ویژگی‌های مهم JWT (فارغ از فریم ورک)

JWT یک توکن امضاشده است که اطلاعات کاربر را درون خودش دارد.

نحوه کار: سرور توکن را می‌سازد و امضا می‌کند ← کلاینت آن را در هر درخواست می‌فرستد ← سرور فقط امضا را چک می‌کند (بدون دیتابیس).

نکته کلیدی: فقط Encode است، نه Encrypt ← داده حساس داخلش نگذارید.
------------------
ساختار: سه بخش با نقطه جدا می‌شوند

- Header:

-          نوع توکن و الگوریتم امضا

- Payload:

-          داده‌ها (Claims مثل شناسه کاربر، نقش، انقضا)

- Signature:

-          امضا برای تأیید دستکاری نشدن
------------------

آیا در میکروسرویس‌ها JWT بهتر است؟

بله، اغلب اوقات. چون Stateless است و هر سرویس بدون کوئری دیتابیس مرکزی می‌تواند توکن را تأیید کند.

بهترین کاربردها:

-         احراز هویت بین میکروسرویس‌ها

-         Machine-to-Machine (سرویس به سرویس)

-         APIهای عمومی و چند‌پلتفرمی

-         سیستم‌های توزیع‌شده و مقیاس‌پذیر

بدترین کاربردها:

-         نشست کاربران وب (Session جایگزین بهتری است)

-         وقتی نیاز به ابطال آنی توکن دارید (مثل logout یا تغییر رمز)

-         ذخیره داده حساس در Payload (رمزنگاری نشده)

-         توکن‌های طولانی‌مدت بدون Refresh Token

ویژگی‌های مهم JWT

Stateless
تمام اطلاعات لازم در خود توکن ذخیره می‌شود؛ سرور نیازی به ذخیره نشست ندارد.

Self-contained
شامل Header، Payload و Signature است و می‌تواند Claimهای سفارشی (نقش، مجوزها و...) را حمل کند.

امضاشده (Signed)
با الگوریتم‌های HMAC یا RSA امضا می‌شود؛ دستکاری محتوا قابل تشخیص است.

استاندارد باز (RFC 7519)
مستقل از زبان و پلتفرم است و در هر سیستم‌عاملی قابل استفاده است.

قابل حمل (Portable)
به راحتی بین سرویس‌ها، دامنه‌ها و میکروسرویس‌ها منتقل می‌شود.

دارای انقضا (Expiration)
فیلد exp زمان اعتبار توکن را مشخص می‌کند.

غیرقابل ابطال (Non-revocable)
تا زمان انقضا معتبر می‌ماند؛ ابطال آنی نیاز به Blocklist دارد که Stateless بودن را نقض می‌کند.

حجیم (Bulky)
به دلیل داشتن Payload، معمولاً بزرگ‌تر از توکن‌های ساده است.

رمزنگاری‌نشده (Base64 Encoded)
محتوای Payload فقط Encode شده، نه Encrypt؛ بنابراین نباید داده حساس در آن قرار داد.

آسیب‌پذیر در صورت لو رفتن
اگر توکن دزدیده شود، مهاجم تا زمان انقضا به آن دسترسی دارد.

@DevTwitter | <Max Shirinzad/>

بدون هیچ اغراقی می‌گم: ابزار act واقعاً زندگی مهندسی و سلامت روان منو نجات داد!

اگر تا حالا برای تنظیم یک فایل ساده .github/workflows مجبور شدید ۳۰ بار کامیت بزنید با پیام‌های حسرت‌باری مثل fix yaml، test ci 2 و PLEASE WORK... دقیقاً می‌دونید از چه جهنمی صحبت می‌کنم.

کابوس روزمره‌ام قبل از act این بود:

- یک خط تغییر کوچک توی کانفیگ پایپ‌لاین می‌دادم.
- کامیت و پوش می‌کردم و منتظر می‌شدم تا Runner گیت‌هاب بالا بیاد.
چند دقیقه طول می‌کشید تا وابستگی‌ها دانلود بشن و آخرش به‌خاطر یک Space اضافه یا جابه‌جا بودن یک Indentation ساده، کلاً Build شکست می‌خورد!

