ການປ່ອຍ JavaScript ຂ້າງເຊີບເວີ Node.js 17.0

ການປ່ອຍຂອງ Node.js 17.0, ເວທີສໍາລັບການປະຕິບັດຄໍາຮ້ອງສະຫມັກເຄືອຂ່າຍໃນ JavaScript, ໄດ້ເກີດຂຶ້ນ. Node.js 17.0 ເປັນສາຂາທີ່ຮອງຮັບປົກກະຕິດ້ວຍການອັບເດດຈົນຮອດເດືອນມິຖຸນາ 2022. ໃນມື້ຂ້າງຫນ້າ, ສະຖຽນລະພາບຂອງສາຂາ Node.js 16 ຈະສໍາເລັດ, ເຊິ່ງຈະໄດ້ຮັບສະຖານະພາບ LTS ແລະຈະໄດ້ຮັບການສະຫນັບສະຫນູນຈົນກ່ວາເດືອນເມສາ 2024. ການບຳລຸງຮັກສາສາຂາ Node.js 14.0 LTS ທີ່ຜ່ານມາຈະແກ່ຍາວເຖິງເດືອນເມສາ 2023, ແລະສາຂາ 12.0 LTS ທີ່ຜ່ານມາຈົນຮອດເດືອນເມສາ 2022.

ການປັບປຸງຕົ້ນຕໍ:

• ເຄື່ອງຈັກ V8 ໄດ້ຖືກປັບປຸງເປັນຮຸ່ນ 9.5.
• ການປະຕິບັດຕົວແປຂອງ API ພື້ນຖານໂດຍອີງໃສ່ການນໍາໃຊ້ການໂຕ້ຕອບຂອງ Promise asynchronous computing ໄດ້ສືບຕໍ່. ນອກເໜືອໄປຈາກ Timers Promises ແລະ Stream Promises APIs ທີ່ສະເໜີໄປກ່ອນໜ້ານີ້, Node.js 17.0 ແນະນຳ Readline Promise API ສຳລັບການອ່ານຂໍ້ມູນແຕ່ລະແຖວໂດຍໃຊ້ໂມດູນ readline. ນຳເຂົ້າ * ເປັນ readline ຈາກ 'node:readline/promises'; import { stdin as input, stdout as output } ຈາກ 'ຂະບວນການ'; const rl = readline.createInterface({ input, output }); const answer = ລໍຄອຍ rl.question('ເຈົ້າຄິດແນວໃດກັບ Node.js?'); console.log('ຂໍຂອບໃຈທ່ານສໍາລັບຄໍາຄິດເຫັນທີ່ມີຄຸນຄ່າຂອງທ່ານ: ${answer}'); rl.close();
• ຫ້ອງສະໝຸດ OpenSSL ທີ່ສະໜອງໃຫ້ໄດ້ຖືກອັບເດດເປັນເວີຊັ່ນ 3.0 (ໂດຍໃຊ້ quictls/openssl fork ທີ່ຮອງຮັບ QUIC protocol ໄດ້).
• ໃຫ້ແນ່ໃຈວ່າສະບັບ Node.js ຖືກສະແດງຢູ່ໃນ stack traces ສໍາລັບຄວາມຜິດພາດທີ່ຮ້າຍແຮງທີ່ເຮັດໃຫ້ແອັບພລິເຄຊັນຢຸດ.

ນອກຈາກນັ້ນ, ພວກເຮົາສາມາດກ່າວເຖິງການລົບລ້າງສອງຊ່ອງໂຫວ່ໃນສາຂາປະຈຸບັນຂອງ Node.js (CVE-2021-22959, CVE-2021-22960), ເຊິ່ງເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະປະຕິບັດການໂຈມຕີຂອງ HTTP Request Smuggling (HRS) class, ເຊິ່ງ. ອະນຸຍາດໃຫ້, ໂດຍຜ່ານການສົ່ງຄໍາຮ້ອງຂໍຂອງລູກຄ້າທີ່ຖືກອອກແບບພິເສດ, ເຂົ້າໄປໃນເນື້ອໃນຂອງຄໍາຮ້ອງຂໍຈາກຜູ້ໃຊ້ອື່ນໆທີ່ດໍາເນີນການໃນກະທູ້ດຽວກັນລະຫວ່າງ frontend ແລະ backend (ຕົວຢ່າງເຊັ່ນ, ທ່ານສາມາດບັນລຸການທົດແທນລະຫັດ JavaScript ທີ່ເປັນອັນຕະລາຍໃນກອງປະຊຸມຂອງຜູ້ໃຊ້ອື່ນ). ລາຍລະອຽດຈະຖືກເປີດເຜີຍໃນພາຍຫລັງ, ແຕ່ສໍາລັບໃນປັດຈຸບັນມັນພຽງແຕ່ຮູ້ວ່າບັນຫາແມ່ນເກີດມາຈາກການຈັດການທີ່ບໍ່ຖືກຕ້ອງຂອງຊ່ອງຫວ່າງລະຫວ່າງຊື່ HTTP header ແລະຈໍ້າສອງເມັດ, ເຊັ່ນດຽວກັນກັບການຈັດການທີ່ແຕກຕ່າງກັນຂອງການກັບຄືນ carriage ແລະເສັ້ນ feed ຕົວອັກສອນໃນ parameter block ທີ່ໃຊ້ໃນເວລາຜ່ານ. ຮ່າງ​ກາຍ​ຄໍາ​ຮ້ອງ​ສະ​ຫມັກ​ໃນ chunks ໃນ​ຮູບ​ແບບ "chunked​"​. ".

