Якщо ви раптом пропустили вже два місяці як у документації є Node.js Security Best Practices.

Як перевірити локальне середовище?
#list #cli

Сьогодні розповім як провести troubleshooting локального середовища.

1️⃣ Контролюйте змінні оточення за допомогою команди env. Нагадаю, що dotenv за замовчуванням має override false. Змінна PATH визначає, у яких папках OS буде шукати виконувані файли.
2️⃣ Використовуйте команду which, щоб перевірити що використовується правильний виконуваний файл. Приклад: which yarn
Якщо ви використовуєте nvm, то результат буде таким:
/Users/{{username}}/.nvm/versions/node/v18.12.1/bin/yarn
3️⃣ Перевіряйте версії використовуючи --version. Приклад: npm --version. Пам'ятаємо про Dev/prod parity. До речі версію npm краще використовувати яка йде у Node.js.
4️⃣ Використовуйте npm doctor, щоб перевірити права.
5️⃣ Перевіряйте конфігурацію:
git config --list --global
npm config list

Як запустити Node.js debug mode?
#nodejs_api

Для налагодження Node.js використовується Inspector Protocol. Його можна запустити:
👉 під час запуску за допомогою CLI аргументу --inspect
👉 під час запуску за допомогою env var NODE_OPTIONS='--inspect'
👉 під час роботи за допомогою відправлення SIGUSR1
👉 на рівні коду за допомогою inspector.open

Після цього до ноди можна буде підключитись за допомогою вашої IDE.

Сьогодні вийшов реліз Node.js v18.13.0.
#nodejs_api

Цей мінорний реліз містить оновлює ICU (бібліотека для інтернаціоналізації) v71.1➡️v72.1. Якщо ваш застосунок використовує активно timezone, internationalization, etс, то це оновлення є breaking change. В цьому випадку краще використовувати system-icu. Зміна Time Zone Database 2022a➡️2022e означає правильний правопис нашої таймзони 🇺🇦 Europe/Kyiv

Повний опис у блозі. Для нових Docker images чекаємо pull.

Як уникнути помилок під час створення email шаблону?
#list

Баги в емейлах дуже важко відтворити. Який емейл клієнт використовувався web/mobile/desktop? Цей сам лист чи його перенаправили? Проблема у шаблоні чи змінних?... Замість того, щоб вирішувати ці проблеми, я рекомендую робити правильно з самого початку:
1️⃣ За основу беремо шаблон з популярного сервісу, наприклад sendgrid
2️⃣ Всі рішення щодо верстки звіряємо з caniemail.com. Це аналог caniuse.com
3️⃣ Якщо шаблони зберігаються не в коді, а на сервісі для розсилки листів, то визначаємо, як будемо їх синхронізувати. Приклад AWS SES templates. Немає стандартних рішень, таких як міграція бази даних.
4️⃣ Перевіряємо не тільки html, але text версію листа.

Сьогодні хочу пропіарити вам Excalidraw. Це #service для малювання діаграм, які виглядають намальованими від руки. Минулого тижня в блозі було описано огляд оновлень за 2022. Рекомендую прочитати.
А ще це opensource, тобто ви можете використовувати його у своїх продуктах. Наприклад, його прикрутили для малювання архітектурних #gcp діаграм.

А ви вже ознайомилися з The State of JS 2022? Ось мої коментарі:

👉 Розділ Resources дуже корисний. Я додав більше 20 підписок на різні ресурси. У списку людей, кого читають, було приємно побачити Іллю Клімова.
👉 У розділу Libraries немає back-end фреймворків. Їх перемістили у Other Tools->Back-end Frameworks. У фаворитах: express, nestjs, fastify.
👉 Розділ Awards підштовхує до експерименту із заміни webpack у NestJS на Vite.
👉 Розділи Usage та Opinions тільки підкреслюють, що входити в розробку з кожним роком все важче і що TypeScript won.

Що таке Exclusion Constraint у Postgresql?
#database

Exclusion Constraint це тип обмеження, який дозволяє вказати, що значення в стовпці або наборі стовпців не повинні перекриватися зі значеннями в іншому стовпці або наборі стовпців. Це корисно для дотримання бізнес-правил або забезпечення цілісності даних.

Наприклад, скажімо, у вас є таблиця, яка представляє календар, і ви хочете переконатися, що дві події не можуть бути заплановані одночасно. Ви можете додати до таблиці обмеження виключення, яке перевіряє час початку та завершення подій на наявність збігів.