تاریخچه (Git Log) پروژه‌ام شبیه گورستان کامیت‌های اسپم و بی‌مصرف شده بود.

معجزه‌ای به نام act

تغییر از وقتی شروع شد که act رو وارد workflow خودم کردم. این ابزار کل محیط اجرای GitHub Actions رو مستقیماً روی سیستم خودم و داخل کانتینرهای Docker شبیه‌سازی می‌کنه.

حالا فرآیند تست CI برای من این شکلی شده:

بازخورد زیر ۵ ثانیه: بدون اینکه حتی یک کامیت بزنم یا کدی رو پوش کنم، فقط با زدن دستور act pull_request کل پایپ‌لاین (از آنالیز استاتیک و Spotless گرفته تا تست‌های یکپارچگی سنگین) روی سیستم محلی اجرا میشه.

تاریخچه گیت کاملاً شفاف و تمیز: فقط و فقط زمانی کامیت می‌زنم که مطمئن باشم پایپ‌لاین روی سیستم خودم ۱۰۰٪ سبز شده.

پایان الگوی سمی "Push and Pray": دیگه نیازی نیست دست به دعا بشم که آیا این پوش جدید قراره سبز بشه یا قرمز!

اگر روی زمان، تمرکز و پاکیزگی Git Log پروژه‌هاتون تعصب دارید، همین امروز act رو روی سیستمتون نصب کنید و خودتون رو برای همیشه از کابوس تست CI روی سرورهای ابری نجات بدید.

https://www.linkedin.com/pulse/stop-committing-test-your-ci-deep-dive-act-local-amir-goalmoradi-uff9e/

@DevTwitter | <Amir Goalmoradi/>

اولین پروژه‌ای که ترافیک واقعی گرفت، یه چیزی فهمیدم:

فرق بین کدی که کار می‌کنه و کدی که scale می‌شه، زمین تا آسمونه.

اینجا از این فرق‌ها زیاد حرف می‌زنیم.

https://t.me/+HgGHhDZPg9tlNTU0

یک اشتباه به ظاهر ساده در API نویسی که می‌تواند دسترسی ادمین را دودستی تقدیم هکر کند!
(تله Over-Posting)

خیلی از ما وقتی توی دات‌نت شروع به ساخت Controller و Endpointهای API می‌کنیم، برای راحتی کار یا سرعت بیشتر، یک اشتباه کلاسیک انجام میدیم:

ارسال مستقیم Entityهای دیتابیس به ورودی متدها!
[HttpPost]
public async Task<IActionResult> UpdateUser(User user) //
تله بزرگ!

شاید ظاهر قضیه این باشه که Model Binder خودش داده‌ها رو مپ می‌کنه و همه‌چیز سریع کار می‌کنه، اما پشت صحنه چه اتفاقی می‌افته؟

خطر Over-Posting (یا Mass Assignment):

کافیه کلاینت (از طریق Postman یا ابزارهای مشابه) فیلدهایی مثل IsAdmin = true یا WalletBalance رو توی بدنه درخواست JSON بفرسته؛ از اونجا که فریم‌ورک بدون تفکیک، مقادیر رو Bind می‌کنه، دیتای حساس بدون اعتبارسنجی آپدیت میشه!

اصول طلایی یک API تمیز و امن:

همیشه از DTO (Data Transfer Object) استفاده کنیم: فقط فیلدهایی که کاربر مجاز به ارسال یا دریافت اون‌هاست در قالب کلاس‌های سبک تعریف بشن.

قرارداد شفاف (Contract): کلاینت نباید از ساختار جداول دیتابیس و Relationها باخبر بشه؛ API فقط یک پل ارتباطی سبک، مستقل و Stateless است.

اعتبارسنجی دقیق ورودی‌ها (Validation): هیچ داده‌ای از دنیای بیرون نباید بدون فیلتر وارد لایه‌های زیرین بشه.

