Проклятие современного айти: протухающие сессии.

Почему-то кто-то где-то решил, что если пользователя не разлогинивать раз в день/неделю/месяц/год, то к нему обязательно придут цыгане и украдут коня, телевизор, портсигар, ну и аккаунт заодно. Что недостаточно шифрования с рандомными миллионобайтовыми ключами, на взлом которых нужен компьютер размером со вселенную и квадрилиард лет. Что если пароль долго не подверждать, то клинопись, которой он записан на жестком диске, сотрется, а сессия, если ее не трогать, просочится через стенки ноутбука в окружающий мир обратным осмосом, прямо в блокнотик подкарауливающему злоумышленнику.

А вот если заставить пользователя раз в неделю проходить через вот этот вот унизительный ритуал, ой, что-то пошло не так (интересно, что, вот бы был способ узнать), вы кто, гражданин? Сессия, какая сессия? Вы всего лишь семьдесят семь раз пользовались нашим сайтом в последние два дня, а пройдите-ка на всякий случай капчу. Где тебе даже логин с паролем не доверяют ввести на одном экране (скоро будет по отдельному экрану на каждую букву пароля, чекайте), но если пользователь будет вбивать пароль собственноручно указательным пальчиком раз в неделю, переписывая с бумажки, которая тут же на мониторе и наклеена, то вот тут-то и наступит настоящая сесурити. Потом еще письмо о подозрительной активности пришлют.

Главное, это такой brainworm (как же нужен аналогичный термин на великомогучем), потому что ЗВУЧИТ ЛОГИЧНО. Не является, а именно звучит. Как будто бы лишние проверки точно не повредят? Как будто бы чаще логинишься — больше сесурити. Это же как паспорт на проходной проверять. Это же так работает. Глядишь, и злоумышленника поймаем. От создателей лечения рутью, сверления черепа при головной боли и других практик, казавшихся ОЧЕНЬ ЛОГИЧНЫМИ.

Правда же в том, что если у тебя украдут сессию, то пожалеешь ты об этом практически сразу. Истекающий через неделю токен тебе никак не поможет. Если хакер не смог украсть у тебя за неделю все деньги и написать всем твоим бывшим, ему не место в профессии. А если не украдут, то и нафига было меня мучать своими логинами? Чтобы я жизнь свою возненавидел?

«Ну а как же, вдруг твой токен найдут через пять лет на купленном на ебее и восстановленном диске в логах?» Ребят, меняйте и обновляйте свои токены сколько вашей душе угодно. Главное — меня не разлогинивайте. Эти две вещи вообще никак не связаны.

«Но ведь идею регулярно разлогинивать наверное не дураки придумали и не на ровном месте?» Как будто никогда такого не было, чтобы кто-то внедрил какую-то в лучшем случае бесполезную практику и все пошли ее копировать друг у друга, не задаваясь библейским вопросом «а не хуйню ли мы делаем?» Как будто ни разу такого не было. Как в первый раз как будто.

«Но публичные компьютеры…» Вы серьезно сейчас? Вы сейчас, блять, серьезно?

Объясните мне тогда. Я за свою жизнь может быть раза два логинился в Гитхаб, Амазон и Гугл. У них там что, дураки сидят? Они что, забили на сесурити? Как такое возможно, что их сессии живут вечно? В куке что, такая опция есть? Почему тогда их до сих пор не взломали? Почему они, с их количеством пользователей, могут себе позволить вечные сессии, а пупинск-залупинск-дот-рф или там опен-ии-дот-ком не может? Что они там такого ценного защищают, мои тупые вопросы?

Короче, не ебите мне мозги пожалуйста. У компьютеров очень хорошая память, если им, блин, не мешать. А мне даже без ваших истекающих сессий хватит логинов на всю оставшуюся жизнь. Мне еще посудомойку на китайских серверах регистрировать и аккаунты к драйверам мышки создавать.

Ваше айти не карго-культ? Как тогда объясните всеобщую любовь к относительным таймстемпам?

Кто-то когда-то решил, что даты, как они хранятся в компьютере ( 2025-02-03T12:20:19.594320Z), не очень человеко-читаемые и надо как-то их облагородить. Было решено сконвертировать их в относительные таймстемпы.

В самом деле, человек не думает форматами год-месяц-день-секунда-миллисекунда. Если кто-то что-то написал пять минут назад, то он так и думает — это было пять минут назад. Это довольно естественно и удобно.