CREATE EXTENSION IF NOT EXISTS "btree_gist";
CREATE TABLE calendar (
  id serial primary key,
  user_id integer not null,
  start_time timestamp without time zone,
  end_time timestamp without time zone,
  EXCLUDE USING gist (user_id with =, tsrange(start_time, end_time, '[)') with &&)
);

У цьому прикладі ми використовуємо ключове слово EXCLUDE для створення Exclusion Constraint, яке перевіряє наявність перекриття між стовпцями start_time, end_time та user_id. Вираз USING gist повідомляє PostgreSQL використовувати метод індексу Generalized Search Tree (GiST) для забезпечення обмеження. Для цього нам допоможе btree-gist.

Після створення таблиці ми можемо вставляти в неї рядки, але будь-яка спроба вставити рядок, який порушує обмеження виключення, призведе до помилки. Приклад:

INSERT INTO calendar (user_id, start_time, end_time)
VALUES (1, '2023-01-01 10:00:00', '2023-01-01 11:00:00');
INSERT INTO calendar (user_id, start_time, end_time)
VALUES (1, '2023-01-01 10:30:00', '2023-01-01 11:30:00');

Варто зазначити, що Exclusion Constraint як і всякий сonstraint сповільнює вставку.

‍Як «дрібні» донати допомагають бійцям

Серед деяких людей існує думка що донати на невеликі волонтерські ініціативи не дають великого внеску в перемогу. Мовляв, нам західні партнери дають зброї на сотні мільйонів доларів, ось це має значення, а що там ваш збір корч? І взагалі, держава має платити, чого це громадяни повинні забезпечувати армію?

Переконаний, що це неправильно. Дійсно, хімарси, 777, бойові машини та безпілотники які нам надають в рамках військової підтримки, значать дуже багато. Але не менше значить комфорт конкретного бійця у конкретному окопі.

Кожна наша з вами витрачена гривня що йде на автівки, на амуніцію, на їжу, на спальники, на взуття, на грілки, на павербанки та екофлоу, на дрони, кожна наша гривня працює на фронті.

Так, без 777 не буде точної роботи по позиціях кацапів, але коли цією 777 керують бійці що добре та смачно поїли, виспалися в теплі, вдягнені у комфортне та тепле взуття з одягом, а роботу коригують за допомогою мавіка — результат буде кращий ніж без цього всього.

Кілька тижнів тому Капелан покликав нас з дружиною на тренінг по виживанню в умовах війни. Тренінг читав боєць, військовий. Він був досить довгий, але одна з речей, на яких робився наголос, це те що потрібно постійно дбати про комфорт та зручність. Навіть найменші покращення у побуті можуть радикально вплинути на боєздатність людини.

Тому наші бійці мають мати найкращі сухпаї, найтепліші спальники, найзручніше взуття, тепловізори та нічники, легкі магазини, генератори, зарядні станції, та автівки, щоб це все возити на позиції.

Тому аж поки моя робота дозволить поліпшити повсякденне життя та комфорт хоч одного бійця, я буду працювати для цього.

Так, війна це чорна діра де щезають людські життя та матеріальні цінності. Так, буває таке що автівку купили, а через два тижні її вже посікло вщент, дрона збили, а в располагу бійців попали й погоріла вся амуніція. Але це війна. Якщо не ми їх, то вони нас.

Тому я вибираю щоденну підтримку армії донатами та закликаю вас до того ж.

На світлині боєць отримує тактичні навушники, на які ми з вами збирали через @Donate1024Bot.

#війна
permalink | @full_of_hatred
👇Щоденні донати💰на ЗСУ🪖
🫡@Donate1024Bot

Покликали взяти участь. Приходьте послухати та додавайте запитання.

Обговоримо, яким буде ІТ-ринок України у 2023 році? 😉📢

📅 19 січня, в четвер, о 19:00 в телеграм-каналі @doucommunity проведемо войсчат, присвячений тенденціям та прогнозам на цей рік.

Торкнемося таких тем:
📎 Ринок працедавця. Що це означає для кандидатів та тих, хто планує пошуки роботи в ІТ?
📎 Чи дійсно українські ІТ-спеціалісти в «чорному списку» західних замовників?
📎 Military Tech. Які перспективи?
📎 Релокація ІТ-бізнесу та її наслідки.
📎 Інші теми, адже кожен слухач зможе поставити своє питання.