ຈື່ໄວ້ວ່າແພລະຕະຟອມ Node.js ສາມາດຖືກນໍາໃຊ້ທັງສໍາລັບການບໍາລຸງຮັກສາເຄື່ອງແມ່ຂ່າຍຂອງຄໍາຮ້ອງສະຫມັກເວັບແລະສໍາລັບການສ້າງໂຄງການເຄືອຂ່າຍລູກຄ້າແລະເຄື່ອງແມ່ຂ່າຍທົ່ວໄປ. ເພື່ອຂະຫຍາຍການທໍາງານຂອງຄໍາຮ້ອງສະຫມັກສໍາລັບ Node.js, ການເກັບກໍາຂະຫນາດໃຫຍ່ຂອງໂມດູນໄດ້ຖືກກະກຽມ, ໃນທີ່ທ່ານສາມາດຊອກຫາໂມດູນທີ່ມີການປະຕິບັດ HTTP, SMTP, XMPP, DNS, FTP, IMAP, ເຄື່ອງແມ່ຂ່າຍ POP3 ແລະລູກຄ້າ, ໂມດູນສໍາລັບການເຊື່ອມໂຍງ. ກັບກອບເວັບຕ່າງໆ, WebSocket ແລະ Ajax handlers , DBMS connectors (MySQL, PostgreSQL, SQLite, MongoDB), templates engines, CSS engines, ການປະຕິບັດຂອງ crypto algorithms ແລະລະບົບການອະນຸຍາດ (OAuth), XML parsers.

ເພື່ອຮັບປະກັນການປະມວນຜົນຄໍາຮ້ອງຂໍຂະຫນານຈໍານວນຫລາຍ, Node.js ໃຊ້ຮູບແບບການປະຕິບັດລະຫັດ asynchronous ໂດຍອີງໃສ່ການຈັດການເຫດການທີ່ບໍ່ຖືກບລັອກແລະຄໍານິຍາມຂອງຕົວຈັດການການໂທຄືນ. ວິທີການທີ່ຮອງຮັບສໍາລັບການເຊື່ອມຕໍ່ multiplexing ແມ່ນ epoll, kqueue, /dev/poll, ແລະເລືອກ. ສໍາລັບການ multiplexing ການເຊື່ອມຕໍ່, ຫໍສະຫມຸດ libuv ຖືກນໍາໃຊ້, ເຊິ່ງເປັນ add-on ສໍາລັບ libev ໃນລະບົບ Unix ແລະ IOCP ໃນ Windows. ຫ້ອງສະຫມຸດ libeio ຖືກນໍາໃຊ້ເພື່ອສ້າງສະນຸກເກີກະທູ້, ແລະ c-ares ໄດ້ຖືກປະສົມປະສານເພື່ອປະຕິບັດການສອບຖາມ DNS ໃນຮູບແບບທີ່ບໍ່ປິດກັ້ນ. ການໂທລະບົບທັງຫມົດທີ່ເຮັດໃຫ້ເກີດການຂັດຂວາງແມ່ນຖືກປະຕິບັດພາຍໃນສະນຸກເກີຂອງ thread ແລະຫຼັງຈາກນັ້ນ, ເຊັ່ນຕົວຈັບສັນຍານ, ໂອນຜົນໄດ້ຮັບຂອງການເຮັດວຽກຂອງພວກເຂົາຄືນຜ່ານທໍ່ທີ່ບໍ່ມີຊື່ (ທໍ່). ການປະຕິບັດລະຫັດ JavaScript ແມ່ນສະຫນອງໃຫ້ໂດຍຜ່ານການນໍາໃຊ້ເຄື່ອງຈັກ V8 ທີ່ພັດທະນາໂດຍ Google (ນອກຈາກນັ້ນ, Microsoft ກໍາລັງພັດທະນາສະບັບຂອງ Node.js ກັບເຄື່ອງຈັກ Chakra-Core).

ຢູ່ໃນຫຼັກຂອງມັນ, Node.js ແມ່ນຄ້າຍຄືກັນກັບ Perl AnyEvent, Ruby Event Machine, Python Twisted frameworks, ແລະການຈັດຕັ້ງປະຕິບັດເຫດການ Tcl, ແຕ່ loop ເຫດການໃນ Node.js ຖືກເຊື່ອງໄວ້ຈາກຜູ້ພັດທະນາແລະຄ້າຍຄືກັບການຈັດການເຫດການໃນແອັບພລິເຄຊັນເວັບທີ່ເຮັດວຽກ. ໃນ browser. ເມື່ອຂຽນຄໍາຮ້ອງສະຫມັກສໍາລັບ node.js, ທ່ານຈໍາເປັນຕ້ອງພິຈາລະນາສະເພາະຂອງການຂຽນໂປຼແກຼມທີ່ຂັບເຄື່ອນໂດຍເຫດການ, ຕົວຢ່າງ, ແທນທີ່ຈະເຮັດ "var result = db.query("select..");" ກັບການລໍຖ້າການສໍາເລັດຂອງການເຮັດວຽກແລະການປຸງແຕ່ງຜົນໄດ້ຮັບຕໍ່ມາ, Node.js ໃຊ້ຫຼັກການຂອງການປະຕິບັດ asynchronous, i.e. ລະຫັດຖືກປ່ຽນເປັນ "db.query("select..", function (result) {result processing});", ເຊິ່ງການຄວບຄຸມຈະສົ່ງຜ່ານລະຫັດຕໍ່ໄປທັນທີ, ແລະຜົນການສອບຖາມຈະຖືກປະມວນຜົນເມື່ອຂໍ້ມູນມາຮອດ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru