کدهای Native هست.

✅ کاربرد در PHP:

· اجرای کتابخانه‌های سنگین مثل پردازش تصویر یا ویدیو
· استفاده از الگوریتم‌های پیچیده نوشته شده در Rust یا C++
· افزایش سرعت محاسباتی تا ۱۰ برابر نسبت به PHP خالص

✅ مثال ساده:

$wasm = new WasmEngine();
$module = $wasm->load('module.wasm');
$result = $module->add(5, 3); // ۸

💡 این قابلیت تازه در حال توسعه هست و به‌زودی کتابخانه‌های آماده برای استفاده منتظر میشن. اگر پروژه‌های سنگین داری، منتظر این قابلیت باش!

@CodeVerse_dev

ابزار جدید برای دولوپرهای وردپرس - معرفی WP-CLI v2.12

این WP-CLI که ابزار خط فرمان وردپرس هست، نسخه ۲.۱۲ خودش رو منتشر کرده. این نسخه پر از قابلیت‌های جدید برای مدیریت حرفه‌تری سایت‌هاست.

✅ قابلیت‌های جدید:

· پشتیبانی از PHP 8.5
· دستور جدید wp db export --format=json برای خروجی JSON
· امکان اجرای همزمان چند دستور با wp --parallel
· بهبود سرعت در سایت‌های بزرگ با بیش از ۱۰۰۰۰ پست

✅ دستورات کاربردی:

نصب WP-CLI

curl -O https://raw.githubusercontent.com/wp-cli/builds/gh-pages/phar/wp-cli.phar
php wp-cli.phar --info

آپدیت وردپرس از خط فرمان

wp core update

نصب و فعال‌سازی پلاگین

wp plugin install elementor --activate

تغییر رمز کاربر ادمین

wp user update 1 --user_pass=new_password

💡 اگر هنوز از WP-CLI استفاده نمیکنی، همین امروز شروع کن. مدیریت چندین سایت با این ابزار فوق‌العاده سریع و حرفه‌ای میشه.

@CodeVerse_dev

🚀 فریمورک Next.js؛ یه ریپو که ارزش داره توی GitHub داشته باشیش

اگه با React کار می‌کنی و دنبال ساخت اپلیکیشن‌های سریع و Full-Stack هستی، Next.js یکی از گزینه‌های جدیته.
این ریپو خود فریم‌ورک Next.js رو شامل می‌شه و کلی مثال، مستندات و ابزار برای شروع و توسعه پروژه در اختیارت می‌ذاره. 👌

📎 GitHub

@CodeVerse_dev

🔐 هکرها در حال سوءاستفاده از آسیب‌پذیری SAML در WordPress هستند

اول از همه، SAML چیست؟

این SAML یک استاندارد برای احراز هویت Single Sign-On است؛ یعنی کاربر می‌تواند با حساب یک سرویس دیگر وارد WordPress شود.
حالا یک مشکل جدی در miniOrange SAML 2.0 SSO Plugin شناسایی شده.

دو آسیب‌پذیری از نوع Authentication Bypass به مهاجم بدون احراز هویت اجازه می‌دهند در شرایط خاص، خود را به‌جای کاربران WordPress، حتی Administrator، وارد کند.

🚨 مهم‌تر اینکه گزارش‌ها نشان می‌دهند این آسیب‌پذیری‌ها در حال هدف قرار گرفتن هستند.

🎯 اگر از این Plugin استفاده می‌کنی:
فقط به فعال بودن 2FA یا رمز عبور قوی اکتفا نکن.

خود Plugin و نسخه آن را بررسی کن و در صورت انتشار نسخه اصلاح‌شده، سریع Update کن.

💡 امنیت WordPress فقط به Password محدود نمی‌شود؛ سیستم‌های Login و SSO هم بخشی از سطح حمله سایت هستند.

@CodeVerse_dev

⚠️ یک Sandbox معروف Node.js با یک آسیب‌پذیری Critical مواجه شد

ابزار isolated-vm چیست؟

یک کتابخانه Node.js است که اجازه می‌دهد کد JavaScript غیرقابل‌اعتماد را در یک محیط ایزوله اجرا کنی.

کاربردش؟

مثلاً اجرای کدی که نباید مستقیماً به Process اصلی برنامه دسترسی داشته باشد.