Відмічайтесь в івенті: https://dou.ua/goto/u0at

Що перевірити при розгортанні API?
#list #devops #cloud

1️⃣ Чи є Load Balancer?
Без нього масштабування не можливо.
2️⃣ Чи включений редирект з http на https?
Ваше API має працювати тільки по https.
3️⃣ Чи включений HTTP/3?
74% користувачів мають браузер з підтримкою HTTP/3.
4️⃣ Чи налаштовано стискання (compression)? Які методи підтримуються?
Load Balancer має цю відповідальність, а не Node.js
5️⃣ Чи має публічне API кешування?
Поділ публічного та приватного API (яке вимагає авторизації) відповідальність розробників, а ось налаштувати Load Balancer-а – DevOps інженер.

Як правильно передавати стан між middleware?

Найчастіше Node.js API створюється за допомогою мідлеварів. У їхньому ланцюжку необхідно передавати стан. Наприклад, в мідлеварі Auth ми провалідували токен і визначили користувача, до якого нам необхідний доступ в наступних мідлеварах. Навіть синьйор розробники додають стан прямо в корінь об'єкта response або request. Як результат, необхідно розширювати типізацію самої бібліотеки. Але автори бібліотек вже передбачили, куди ви можете додати ваш стан. Ось список:

👉 express – res.locals. Якщо ви звикли працювати саме з req, то нагадую що можна використовувати req.res.locals.
👉 fastify – fastify.decorateRequest. Чудова ідея. Перш ніж покласти щось в об'єкт – розшир його.
👉 koa – ctx.state. Найінтуїтивніше зрозумілий підхід. На жаль, бібліотека не розвивається та втратила свою популярність.
👉nest – залежно від адаптера ми використовуємо express чи fastify, тому дотримуємося їх рекомендацій. У контролерах краще використовувати createParamDecorator для звернення до стану.

Наприкінці листопада вийшов WebStorm 2022.3. У ньому додали новий UI. Рекомендую його увімкнути, якщо ви це ще не зробили.

Як завдання не варто вирішувати за допомогою Node.js?
#nodejs_api #list

👉 CPU Intensive Tasks, тобто завдання, що навантажують процесор. Типова відповідь на інтерв'ю включає лише цей варіант. Якщо таке завдання необхідно вирішити, то тут варто використовувати передкалькуляцію з кешуванням або Worker threads/Child process.
👉 Aggregation, окремий випадок CPU Intensive завдання, у якому требо разрахувати якісь метрики. Наприклад, мінімальна/максимальна ціна за торговий день. Тут краще використовувати функції DB.
👉 Compression. Ми перекладаємо це завдання на інфраструктуру, щоб зайвий раз не навантажувати процесор.
👉 Rate Limiting. Ще одне типове завдання для інфраструктури, інакше легко заблокувати масштабування.
👉 Serve Static. За це має відповідати CDN, у якому Node.js може бути лише джерелом статики.
👉 File Uploads. Не варто використовувати Node.js як проксі для завантаження файлу в S3. Для цього є signed url.

Публікуємо запис войсчату "Українське ІТ у 2023-му" 📢

Обговорили тенденції та прогнози — яким буде ІТ-ринок України у 2023 році.

🗣 Спікери:
💬 Нікіта Галкін, System Architect, Node.js Tech Speaker, незалежний консультант
💬 Олеся Коронівська, топрекрутерка з VP Team
💬 Ігор Костів, молодший віцепрезидент та керівник Львівської локації GlobalLogic

Запис і таймкоди за лінком 👉 https://dou.ua/goto/duJ5

Яка різниця між операційними та помилками програміста?

Операційні помилки (operational errors) – це очікувані помилки, які можуть виникнути під час виконання програми. Це не обов’язково помилки, а зовнішні обставини, які можуть порушити процес виконання програми. Їх необхідно обробляти. Ось деякі приклади операційних помилок:
– сервер отримав недійсні дані, наприклад недійсну електронну адресу
– мікросервіс не відповів
– на кредитній картці недостатньо грошей

Помилки програміста (programmer errors) — це помилки в логіці або синтаксисі програми, які можна виправити, лише змінивши вихідний код. Ці типи помилок не можна обробляти. Приклади:
– класика "Cannot read properties of undefined"
– SyntaxError
– помилка в SQL

⚠️Найважливіше⚠️ не оброблена операційна помилка перетворюється на помилку програміста.