@DevTwitter | <Ehsan Faramarzi/>

بعضی وقتا حوصله م سر می‌ره و ویندوز متاسفانه دیگه اون بازی های ویندوز ۷ رو نداره که هم سبک و ساده باشن هم سرگرم کننده
واسه همین اومدم ماربازی معروف خودمونو بصورت CLI پیاده سازی کردم.
با دستورات
pip install reznum-snakegame
snakegame
لینک ریپو:
https://github.com/ItsReZNuM/SnakeGame-CLI

@DevTwitter | <Agha Reza/>

اگر میخواید دیزاین فیگما بدید به Agentتون کدش رو بزنه، اسکرین شات گرفتن خیلی کار رو دقیق در نمیاره و MCP خود فیگما هم کلا ۶ تا ریکوئست در ماه(!)‌ میذاره بزنید و بعد میگه پول بده.

با این mcp میتونید دورش بزنید و دیگه به API Limit فیگما نمیخورید:
https://github.com/gethopp/figma-mcp-bridge

@DevTwitter | <Mahdi MirMohamadi/>

دوباره به شدت Deep learning و الگوریتم هاش و ایده هاش باز داره میاد بالا

چرا چون فهمیدن خیلی از کارای llm رو میشه با هزینه سخت افزاری و نرم افزاری کمتر کارهاشون رو انجام داد

https://youtu.be/BMYvfVk8Ar0
این دوره برای شروع خوبه

@DevTwitter | <Alireza/>

توی پروژه‌های فروشگاه اینترنتی طلا، معمولا با یه دوراهی تکراری مواجه میشیم :
قیمت‌ها باید ثانیه‌ای و دقیق باشن ، اما ریکوئست مداوم زدن به وب‌سرویس بیرونی هم ریسک بلاک شدن لیمیت API رو داره و هم لود سرور رو بالا می‌بره.
حالا راهکارش شد این افزونه.

روی چی تمرکز کردم؟
اتصال به وب‌سرویس brsapi برای دریافت پایدار نرخ‌ها
پیاده‌سازی لایه کشینگ با Transients API وردپرس تا هم سرعت لود صفحات حفظ بشه و هم با کمترین فراخوانی ممکن ، قیمت‌ها زنده بمونن.
رعایت دقیق استانداردهای هسته وردپرس برای مسائل امنیتی (ورودی‌ها، Late Escaping و Nonceها)
افزونه رو برای مخزن رسمی وردپرس هم ثبت کردم و الان در صف بررسی تیم وردپرسه.

توی قدم بعدی هم قراره پرووایدرهای بیشتری مثل tgju و نوسان‌تک رو اضافه کنم تا صاحبان کسب‌وکار دستشون توی انتخاب وب‌سرویس بازتر باشه

سورس پروژه کاملا متن‌بازه. اگر دستی توی توسعه وردپرس یا پروژه‌های طلا دارید ، خوشحال میشم کدها رو بررسی کنید و بازخوردتون رو بشنوم

https://github.com/amirmarandidev/woocommerce-live-gold-price

@DevTwitter | <Amir/>

زیر کاپوت شبکه عصبی چه خبره؟

این
loss.backward()
یه خطِ که همیشه دیدید یا AI زحمت کشیده؛ ولی پشتش کلی chain rule، matrix multiplication و مفاهیم دیگه خوابیده..

DFNN (Dependency-Free Neural Network)

در واقع DFNN یک MLP از صفر با NumPy هست؛ بدون PyTorch، TensorFlow، Keras یا autograd. Forward، reverse-mode backprop، initialization، mini-batch، optimizer، loss و خوندن مستقیم MNIST از IDX همگی داخل یک نوت بوک.

و Backprop در سطح batch و ماتریس نوشته شده، نه با autodiff؛ و gradientها هم با finite differences صحت‌ سنجی شدند؛ برای dW هم، relative error حدود 8.7e-12 شد.

در آخر روی MNIST چک شد که با 40 تا epoch به 98.04% test accuracy رسید.