(здесь отступление про то, что как только это изобрели, встала другая проблема — надписи типа «пять секунд назад» устаревают каждую секунду, а «пять минут» — каждую минуту. Так что приходится городить jAvAsCrIpT чтобы они имели смысл. Ну да нам не привыкать — программирование оно все про создание проблем и потом героическое их решение)

Но как только мы пересекаем некий психологический рубеж (я бы сказал — час, но готов согласиться на условные шесть часов, это все приблизительно), люди перестают думать в терминах относительных таймстемпов. Скажем, про коммит, сделанный утром, я думаю, что он был сделан утром, а не «четыре часа назад». Если я вижу «четыре часа», мне еще посчитать надо от текущего времени, что там было, утро или что. Относительные таймстемпы перестают иметь смысл и начинают мешать.

Это довольно естественный переход от относительной ориентации к абсолютной — относительная удобна в непосредственной близости, абсолютная — все остальное время. Скажем, когда я сижу за столом, мне удобно думать о вещах на столе относительно (спереди, справа, слева). Но если я иду по городу, я уже думаю о своем абсолютном положении, где я в городе, а не где город относительно меня.

К проблеме относительности добавляется еще округление, которое никто не умеет делать. 200 дней? Год назад. 366 дней? Два года назад. НИКТО ИЗ ЛЮДЕЙ ТАК НЕ ДУМАЕТ. Даже программисты так не думают. Но продолжают лепить бессмысленные «два года назад» на коммиты из января 2024 (да, у меня есть скриншот) или «день назад» на коммит, сделанный в 23:59, когда смотришь на него в 00:01, и думать, что делают «человеко-читаемые таймстемпы».

Люди не говорят «день назад», люди говорят «вчера». Не «год назад», а «в прошлом году». Но все равно, точность-то теряется, если вы напишете «в прошлом году» на коммите, сделанном в декабре 2024, я вас приду и стукну по голове.

(тут был пассаж, как бы я округлял правильно, но я его удалил, потому что вы же возьмете и реализуете, а пост про то, что относительные таймстемпы не нужны, а не про то, как правильно их сделать)

Короче, что делать?

- На сегодняшних датах пишите: «сегодня 18:20».
- На вчерашних еще можете «вчера 18:20» (именно вчера, прошлые календарные сутки, а не «когда больше чем 24 часа», блин). Тут, внезапно, помогает язык — слово для «вчера» есть, значит людям удобно думать в терминах «вчера-сегодня-завтра». А для два-три-четыре дня назад-вперед уже неудобно.
- Если дата на этой неделе, то «четверг 18:20». Не неделю назад, а НА ЭТОЙ НЕДЕЛЕ. Нехватало мне еще гадать, прошлый имеется в виду четверг или будущий.
- Дальше уже переходите на абсолют: «30 декабря, 07:00».
- Когда меняется год (не равен текущему), добавляйте и год тоже: «30 декабря 2024, 07:00».

Все, блин. ЭТОГО ДОСТАТОЧНО. ЭТО УЖЕ ДОСТАТОЧНО ЧЕЛОВЕКОЧИТАЕМО. «А может...» НЕТ! НЕ МОЖЕТ. Остановитесь. Возьмите свой «семьдесят семь недель назад». Посмотрите на него. В последний раз. И засуньте себе в жопу. И никогда не доставайте. Я все сказал.

От кого или от чего гугл хочет защищать сообщество (какое сообщество?), требуя входить в аккаунт для просмотра видео на ютубе через VPN? И что делать, если я бот, но всё равно хочу смотреть видео? Только неправильные ответы

В свете обсуждений в твиттере и всяких прочих комментах стало любопытно собрать статистику среди своих знакомых.

Последние лет 10 в андроиде был режим "не беспокоить", и всё это время он включался кнопкой в быстрых настройках, которые в шторке уведомлений над, собственно, уведомлениями.

Но несколько дней назад у гугла откуда-то вышло обновление андроида, в котором добавили "режимы". Идея хорошая — теперь можно сделать себе отдельные правила для уведомлений и звонков в зависимости от ситуации. Например, когда спишь — одни, а когда за рулём — другие. Только вот реализация подкачала (а что ещё вы ожидали от маленькой инди-компании). Теперь кнопка в шторке уведомлений называется "режимы", и открывает модальное окно, в котором их можно включать. Даже если режим у тебя всего один. То есть то, что раньше требовало одного нажатия, теперь требует трёх: нажать на кнопку, переключить режим, закрыть модалку.

Меня это так выбесило, что я сегодня потратил полдня на то, чтобы сделать приложение, которое плюс-минус возвращает всё взад: https://github.com/grishka/Android-DND-Toggle

В телеграме очень не хватает возможности скрывать сообщения в каналах по ключевым словам. Как, например, в мастодоне, или даже в твиттере. Я бы первым делом скрыл слова "#реклама" и "erid".

