Не, согласен полностью. в get токену не место.
Это из разряда, если пользователей станет много или в постах накидают много пикч). Можно же просто отключить логгирование, не?)
У меня нет вообще претензий. Это в твоем отчете у ИИ претензия по утечке. Просто написал, что токен активен на страницу. Если злоумышленник получит его, то может посмотреть на него и всё. Перейдя по нему он будет невалиден.
Так в отчете правильно указано, что гонка будет и потеря логов. Условно за час может накидать 30МБ. Старые логи затерлись, новые возможно не содержат причины возникновения триггера. У тебя подход 10+10 old. Не, если осознанный выбор, то что тут писать.
Так это же не потому, что хайлоад. Просто логи может забить одна повторяющаяся ошибка.
Я к тому, что по дате удобно даже смотреть когда возникла. Не надо открывать 10МБ портянки например и искать точку входа. Просто смотришь по дате первый файл лога, открываешь. Если файла нет, логи чистые в принципе, если не в debug режиме
Sly32 честно, ощущение, что ты пытаешься доказать, что-то кому-то. Я же просто веду беседу на форуме. Что здесь кому доказывать? Написал, что подумал в контексте своя нейросеть. Для меня это понятие - написать с нуля, обучить. Это очень дорого. Либо взять готовое и дообучить. Но это форк по сути. Вот в ветке человек делает фреймворк. Это его фреймворк. Вот нейронка в моем понимании именно так будет твоя.
Потому, что для яблочников, майкрософт это корпорация зла. Им всё чуждо от винды, до офисных продуктов, а тут такое. Но я не знаю на чем работать должен. Я работаю на чем удобно. Яблочники обычно на Sublime Text, Neovim. Если Клод, то Claude code . Не, мне всё равно. Посчитал это забавным, слышав высказывания любителей маков
Так это любая cli.
Ну тут надо уже искать. я тогда в другой ветке это делал и ее всю схлопнул в один киммит. ну вот маленький пример из отчета
3. Это же токен, который при обновлении страницы генерится новый? В чем это бага и утечка? То, что и так знает любой клиент зайдя на сайт? Если это токен восстановления,то да, но там же токен валидации форм? Не, безусловно get на токен моветон и антипаттерн, но аларма здесь не вижу.
С логами зачем вообще в old его перемещать? Можно же как date(dd--mm-yyyy) записывать. Тогда восстановить день можно. Создать крон задачу на удаление раз в неделю или архивировать. В целом считаю, что если 10мб забрать логами, то это уровень дев, а не прод)) 1 файл в день, разрабы прочтут, пофиксят
В чем прикол этого эмулятора? И в целом зачем здесь эмулятор? Я выше написал, для беглого просмотра, можно на веб морде квена выдать приватный ключ к репо и провести кодревью. Я в vscode через плагины нейронки юзаю и гит репо. На скрине у sly32 тоже вижу vscode на маке(странно видеть на маке мелкософтовую тулзу)), и плагин Клода.
И, что тебе даст? Своя в плане полная модель с обучением. Или в контексте своя - скачать ollama и установить модельку? Ну или через vllm, open code. Смысл просто в чем? Там если нормальные модельки локально запускать, то это 128гб врам, что бы комфортно работать. Можно на v100 запустить. Есть схема. Бюджет в 120т.р. Но я думал в контексте своей нейронки это не готовую установить, а обучить взяв за основу тот же квен или мистраль. Или с нуля запроектировать. Это реально на дорогом. Сейчас с нормальными спецами в машинном обучении дефицит.
Каким образом? С онлайн моделью?
Думаю приватный ключ и через гит репо. Такое может сделать бесплатная вебморда квена без всякой установки и настройки. Инструкции дать. Их тонна на гите есть - для Клода, квена дипсика и под разные вайб код плагины, по типу clime, roo, zoo
Вот пример из сводки этого отчета
Со скрина непонятно где уязвимость раскрытия. Фрагмент кода бы увидеть.
Таки с фреймворком тема все переключился на LLM?
Своя llm это, что-то на богатом. Но по контексту ясно, что он путает нейронки и окружение под них в виде ollama
Уязвимости реальные или надуманные?
