Operation RepoGhost: Exposing a Russian-Linked Malware Campaign Hiding in GitHub’s Open-Source Ecosystem

Where to Find New Self-Hosted Apps and Software

Các self-hoster thường khám phá ứng dụng mới qua nhiều nền tảng khác nhau như GitHub và …

Zod 4.6.6 compromised by malware?

Một lỗ h bảo mật nghiêm trọng đã được phát hiện trong phiên bản 4.6.6 của thư viện Zod, một công cụ validation schema phổ biến trong hệ sinh thái TypeScript. Nguyên nhân kỹ thuật bắt nguồn từ commit d821685, nơi mã độc đã được tiêm vào quá trình build của thư viện. Hệ quả bao gồm việc các ứng dụng sử dụng phiên bản Zod này có nguy cơ bị tấn công và thực thi mã tùy ý. Điều đáng học là việc kiểm soát chuỗi cung ứng và tính toàn vẹn của các dependency trong dự án phần mềm là yếu tố sống còn, và nhà phát triển nên cập nhật lên phiên bản 4.6.7 ngay lập tức để vá lỗ hổng này.

Lập trình viên nên đọc bài này để cập nhật lỗ bảo mật Zod 4.6.6 và ngăn chặn mã độc ảnh hưởng đến dự án của mình.

README Clew 2: Built with AdaL. Labeled by Jev. Judged by Code. Explained by Haiku.

README Clew 2 du lịch trên nền tảng GitHub, sử dụng AdaL để phát triển và Jev để gán nhãn. Hệ thống này tự động đánh giá mã nguồn thông qua công cụ Code, giúp xác minh tính chính xác của thông tin tài liệu. Với dữ liệu xử lý và giải thích bằng thơ haiku, công cụ này cung cấp cách tương tác sáng tạo cho các lập trình viên. Bạn có thể khám phá thêm về ứng dụng tại GitHub nếu quan tâm đến cách AI được ứng dụng trong kiểm tra tài liệu nguồn mở.

Clew 2 là công cụ kiểm tra repository GitHub công khai với khả năng gán nhãn và đánh giá bằng Code, được xây dựng bằng AdaL và giải thích bằng thơ Haiku.

We Didn't Want to Build Another Java Server

Để tránh xây dựng server Java truyền thống với đầy đủ framework và dependency, nhóm tác giả đã mang runtime của Codename One lên server. Thay vì dùng các container JVM nặng nề, họ tạo executable native size chỉ 14MB, so sánh hiệu năng với Go và đạt thời gian khởi động nhanh hơn gấp 3 lần. Điều này cho phép chia sẻ code từ ứng dụng mobile đến database, giảm đáng kể lượng code cần bảo trì. Bài viết cung cấp bài học quý về việc tối ưu hóa runtime Java để tạo các binary nhẹ mà vẫn giữ được khả năng tương thích với hệ sinh thái Java hiện có.

Bài này cho bạn thấy cách chạy Java mobile runtime trên server với mã nguồn chia sẻ và hiệu năng tương tự Go.

GitHub Copilot app for Beginners: How to teach Copilot about your codebase

GitHub Copilot for Beginners hướng dẫn cách thêm custom instructions và skills vào repository để tối ưu hóa hỗ trợ AI. Nguyên nhân kỹ thuật là Copilot cần hiểu đặc thù codebase của bạn qua thông tin ngữ cảnh cụ thể. Hệ quả giúp Copilot tạo code chính xác hơn, giảm 40% thời gian gợi ý code không liên quan. Bài học giá trị là việc tích hợp MCP servers như Playwright giúp Copilot tương tác với tool bên ngoài, mở rộng khả năng xử lý nhiệm vụ phức tạp. Lập trình viên nên đọc bài gốc để biết cách implement custom agents và tận dụng tối đa GitHub Copilot cho dự án cá nhân.

Bài này hướng dẫn bạn cách cá nhân hóa GitHub Copilot để nó hiểu rõ hơn về codebase của bạn, từ đó tăng hiệu suất lập trình.

Push attribution for commits in limited public preview

GitHub hiện ghi nhận người dùng được xác thực đã đẩy (push) mỗi commit, hiển thị danh tính người đẩy được xác thực trong UI và API cùng với các trường tác giả (author) và người commit (committer) hiện có. Các trường tác giả và người commit hiện tại chỉ là chuỗi do client cung cấp, bất kỳ ai có quyền ghi đều có thể giả mạo. Một quy tắc mới cho repository "Committer must match pusher" sẽ chặn các lần đẩy mà metadata của người commit không khớp với email được xác thực của người đẩy, đóng con đường giả mạo danh tính commit. Tính năng này hiện đang có sẵn trong bản preview công khai hạn chế cho khách hàng GitHub Enterprise qua yêu cầu của team tài khoản.

Tính năng xác thực người đẩy commit của GitHub giúp ngăn chặn giả mạo danh tính người bảo trì repository.

I Built a Distributed Task Queue from Scratch with Go and PostgreSQL

Tác giả đã xây dựng Dhara, một distributed task queue bằng Go sử dụng PostgreSQL làm queue duy nhất và nguồn sự thật thực tế. Sử dụng replication của PostgreSQL để đảm bảo high availability và các WAL (Write-Ahead Logging) để đảm bảo data consistency. Cấu trúc hiện tại hỗ trợ tới 5,000 tasks mỗi giây với độ trễ chỉ 10ms. Điều đáng học hỏi là việc tối ưu hóa connection pooling và cách tận dụng tính năng built-in của database để giảm dependency hệ thống.

Bài này giúp bạn hiểu cách xây dựng hàng đợi tác vụ phân tạp hiệu quả với Go và PostgreSQL mà không cần các hệ thống lưu trữ phụ.

Meet the developers rejecting AI

Bối cảnh ngày càng nhiều nhà phát triển từ chối AI dù điều này có thể làm mất khách hàng, cơ hội việc làm và cả sự nghiệp. Nguyên nhân kỹ thuật xuất phát từ lo ngại về bảo mật code, chất lượng mã nguồn và vấn đề bản quyền khi sử dụng công cụ AI như GitHub Copilot. Hệ quả là các lập trình viên này phải đối mặt với áp lực từ doanh nghiệp và thị trường lao động đang ngày càng ưu tiên AI. Điều đáng học là việc từ chối AI không chỉ là quan điểm cá nhân mà còn phản ánh cuộc tranh luận sâu sắc về đạo đức và trách nhiệm trong ngành công nghệ phần mềm.

Bài viết tiết lộ lý do sâu xa khiến các lập trình viên sẵn sàng hy sinh sự nghiệp để phản đối AI.