"Вам всё понравилось?"

Есть в нашей цивилизации несколько вещей, которые поражают меня своей нелепостью. Одна из них — культура обслуживания в ресторанах. От страны как будто не зависит, но могу допустить, что в азиатских странах может быть иначе (я всё ещё ни разу не был в Азии).

Вот смотрите. С одной стороны, что-то в ресторанах и прочих заведениях, которые пытаются ими казаться, рассчитано на то, что ты их постоянный клиент. В некоторых из них есть программы лояльности, особенно в сетевых. Часто с достаточно щедрыми скидками. А когда тебе дают меню, часто спрашивают, не хочешь ли ты прямо сразу что-то заказать — вдруг ты не в первый раз, и уже сразу знаешь, чего хочешь.

Но с другой, некоторые взаимодействия явно исходят из того, что ты в этом заведении в первый раз, в этом городе первый день, и вообще родился только вчера. Ну примерно как innie-личности в Severance. Я про вот эти вот вопросы "вам всё понравилось?", "у вас всё в порядке?", "как вам {блюдо, которое ты брал несколько десятков раз до этого}?" и "хорошо ли отдохнули?". Весь этот small talk, от которого любому интроверту начинает хотеться немедленно провалиться под землю. Особенно классно, когда эти вопросы тебе задают, когда ты с полным ртом (удивительно, да, человек заказал еду и ест её), и смотрят ещё на тебя пристально, прямо в душу, в застывшей позе, пока ты не ответишь.

А нелепость, собственно, в этом и состоит — что как-то так блин получается, что один и тот же официант сначала принимает у тебя заказ, который ты делаешь по памяти, не открывая меню, а потом, через какое-то время, он же задаёт эти вопросы. Я мог бы понять либо одно, либо другое. Это было бы логично. Но не и то, и другое сразу, как это происходит почти всегда.

Как наш мир к такому пришёл? Может, есть какие-то исторические причины?

Справедливости ради, стоит отметить, что есть подвижки от одного зла к другому, которое лично я считаю меньшим. В некоторых заведениях ставят планшеты, с которых можно и заказывать, и оплачивать. Официанта видишь только когда он приносит тебе твою еду, и, может быть, бумажное меню. Это всё равно зло, потому что тут уже начинается всякая традиционная айтишная дичь, когда из тебя с помощью тёмных паттернов в интерфейсах пытаются вытащить побольше денег ни за что. Но лучше пусть тебя бесит интерфейс, чем человек. Интерфейс хотя бы не будет испытывать к тебе никаких ответных эмоций и на 100% предсказуем, а это значит, что к нему можно привыкнуть. Первые пару раз будешь фрустрировать, а потом запомнишь, какую последовательность кнопок надо нажимать, и будешь делать это за несколько секунд.

Почему федивёрс, а не блюскай? Ну потому что, например, вот.

В блюскае модерация работает так, что ты подписываешься на "службы модерации", которые размечают контент, а эти метки потом учитываются при формировании лент. Свобода, то-сё. Вроде прикольно. Но тут они решили для исполнения государственной цензуры насильно подписать пользователей из некоторых стран на соответствующие службы. Российская пока ничего не помечала, но аналогичная турецкая уже начала.

А эти "мы", которые это "заметили", они здесь, в этой комнате?

Кажется, плюс-минус одновременно с кринжовым стилем иллюстраций "Corporate Memphis", который заметили все, и который бесит многих, в индустрию пришёл ещё один тренд, на который мало кто обратил внимание — навязчивое использование "мы" в текстах, которые так или иначе автоматически выдаются пользователю программой, являясь, чаще всего, следствием его же собственных действий. Именно автоматически, а не когда это непосредственный результат действий представителя компании-владельца сервиса. Часто встречается в виде "мы заметили".

Примеры:
- Логинишься на какой-то сайт или в какое-то приложение: на экране входа написано "Мы отправили вам SMS с кодом".
- Залогинился на какой-то сайт или в какое-то приложение: на почту приходит письмо "Мы заметили вход с нового устройства".
- Зашёл на сайт международной компании, особенно такой, которая что-то продаёт: модальное окно "Мы заметили, что вы зашли из России, перейти на российский сайт?".
- Недавно ставил Windows 10 на виртуалку для экспериментов над ней, первый запуск: "Мы обо всём позаботимся".
- Система уведомлений, уже в 11й: "Мы заметили, что вы их [уведомления от конкретного приложения] давно не открывали".
- Загружаешь файл в форму комментария на гитхабе, получаешь ошибку "We don't support that file type" (зачем как-то "поддерживать" конкретные типы файлов — тоже хороший вопрос).

