Издание на сървърната JavaScript платформа Node.js 17.0

Излезе Node.js 17.0, платформа за изпълнение на мрежови приложения на JavaScript. Node.js 17.0 принадлежи към клон с обикновена поддръжка, ъпдейти за който ще бъдат пуснати до юни 2022 година. В следващите дни ще завърши стабилизацията на клон Node.js 16, който ще получи статус LTS и ще се поддържа до април 2024 година. Поддръжката на предишния LTS клон Node.js 14.0 ще продължи до април 2023 година, а на пред-предишния LTS клон 12.0 до април 2022 година.

Основни подобрения:

• Двигателят V8 е обновен до версия 9.5.
• Продолжена реализация вариантов базового API, основанных на использовании интерфейса асинхронных вычислений Promise. В дополнение к ранее предложенным API Timers Promises и Streams Promises в Node.js 17.0 представлен API Readline Promise для построчного чтения данных с использованием модуля readline. import * as readline from ‘node:readline/promises’; import { stdin as input, stdout as output } from ‘process’; const rl = readline.createInterface({ input, output }); const answer = await rl.question(‘What do you think of Node.js?’); console.log(‘Thank you for your valuable feedback: ${answer}’); rl.close();
• Включената библиотека OpenSSL е обновена до версия 3.0 (използван е fork quictls/openssl с включена поддръжка на протокол QUIC).
• Осигурено е извеждането на версията на Node.js в стаковите трасировки, показвани при фатални грешки, водещи до спиране на приложението.

Може да се спомене и отстраняването на две уязвимости в актуалните клонове на Node.js (CVE-2021-22959, CVE-2021-22960), които позволяват атаки от типа „HTTP Request Smuggling“ (HRS), позволяващи чрез изпращане на специално форматирани клиентски заявки да се вклинят в съдържанието на заявки на други потребители, обработвани в същия поток между фронтенда и бекенда (например, може да се постигне подмяна на злонамерен JavaScript код в сесията на друг потребител). Детайлите ще бъдат разкрити по-късно, но е известно, че проблемите са причинени от некоректна обработка на интервалите между името на HTTP заглавието и двоеточието, както и различна обработка на символите за връщане на курсора и нов ред в блока с параметри, използван при предаване на тялото на заявката на части в режим „chunked“.

Припомняме, че платформата Node.js може да бъде използвана както за сървърно поддържане на работата на Web приложения, така и за създаване на обикновени клиентски и сървърни мрежови програми. За разширяване функционалността на приложенията за Node.js е подготвена голяма колекция от модули, в която може да се намерят модули с реализация. сървъри и клиенти HTTP, SMTP, XMPP, DNS, FTP, IMAP, POP3, модули за интеграция с различни web фреймворкове, обработчици на WebSocket и Ajax, конектори към СУБД (MySQL, PostgreSQL, SQLite, MongoDB), шаблонизатори, CSS движещи двигатели, реализации на криптоалгоритми и системи за авторизация (OAuth), XML парсери.

За да осигури обработка на голям брой паралелни заявки, Node.js използва асинхронен модел за стартиране на код, базиран на обработка на събития в неблокиращ режим и определяне на callback обработчици. Като методи за мултиплексиране на свързвания се поддържат начини като epoll, kqueue, /dev/poll и select. За мултиплексирането на свързвания се използва библиотека libuv, която е надстройка над libev в Unix системи и над IOCP в Windows. За създаване на пул от нишки (thread pool) е използвана библиотека libeio, а за изпълнение на DNS запитвания в неблокиращ режим е интегриран c-ares. Всички системни повиквания, които предизвикват блокиране, се изпълняват в пул от нишки и след това, както и обработчиците на сигнали, предават резултата от своята работа обратно чрез неназован канал (pipe). Изпълнението на JavaScript код е осигурено чрез използването на разработения от Google двигател V8 (допълнително Microsoft разработва вариант на Node.js с двигателя Chakra-Core).

По същество Node.js е подобен на фреймворците Perl AnyEvent, Ruby Event Machine, Python Twisted и реализацията на събития в Tcl, но цикълът за обработка на събития (event loop) в Node.js е скрит от разработчика и напомня на обработката на събития в уеб приложение, работещо в браузър. При написването на приложения за node.js е необходимо да се вземе предвид спецификата на събитийно-ориентираното програмиране, например, вместо да се изпълнява 'var result = db.query("select..);",' с очакване на завършване на работата и последваща обработка на резултатите, в Node.js се използва принципът на асинхронно изпълнение, т.е. кодът се трансформира в 'db.query("select..", function (result) {обработка на резултата});', при което управлението веднага преминава към следващия код, а резултатът от запитването ще бъде обработен по мярка за получаване на данни.

Източник: opennet.ru