اما یک آسیب‌پذیری Critical می‌تواند باعث شود کد داخل Sandbox از محیط ایزوله خارج شده و به کنترل Host برسد؛ سناریویی که در صورت سوءاستفاده می‌تواند به Remote Code Execution منجر شود.

🎯 این یعنی چه؟

اگر برنامه‌ات به کاربر اجازه اجرای JavaScript می‌دهد، صرفاً قرار دادن کد در یک Sandbox به معنی «امن بودن» آن نیست.

Untrusted Code
      ↓
Sandbox
      ↓
Vulnerability
      ↓
Sandbox Escape
      ↓
Host

💡 در امنیت، یک Sandbox فقط زمانی قابل اعتماد است که مرتب Patch و Update شود.

@CodeVerse_dev

🔍 **چرا await واقعاً برنامه را متوقف نمی‌کند؟**

خیلی‌ها وقتی این را می‌بینند:

const data = await fetch(url);

فکر می‌کنند:

«روند JavaScript متوقف شد تا Response برسد.»

اما دقیقاً این‌طور نیست.

متد await باعث می‌شود اجهمان async functionon** تا آماده شدن Promise ادامه پیدا نکند؛ اما Event Loop می‌تواند کارهای دیگری را پردازش کند.

مثلاً:

async function load() {
    const data = await fetch(url);

    console.log(data);
}

console.log("A");

load();

console.log("B");

خروجی ابتدا:

A
B

و بعد ادامه اجرای load انجام می‌شود.

🎯 نکته مهم:

await ≠ توقف کل JavaScript

بلکه:

await
 ↓
Suspend current async function
 ↓
Event Loop continues
 ↓
Promise settles
 ↓
Function resumes

💡 اگر Event Loop و Promiseها را درست بفهمی، رفتار بسیاری از باگ‌های عجیب JavaScript برایت قابل پیش‌بینی می‌شود.

@CodeVerse_dev

🌐 توسعه GitHub Universe 2026 نزدیک است؛ تمرکز امسال روی آینده توسعه نرم‌افزار

پلتفرم GitHub برنامه کامل Universe 2026 را منتشر کرده و قرار است مجموعه‌ای از Workshopها، Demoها و جلسات تخصصی برگزار شود.

اما نکته جالب اینجاست:

بخش قابل‌توجهی از فضای رویداد به آینده توسعه نرم‌افزار، AI و ابزارهای جدید Developerها اختصاص دارد.

موضوعاتی که باید منتظرشان باشیم:

🤖قابلیت AI Coding Agents
🧠 توسعه نرم‌افزار با AI
🔐 امنیت پروژه‌های Open Source
⚙️ ابزارهای جدید Developerها
🚀 آینده GitHub و همکاری تیمی

اگر در حوزه برنامه‌نویسی فعالیت می‌کنید، این رویداد می‌تواند یکی از مهم‌ترین منابع برای فهمیدن مسیر آینده ابزارهای توسعه باشد.

📅 GitHub Universe 2026

💡 احتمالاً بخش مهمی از ابزارهایی که چند ماه آینده استفاده می‌کنیم، همین‌جا معرفی یا پررنگ‌تر خواهند شد.

@CodeVerse_dev

🧠 این کد چرا در پروژه بزرگ خطرناک می‌شود؟

فرض کن:

$user = User::find($id);

if (!$user) {
    return response()->json([
        'message' => 'User not found'
    ], 404);
}

return $user;

کد کاملاً قابل قبول به نظر می‌رسد.

اما حالا تصور کن همین الگو در ۵۰ Controller تکرار شده باشد.

مشکل دیگر Syntax نیست.

مشکل:

❌ منطق تکراری
❌ تغییر سخت
❌ تست‌های پراکنده
❌ رفتارهای متفاوت بین Endpointها

اینجاست که Developer حرفه‌ای اول می‌پرسد:

«چرا این منطق دارد این‌همه جا تکرار می‌شود؟»

بعد می‌تواند بسته به معماری پروژه از:

* Service
* Action
* Exception
* Middleware
* Resource

استفاده کند.

💡 انجام دادن Refactor یعنی فقط کوتاه‌تر کردن کد نیست؛ یعنی کاهش هزینه تغییر دادن سیستم.