И так далее. Это я написал только то, что сам помню, и прошёлся по одному чату, где люди ругаются на интерфейсы в частности и на ИТ-индустрию в целом.

А вы что думаете об этой современной практике "очеловечивания" программного кода? Примеров на самом деле очень много и в 2025 году это уже буквально на каждом шагу. Если раньше не замечали — теперь будете. Простите, живите теперь с этим.

Забавное происходит — многие, кому я показываю Smithereen, говорят что-то типа "ой, да это же та самая стена, ты вернул стену". Но они ошибаются. Это не та самая стена, это как раз "микроблог". То есть у людей произошла подмена понятий, они уже не помнят, что они некогда просили вернуть :)

Распишу тут, чтобы зафиксировать, что представляла из себя та стена ВКонтакте, которую имели в виду в 2010, когда говорили "Дуров, верни стену". Потому что механика была вообще совсем другая, можно даже сказать, непривычная для современных пользователей современных соцсетей.

Во-первых, постить на свою собственную стену было хоть и можно, но это было бессмысленным занятием. Эти посты были видны только тем, кто зайдёт на твою страницу. Если ты хотел написать что-то в ленту новостей, чтобы это увидели твои друзья, это называлось "обновить статус". Статус, который под именем. Редактируешь его и новая версия появляется в новостях у друзей, в формате "Вася Петров {текст статуса}". Там ещё было достаточно жёсткое ограничение на количество символов, 120 по-моему. И точка в конце добавлялась автоматически, если ты её не поставишь. Никаких вложений вроде картинок не было. И ссылки не парсились.

Во-вторых, не было комментирования ни статусов, ни записей на стенах. Если ты видишь у себя в ленте чей-то статус, и хочешь о нём что-то сказать автору, ты заходишь на его страницу и пишешь ему на стене свой комментарий. А отвечал он тебе на твоей стене. А посмотреть эту переписку на стенах можно было по ссылке "тет-а-тет" под любым из таких постов. В Smithereen, кстати, оно есть с самого начала. А в ВК убрали в последнем редизайне (раньше было в выпадающем меню у постов, но только если открыть стену на отдельной странице, т.е. /wallXXX).

В-третьих, лайков и репостов тоже не было ни в каком виде — это часть функциональности микроблога. Но была история статусов, отдельная от стены, опять же. Опросы были только в группах, в обсуждениях их можно было создавать всегда. И по-моему ещё можно было вывести опрос из обсуждения прямо на страницу группы, но это не точно.

То есть, на самом деле, когда просили "вернуть стену", на самом деле просили разделить статусы (писать в ленту друзьям) и стену (получать какие-то комментарии прямо себе на страницу), поскольку при переходе на формат микроблога по сути произошло их слияние воедино. И даже в опросе, который Павел провёл для того, чтобы собрать обратную связь от пользователей (и проигнорировать её), это нововведение называется "комментирование статусов". Такие дела.

О нынешнем состоянии ВК в одной картинке:

Доделал и оттестировал Smithereen 0.10. В этом обновлении:

- Мгновенные уведомления
- Возможность скрывать пользователей из ленты
- Фильтры на слова
- Новый интерфейс уведомлений, более близкий к ВКшному
- Аудиоплеер от Серёжи @jaskiewicz. Из самого Smithereen постить аудиозаписи пока нельзя, но, например, с мастодона можно, это вот для них
- Настройка о том, учитывать ли лайки и репосты в количестве непрочитанных уведомлений
- Онлайны и блок "друзья онлайн" в профилях
- Сортировка списков друзей и групп "по хинтам" (по тому, насколько часто ты с ними взаимодействуешь)
- Подвал на сайте со всякими там политиками конфиденциальности и переключалкой языков
- Поддержка миграции аккаунтов между серверами с участием сервера Smithereen
- Начальная поддержка FASP-служб
- Списки друзей
- Уведомления на почту
- Статусы в профилях
- Как обычно, слишком дофига мелких улучшений и исправлений багов

А ещё это первая версия Smithereen со скриптом для быстрой и удобной установки.

https://github.com/grishka/Smithereen

В продолжение моей критики использования ИИ как рабочего инструмента, годнота из твиттера:

Будущее наступило: на задачу, которая раньше отнимала час, с ИИ уходит всего 70 минут!

Причем только у профессионалов, которые хорошо понимают технологию и имеют механизмы верификации результата. Остальные справляются быстрее и это пугает отдельно.

(для полноты эффекта надо бы ещё чтобы количество ячеек не соответствовало количеству цифр в коде)