Наведу ще коротке порівняння для Node.js runtime.

Операційні помилки:
– Рівень логування: warn
– Error stack trace: не обов'язковий
– http коди відповіді: 4xx, 502, 504
– error tracing/collecting: не потрібно. Використовується агрегація логів

Помилки програміста:
– Рівень логування: error/fatal
– Error stack trace: обов'язковий
– http коди відповіді: 500
– error tracing/collecting: за допомогою sentry/stackdriver/etc

Як правильно реалізується 12-й фактор у NestJS?
#nestjs #devops
Нагадаю, що XII фактор це "Задачі адміністрування". Він визначає:
1️⃣ Запуск міграції бази даних
2️⃣ Запуск консолі (REPL) для виконання довільного коду або перевірки моделі застосунку на діючій базі даних
3️⃣ Запуск разових скриптів, збережених в репозиторії застосунку

⚠️ Стратегія розгортання повинна визначати процес застосування міграцій.

NestJS екосистема пропонує нам:
1️⃣ Migrations, щоб синхронізувати схему бази даних та код.
2️⃣ NestJS REPL, для одноразових адміністративних завдань.
3️⃣ Nest Commander/nestjs-command, для регулярних адміністративних завдань.

Конкретні приклади за мій минулий тиждень:
1️⃣ Додав нове поле у модель та згенерував міграцію за допомогою migration:generate.
2️⃣ За допомогою REPL та Stripe Dashboard зробив refund, бо бізнес поки що не готовий це автоматизувати.
3️⃣ Використов CLI, щоб оновити SendGrid шаблони відповідно до змін коду, як про це писав тут

Власне ідея рецепту, нагадати, що у нас є REPL та кілька зручних бібліотек, щоб зручно та швидко писати CLI. Тож користуйтеся ними!

Сьогодні можуть фіналізувати, що ж входитиме до Interop 2023. Ця ініціатива була започаткована в 2019 році представниками трьох основних браузерів. Її мета — усунути невідповідності між браузерами. Interop є частиною web-platform-tests.org, де автоматично перевіряються реалізації API браузерів. Очевидно, що фокус у 2023 матиме сильний вплив на фронтенд-розробників. На Node.js розробку впливатимуть лише прийняті ініціативи з APIs & JavaScript survey. Тож чекаємо фіналізованого Intertop 2023!

Посилання:
👉 підсумок Intertop 2022
👉 Intertop 2022 Readme.md
👉 Introduction to the web-platform-tests
👉 wpt.fyi
👉 html-тега <dialog>. Не плутайте його з однойменним компонентом у вашому дизайні системи (приклад @mui/material/Dialog).

Як організувати "multi time zone" функціонал?
#architecture
Одна зі стандартних вимог для глобальних веб-проектів – це підтримка часових поясів.

1️⃣ Для полегшення архітектури краще використовувати такий поділ відповідальності:
👉 Веб сервер відповідає за обробку та передачу даних в UTC.
👉 Веб клієнт відповідає за відображення date-time у необхідній користувачеві таймзоні та календарі. Нагадаю, що існують країни, які використовують не Григоріанський календар.
⚠️ цей підхід не прибирає потреби у сервера працювати з часовими поясами.

2️⃣ Визначається точність виміру часу. Стандартно це мілісекунди.

3️⃣ Визначається dto serialization (формат передачі у API) для таких сутностей
👉 момент часу. Unix Timestamp (1675096836070) або рядок у форматі ISO 8601 (2023-01-30T16:37:12.661Z)
👉 часовий пояс. Ім'я (Europe/Kyiv)
👉 конкретна дата. ISO 8601(2023-01-30) або момент часу коли почалась ця дата або як інтервал часу.
👉 Тривалість. ISO 8601 format (12H30M5S) або кількість мілісекунд.
👉 Інтервал часу. Як два моменти часу (початок та кінець), або як початок та тривалість, або як один рядок (2023-01-01T13:00:00Z/2023-01-01T15:30:00Z)
Всі прийняті рішення є частиною специфікації вашого API

4️⃣ Визначається на рівні коду або на рівні бази даних відбуватиметься маніпуляція з datetime та timezone. Приклад: клієнт запитує транзакції користувача за 2023-01-30 у таймзоні Europe/Kyiv. Особисто я перекладаю відповідальність фільтації на базу даних.