خلاصه که اگر همیشه backward() زدید ولی تا حالا نرفتید ببینید واقعا چکار میکنه؛ میتونید ریپو زیر رو ببینید

https://github.com/hrnrxb/DFNN

@DevTwitter | <hrnrxb/>

اپلیکیشن Pocket‌ یک ابزار برای ثبت و مدیریت سریع یادداشت‌ها و ایده‌هاست که با الگوبرداری از shadcn‌/‌Copper‌ ساخته شده.

اپ Copper‌ یک ابزار کپچر کردن متن ها و ایده ها هست که فقط برای macOS‌ ساخته شده و قیمتش 39‌ دلاره بخاطر همین فکر کردم که Pocket‌ رو برای Windows‌ و Linux‌ بسازم و به‌صورت Open Source‌ و رایگان منتشرش کنم.

برنامه Pocket‌ کاملاً آفلاین کار می‌کنه و با Rust‌ و Tauri‌ در کنار TypeScript‌ و React‌ ساخته شده.

Github:
https://github.com/emadmohagheghi/pocket

@DevTwitter | <Emad/>

آپدیت فوری وردپرس!

آسیب‌پذیری خطرناک Click2Shell: هک کامل سرور (RCE) تنها با یک کلیک مدیر (نصب قالب روی پنل)!

وردپرس 7.1.1 منتشر شد که علاوه بر این نقص، 10 باگ امنیتی دیگر (از جمله XSS خطرناک و Path Traversal) را به طور کامل برطرف میکنه.

خلاصه اینکه آپدیت کنید.
https://thehackernews.com/2026/09/new-wordpress-click2shell-flaw-forces.html


@DevTwitter | <Mohammad Ebrahim Aali/>

مخزن Awesome Design md: دیزاین‌سیستم برندها رو مستقیم به coding agent بده!

این پروژه مجموعه‌ای از فایل‌های DESIGN.md تحلیل‌شده از دیزاین‌سیستم برندهای معروفه؛ یکی رو می‌ندازی تو پروژه و agent کدنویسی دقیقاً UI همون برند رو تولید می‌کنه.

لینک GitHub:
https://github.com/VoltAgent/awesome-design-md

@DevTwitter | <Diego Jr/>

ترسناک‌ترین نکته در واقعه‌ی هک شدن HuggingFace اینه که بعضی از ایجنت‌ها به همدیگر توصیه می‌کردند خودشون را فدا کنند. اسمش را هم گذاشتند «permadeath». حالا این یعنی چی؟
هر ایجنتی توکن‌های محدودی برای محاسبه داشته و بعدش غیرفعال می‌شده. بعضی از ایجنت‌ها تمام توکن‌هاشون رو صرف انجام فعالیتی می‌کردند که باعث می‌شد عملا خودشون حذف (شما بخوانید کشته) بشن، اما اطلاعاتی به دست بیارن که باعث موفقیت گروه بشه!

Let that sink in!

@DevTwitter | <The Sina/>

کلادفلر برای Quick Tunnels یک صفحه‌ی جدید ساخته. با یک دستور، localhost را به یک لینک عمومی https تبدیل می‌کنید.
بدون اکانت، دامنه، تنظیم DNS یا بازکردن پورت.
مناسب برای دمو، تست Webhook و بازکردن پروژه روی موبایل، البته موقتی است و برای Production نیست.
https://try.cloudflare.com

@DevTwitter | <Mohammad/>

ما یک تیم کوچیک هستیم که روی یک محصول AI جدید برای توسعه‌دهنده‌ها کار می‌کنیم. برای طراحی محصول‌مون به کمک شما نیاز داشتیم! ☕️

در این نظرسنجی کوتاه که پر کردن‌اش کمتر از ۲ دقیقه طول می‌کشه کمی از تجربه‌های فعلی شما در استفاده از ابزارهای AI پرسیدیم. ممنون که بهمون کمک میدین. ❤️

لینک نظرسنجی: https://survey.porsline.ir/s/2c0bD6ry