меня упомянули в repost.uz ⌨️

По словам лид-разработчика Исломбека Салимова, решение, MVP которого создали за неделю, упрощает работу врачей с документацией и помогает в анализе медицинских данных.

Увидел интересный PullRequest в популярном CSS-фреймворке Tailwind.

Он сам бесплатный, но есть платные шаблоны и готовые компоненты на основе этого фреймворка и своя поддержка. На этом их команда зарабатывает.

В пулле реализовали идею, где на отдельной странице /llm.txt будет одна большая текстовая страница всей документации, к который должны будут подключаться LLM и кодинг агенты и быстрее находить нужную информацию.

И вот в пулле авторов прямо пишет, что из-за ИИ люди и так перестали заходить к ним на сайт и брать платные решения и эту идею они не хотят сейчас принимать. Итог: Выручка просела на 80%, трафик на документацию упал на 40%, 75% из команды инженеров потеряли работу 🫡

Такие вот дела...

понятно 😬

График роста здвезд у openclaw в гитхабе.
linux & react уже догоняющие 😂

CSP – защита вашего сайта за одну строку 🔒

Представьте: у вас магазин. Вы говорите охраннику – пускай только знакомых, остальных разворачивай. Content Security Policy работает точно так же, только для сайта. Этот HTTP-заголовок говорит браузеру: загружай ресурсы только из этих источников, остальное блокируй.

Почему это актуально именно сейчас?
Люди каждый день вводят свои данные на сайтах. Если на таком сайте нет CSP, злоумышленник может внедрить свой скрипт на страницу и перехватить эти данные. Это называется XSS-атака, и это один из самых распространённых видов взлома в вебе.

При этом многие локальные проекты до сих пор запускаются без базовых заголовков безопасности. Просто потому что "и так работает" 🙂

Как это выглядит на практике ✏️
Одна строка:

Content-Security-Policy: default-src 'self'

Теперь браузер будет загружать ресурсы только с вашего домена. Чужой скрипт, который кто-то вставит через уязвимость, браузер его просто не выполнит.

Нужны внешние сервисы?

script-src 'self' https://mc.yandex.ru https://analytics.google.com;
connect-src 'self' https://www.google-analytics.com;

Яндекс.Метрика, Гугл аналитика работают, остальные – нет.


Как внедрять без боли ⚡️
Главная ошибка – включить строгую политику на проде и зблокировать все. Есть безопасный путь. Сначала включаете режим наблюдения:

Content-Security-Policy-Report-Only: default-src 'self'

Он ничего не блокирует, а просто показывает в консоли браузера, что было бы заблокировано. Смотрите, корректируете правила, и только потом включаете настоящую блокировку.


Где прописывать ⁉️
Можно прописать в Nginx конфиге, если сайт работает на Nuxt или Next.js – можно настроить через конфиг проекта или middleware.


CSP не стоит денег, не замедляет сайт и внедряется за час. При этом закрывает целый класс уязвимостей. Если сайт работает с персональными данными, то считаю необходимостью настраивать CSP.

Пока коллеги делали вид что работают, я запилил браузерную merge-игру в стиле Watermelon Game, но про языки программирования.

Стреляешь орбами снизу вверх, одинаковые языки сливаются и эволюционируют.

Из интересного:
• Физика на Matter.js, каждый язык – свой полигон (треугольник у Binary, почти круг у AI)
• Случайные абилки на орбах: притяжение, взрыв, буст вверх
• Cyberpunk neon визуал
• Работает прямо в браузере, без установки

Код разбит по модулям, есть CLAUDE.md. Так что AI сам разберется что к чему если продолжу(точнее продолжит) 😄

Итого: ~3 часа рабочего времени потрачено с пользой

[ссылка на игру]

#gamedev #javascript

Недавно писал, что делаю бота "для себя"

Ну, «для себя» оказался с Premium-подпиской, стриками и трекером веса 🤡

Если коротко – кидаем фото еды или пишем текстом, бот считает калории и все пишет в дневник. Без приложений, прямо в телеграм :)

Пока живет на бесплатном тарифе (3 фото/день). Кому нужно больше — есть Premium.

Попробуем и делимся фидбеками(буду все учитывать, честно): @my_calories_counting_bot