NestJS ужасен?

Если что, это не мнение редакции. Так считает пользователь Reddit и при этом он приводит довольно резонные аргументы:

🔘 Множество переусложнённых решений — например, собственная система внедрения зависимостей, которая мешает новичкам и AI‑инструментам, хотя стандарт ES уже предлагает необходимые механизмы.
🔘 Кодовая база излишне сложна без необходимости, а ревью PR занимает больше времени, чем их написание, из-за скрытых побочных эффектов.
🔘 Много дублирующих и самодельных решений: например, NestJS использует внутренний шаблонизатор, сильно похожий на EJS, но написанный с нуля.
🔘 Проблемы с безопасностью: команда медленно реагирует на найденные уязвимости, принимая исправления спустя месяцы, несмотря на готовые PR с демонстрацией проблемы и решения.
🔘 Масса ненужных зависимостей — зачем NestJS включает webpack в продакшн-сборку?!
🔘 Плохая совместимость с экосистемой.

А вы как считаете? Согласны с этими тезисами? Пишите в комментарии, что думаете.

#обсуждение #nestjs

Кликджекинг без JavaScript — это возможно

Researcher Lyra Rebane открыла уязвимость, которая ломает классические защиты: атаку можно провести чистым CSS и SVG, обходя Content Security Policy и X-Frame-Options.

В чём суть:
🔘 SVG фильтры (feBlend, feComposite) работают как полноценные логические вентили;
🔘 можно перехватить пиксели со скрытых iframes, не используя JS;
🔘 защита от XSS есть, но от CSS-атак ещё нет.

Proof-of-concept: атака на Google Docs — украдены текст документа через фальшивую кнопку «Generate Document».

Google выплатила $3133.70 за bug report. Уязвимость всё ещё не пофиксена и затрагивает Chrome, Firefox и другие браузеры.

Полный разбор читайте по ссылке:
https://www.theregister.com/2025/12/05/css_svg_clickjacking/

#безопасность

pyreqwest — новый HTTP-клиент на Rust для Python. GIL-free, HTTP/2 из коробки, sync и async с одинаковым API. Автор — тот же разработчик, который открыл issue #3215 в httpx о 10x просадке производительности при конкурентных запросах.
​
Зачем переходить с httpx
httpx/httpcore имеют давние проблемы с connection pooling — при 20 конкурентных запросах httpx в 10+ раз медленнее aiohttp. Эти баги висят годами. pyreqwest решает их на уровне архитектуры, потому что connection pool реализован на Rust.
​
➡️ Если httpx работает — можно не трогать. Но в высоконагруженных системах он станет бутылочным горлышком.

Фичи
🔘HTTP/1.1 и HTTP/2 (у aiohttp нет HTTP/2)
🔘Автодекомпрессия: zstd, gzip, brotli, deflate
🔘TLS через rustls
🔘Connection pooling, стриминг, multipart
🔘Куки, прокси, редиректы, таймауты
🔘Полные type hints, zero Python-зависимостей
🔘Встроенный мок для тестов + подключение к ASGI напрямую

Быстрый старт:

# uv add pyreqwest

from pyreqwest.client import ClientBuilder, SyncClientBuilder

async def example_async():
    async with ClientBuilder().error_for_status(True).build() as client:
        response = await client.get("https://httpbun.com/get").query({"q": "val"}).build().send()
        print(await response.json())        

def example_sync():
    with SyncClientBuilder().error_for_status(True).build() as client:
        print(client.get("https://httpbun.com/get").query({"q": "val"}).build().send().json())

​
📎 Код на GitHub

@zen_of_python