TGTGInsighttelegram intelligenceLIVE / telegram public index
← Python Заметки

TGINSIGHT SIMILAR POSTS

Најди сличен содржај

Изворен канал @pythonotes · Post #336 · 22 мај

Популярность имеет свои минусы. Чем популярней язык программирования, тем выше его распространённость, а значит найдутся те кто поспешит воспользоваться этим. С ростом популярности Python всё больше на PyPi появляется вредоносных пакетов. Трояны, стиллеры и доставщики более опасных вредоносов. Команда PyPi постоянно мониторит подобные случаи но и их возможности достигли предела. В результате сервис временно закрывает возможность заливки новых пакетов и регистрации юзеров. PyPI new user and new project registrations temporarily suspended Возможно одной из причин большого наплыва вредоносов является резко возросшая доступность их создания. Сегодня любой, даже не программист, может попросить у ChatGPT написать необходимый код и все инструкции для атаки. Основной тип атаки - рассчёт на опечатку в названии пакета. Если невнимательный программист случайно установит pilow или djangoo, считай что вредонос уже в системе. Чтобы избежать подобных факапов я рекомендую: ▫️ Всегда работайте в виртуальном окружении, неизвестные проекты устанавливайте внутри контейнеров. ▫️ Используйте файл requirements.txt вместо ручной установки пакетов ▫️ Очень внимательно пишите названия пакетов, а после написания проверьте еще раз. Сверьте с названием из документации. ▫️ После успешных тестов всегда фиксируйте версию пакета. Бывали случаи когда опасный код добавляли в новые версии. К тому же и без этой опасности не рекомендуется ставить по умолчанию последнюю версию. ▫️ Используйте вспомогательные инструменты для проверки безопасности, например https://pyup.io/safety или https://github.com/PyCQA/bandit. Они помогут не только найти опасный код в чужих пакетах, но и ваш код проверит на уязвимости. Будем надеяться что PyPi переосмыслит методы борьбы с вредоносами, например внедрит ИИ для проверки как симметричный шаг. #offtop

Hashtags

Резултати

Пронајдени 1 слични објави

Пребарај: #buildtools

当前筛选 #buildtools清除筛选
Agili

@agili_channel · Post #31 · 12.03.2026 г., 23:16

⚡️Vite 8 正式发布了:这次不是常规升级,是直接换心脏 Vite 8 最大的变化就一件事:默认 bundler 从 “esbuild + Rollup 双引擎” 变成了 Rolldown 单引擎。 简单说,过去 Vite 开发时靠 esbuild,生产构建靠 Rollup,体验很好,但两套 pipeline 一直有历史包袱。现在官方直接把底层统一成 Rust 写的 Rolldown,目标很明确:更快、兼容原有插件生态、顺手把后面的大功能路也铺好。 这次值得看的点: • 🚀构建速度提升很猛:官方给的数据是 10-30x faster than Rollup • 🦀Rolldown 正式入主 Vite:单一 bundler,少很多“开发能跑、生产翻车”的边角差异 • 🔌插件兼容路线没推倒重来:大多数现有 Rollup / Vite 插件可直接用 • 🧰内置能力继续补齐:Devtools、tsconfig paths 支持、emitDecoratorMetadata、Wasm SSR 都进来了 • 🤖对 AI Coding 很友好:server.forwardConsole 能把浏览器 console/error 直接转发到终端,Agent 调试前端时更顺手 • 📦还顺手上线了插件目录:registry.vite.dev,以后找插件不用满 npm 乱翻 官方给出的真实案例也挺能打: • Linear:46s → 6s • Ramp:构建时间下降 57% • Beehiiv:下降 64% • Mercedes-Benz.io:最多下降 38% 这波不是 benchmark PPT,已经有一批真实项目提前踩过了。 社区早期反馈也挺一致: • Hacker News 上现在讨论还不多,但已有开发者反馈:“不想再回到没有 Vite 的前端开发”、beta 已经用了几个月,体验很顺 • Reddit 上几个帖子标题几乎都在强调一个点:“Vite 8 = Rust 化”。这说明大家最关心的不是小 feature,而是这次底层换代到底值不值 Agili 点评: 这版本我会给很高分。不是因为它又加了几个配置项,而是 Vite 终于把历史架构债往前推进了一大步。 过去 Vite 的成功,本质上靠的是“前端开发体验几乎秒开”。但随着项目越来越大、插件越来越多、框架越来越重,双 bundler 模式迟早会碰到天花板。现在直接把核心栈统一到 Rolldown + Oxc 这条线上,后面很多东西才有机会继续提速: • 更稳定的一致性 • 更大的优化空间 • 更像一个完整 toolchain,而不只是 dev server + bundler 拼装 但也别无脑开香槟,有几个坑要注意: • ⚠️复杂项目先别裸升生产:官方虽然做了兼容层,但你如果 rollupOptions、自定义插件、奇怪 loader 配得很野,还是建议先开分支压测 • ⚠️Node 版本门槛没降:还是要求 Node 20.19+ / 22.12+ • ⚠️tsconfigPaths 不是默认开:而且官方明确说有一点性能开销 • ⚠️生态真正稳定还得看一两轮小版本:尤其是依赖冷门插件和框架集成的项目 适合谁现在就上? • 新项目:直接上,没啥好犹豫的 • 中小型业务项目:可以开始试升,收益大概率明显 • 插件多、构建链复杂的大仓库:建议先在 CI 跑一轮,再看产物 diff 和构建耗时 前端这几年最缺的不是新概念,是把又慢又碎的工具链重新做顺。Vite 8 这次干的,刚好就是这件事。 原文:https://vite.dev/blog/announcing-vite8 插件目录:https://registry.vite.dev #Vite#Frontend#JavaScript#Rust#BuildTools