@CodeVerse_dev

🧠 چرا * SELECT در پروژه‌های واقعی ایده خوبی نیست؟

وقتی فقط به ۳ ستون نیاز داری، این:

SELECT * FROM users

ممکن است خیلی ساده به نظر برسد؛ اما با بزرگ شدن سیستم، هزینه‌اش بیشتر می‌شود.

چرا؟

🔹 داده بیشتری از DB خوانده می‌شود
🔹 حجم بیشتری بین DB و Application منتقل می‌شود
🔹همینطور Memory بیشتری مصرف می‌شود
🔹 استفاده از Covering Index سخت‌تر می‌شود
🔹 تغییر Schema می‌تواند رفتار Query را ناخواسته تغییر دهد

مثلاً اگر فقط id و name لازم داری:

SELECT id, name FROM users

این فقط بحث تمیزتر نوشتن Query نیست؛ در سیستم‌های پرترافیک کنترل دقیق Data Access بخشی از Performance Engineering است.

گاهی چند بایت مهم نیست؛ اما میلیون‌ها Request چرا.

@CodeVerse_dev

⚡ چطور بعضی سایت‌ها با سرور قوی هم کند هستند؟

چون Performance فقط CPU و RAM نیست.

ممکن است سرور شما کاملاً قدرتمند باشد، اما کاربر همچنان منتظر بماند.

مسیر یک Request را تصور کنید:

Browser
↓
DNS
↓
CDN
↓
Load Balancer
↓
Application
↓
Database
↓
External API

کندی می‌تواند در هرکدام از این نقاط اتفاق بیفتد.

مثلاً اگر Application در 100ms پاسخ بدهد اما یک API خارجی 2 ثانیه طول بکشد، ارتقای CPU تقریباً هیچ کمکی نمی‌کند.

برای همین در سیستم‌های حرفه‌ای، به جای حدس زدن باید Latency را در تمام مسیر اندازه‌گیری کرد.

Metrics → Tracing → Profiling

اول پیدا کن کجا کند است؛ بعد تصمیم بگیر چه چیزی را باید بهینه کنی.


@CodeVerse_dev

🚀 یک نکته درباره Cache که خیلی از پروژه‌ها دیر متوجهش می‌شوند

عملیات Cache کردن یک Query ساده است.

مشکل واقعی زمانی شروع می‌شود که داده تغییر کند.

فرض کنید:

Product → price = 500

این مقدار Cache شده.

حالا قیمت در Database می‌شود:

700

اما Cache هنوز 500 را برمی‌گرداند.

اینجاست که مسئله اصلی Cache مطرح می‌شود:

Cache Invalidation

چه زمانی Cache را حذف کنیم؟
چه زمانی Update کنیم؟
مقدار TTL چقدر باشد؟
اگر چند Server داشته باشیم چه؟
اگر دو Request هم‌زمان Cache را تغییر دهند چه؟

به همین دلیل:

عمل Cache کردن مشکل Performance را حل می‌کند؛ اما Cache Invalidation یک مسئله معماری است.

و همان جمله معروف هنوز پابرجاست:

There are only two hard things in Computer Science: cache invalidation and naming things.

@CodeVerse_dev

🚀 تازگیا Chrome DevTools یه آپدیت خیلی کاربردی گرفته؛ مخصوصاً برای Frontend Developerها

توی Chrome 152 چند قابلیت جالب به DevTools اضافه شده که ارزش امتحان کردن دارن.

یکی از مهم‌ترین‌ها:

Soft Navigation Metrics

حالا می‌تونی معیارهای عملکرد مربوط به Navigationهای نرم داخل SPAها رو بهتر بررسی کنی.

یعنی برای سایت‌هایی که با React، Vue یا سایر معماری‌های SPA ساخته شدن، تحلیل Performance دقیق‌تر میشه.

از اون طرف، ابزارهای Debugging برای Nested CSS هم بهتر شدن.

این یعنی وقتی CSSهای تو در تو و مدرن استفاده می‌کنی، پیدا کردن اینکه دقیقاً کدوم Rule روی المنت اثر گذاشته راحت‌تر میشه.

💡 نکته جالب اینجاست که DevTools دیگه فقط ابزار Debug نیست؛ داره تبدیل میشه به یکی از مهم‌ترین ابزارهای تحلیل واقعی تجربه کاربر.

اگه Frontend کار می‌کنی، آپدیت‌های DevTools رو دست‌کم نگیر.

@CodeVerse_dev